Uma instalação fisicamente intacta ainda pode perder dias de operação. Aqui está o porquê
Um data center pode passar por uma grande tempestade sem danos físicos e ainda enfrentar dias de inatividade. A análise anual de interrupções de 2025 do Uptime Institute confirmou a falha de energia como o gatilho mais comum de interrupções graves e severas. A rede elétrica, como a maioria das infraestruturas dos data centers, fica inteiramente fora das instalações. Essa lacuna de dependência é onde a exposição à interrupção dos negócios do data center geralmente não é contabilizada.
Johanna Rohrer, analista de risco para perigos naturais e riscos climáticos da IDH A Global Risk Consulting explora o que um quadro completo de exposição de BI realmente exige. Ela também mapeia as lacunas que a maioria dos programas de risco deixam em aberto, desde o timing da cadeia de abastecimento até ao planeamento da continuidade em condições do mundo real.
As exposições do BI escondidas além da linha da propriedade
A maioria dos programas de risco de data centers concentra-se no que pode danificar o edifício. Essa suposição, argumenta Rohrer, deixa as maiores exposições sem solução. “Uma instalação pode ficar fisicamente intacta e ainda assim incapaz de funcionar se a energia da rede, as telecomunicações, o arrefecimento, as rotas de acesso ou o fornecimento de combustível forem interrompidos”, disse ela.
Essas dependências vão inteiramente além da linha de propriedade. Rohrer também observa que os danos financeiros não se limitam aos custos de reparação. “Ele se acumula através da interrupção do serviço, redução da capacidade operacional, atrasos na restauração de sistemas críticos e do tempo necessário para chegar ao local ou obter equipamentos e componentes especializados”, disse ela.
O que torna os cenários de interrupção de negócios em data centers particularmente difíceis de conter, explica Rohrer, é a forma como as falhas interagem. Uma forte tempestade pode provocar inundações, cortar energia, restringir o acesso ao local e atrasar simultaneamente o fornecimento de combustível.
“Os cenários mais desafiadores geralmente resultam de eventos em cascata, e não de falhas isoladas”, disse ela. “O evento desencadeador inicial pode ser curto, mas a interação entre essas dependências é o que prolonga a interrupção”.
Isso reformula a questão central em qualquer avaliação de BI. “A verdadeira questão não é apenas o que poderia danificar o edifício”, disse Rohrer. “É qual dependência interna ou externa pode impedir a instalação de continuar ou restaurar as operações.
“Uma forte avaliação de BI conecta o perigo físico a toda a cadeia de consequências, desde o evento inicial, passando pela perda de serviços públicos e acesso restrito até o reparo, substituição e recuperação completa.”
Cadeia de suprimentos como multiplicador de duração do BI
“A vulnerabilidade da cadeia de abastecimento pode ser um dos principais impulsionadores da duração de uma interrupção nos negócios”, disse Rohrer. As lacunas na cadeia de abastecimento raramente causam a interrupção inicial, mas frequentemente determinam quando uma instalação se recupera totalmente.
Os data centers funcionam com equipamentos elétricos, de refrigeração e de TI especializados que não estão disponíveis no mercado. Aon elevou recentemente a sua programa de seguro e risco do ciclo de vida do data center para 3,5 mil milhões de dólares, um sinal de quão complexo e consequente se tornou esse risco de especialização. Após um evento regional, muitas instalações afetadas competem frequentemente pelas mesmas peças e pelos mesmos empreiteiros especializados.
“Em teoria, pode existir uma peça de reposição, mas a recuperação ainda pode ser interrompida se as rotas de transporte forem interrompidas, os técnicos não conseguirem chegar às instalações ou se vários locais precisarem do mesmo equipamento após um evento regional”, disse Rohrer.
Esses são pontos de parada distintos. Qualquer um deles pode estender uma interrupção de negócios muito além da janela inicial de interrupção.
“A preparação da cadeia de abastecimento pertence ao planeamento da resiliência operacional, não apenas às aquisições”, disse Rohrer.
“A preparação varia de instalação para instalação. O que mais importa é se um arranjo de backup funciona na prática. Um plano é tão bom quanto o equipamento, as pessoas e a logística realmente disponíveis nas condições reais do evento.”
Como é a redundância significativa do data center
A redundância significativa começa com a independência. Um backup que compartilha uma subestação, corredor ou zona de inundação com o primário não oferece proteção real quando ambos caem no mesmo evento. A energia, o resfriamento, as telecomunicações e o fornecimento de combustível precisam permanecer disponíveis nas mesmas condições que desativam o sistema primário.
A maioria dos operadores de data centers trata a redundância como duplicação. Rohrer estabelece um padrão mais rígido. “Redundância significativa é mais do que ter dois de alguma coisa. Sistemas redundantes precisam de verdadeira independência, então um único evento não pode eliminar os dois ao mesmo tempo”, disse ela.
Rohrer identifica alguns dos modos de falha comuns. “Duas alimentações de energia oferecem proteção limitada se passarem pela mesma subestação ou pelo mesmo corredor exposto”, disse ela. “Os geradores de reserva oferecem proteção limitada se o combustível não conseguir chegar ao local ou se os geradores e seus sistemas elétricos estiverem na mesma zona de inundação ou tempestade que o sistema primário”.
De acordo com Aliança Comercial, a maior parte da capacidade global de data centers opera em áreas com maior risco de catástrofe natural. Os pontos de falha partilhados são uma vulnerabilidade que abrange todo o setor.
O backup falha no teste de Rohrer quando o mesmo evento pode desabilitar tanto o primário quanto o backup.
“A separação física, a diversidade da oferta e a eliminação de pontos de falha partilhados são fundamentais para uma verdadeira resiliência”, disse ela. “As operadoras devem perguntar não apenas se existe um backup, mas se ele permanece disponível no mesmo evento que desativa o sistema primário”.
Como os planos de continuidade do data center devem ser testados
De acordo com Rohrer, os planos de continuidade devem ser testados em cenários onde vários sistemas falham ao mesmo tempo, abrangendo energia e refrigeração de reserva, acesso de pessoal e empreiteiro, entrega de combustível e peças, e comunicações. Os testes também devem abordar a transição da resposta de emergência para a recuperação total, incluindo quem é o responsável por cada decisão e quais partes externas precisam estar envolvidas.
A maioria dos planos de continuidade são testados contra uma única falha de equipamento. Rohrer argumenta que o escopo ignora o que os riscos naturais e os eventos climáticos realmente produzem.
“Os planos de emergência e de continuidade devem ser testados em cenários realistas que atingem vários sistemas ao mesmo tempo”, disse ela. “Cenários relevantes incluem calor extremo combinado com pico de demanda de eletricidade, uma forte tempestade que causa uma queda prolongada de energia ou inundações que interrompem a infraestrutura técnica e o acesso ao local”.
A recuperação é uma lacuna separada, explica Rohrer. “Os testes também precisam cobrir a mudança da resposta de emergência para a recuperação. Saber por quanto tempo as operações críticas podem ser sustentadas não é suficiente. Os operadores precisam de clareza sobre o que a recuperação total exige, quem é o dono de cada decisão e quais partes externas precisam estar envolvidas.”
CISAA orientação do documento sobre dependências de infra-estruturas trata este tipo de mapeamento como uma base para o planeamento da resiliência.
Os testes de estresse devem evoluir junto com as instalações, observa Rohrer. À medida que a carga de TI, as exigências de refrigeração, as relações com os fornecedores e as condições de perigo circundantes mudam, os cenários também devem mudar. Corretores especializados expandiram programas de gerenciamento de riscos e seguros de data centers para reflectir a rapidez com que o quadro de risco muda.
“A resiliência é uma disciplina contínua, não um plano único que você arquiva”, disse Rohrer.
