Comparados os incidentes do período, aparece um padrão que separa quem conteve rápido de quem levou semanas: as empresas com resultado melhor tinham processo e contrato de resposta prontos antes do ataque.
A diferença não é de competência técnica e sim de calendário. Contratar resposta a incidente durante o incidente significa negociar preço e escopo sob pressão máxima, com o relógio correndo e sem saber o tamanho do problema.
O mesmo vale para as decisões operacionais. Saber de antemão qual sistema pode ser desligado sem parar a operação inteira, quem autoriza o desligamento e como comunicar cliente é trabalho de meia hora numa terça-feira comum e é quase impossível de fazer bem durante a crise.
Cópia de segurança entra na mesma lista, com uma condição que costuma faltar: testada de verdade, com restauração completa em ambiente separado. Cópia que nunca foi restaurada é hipótese, não é proteção.
Para operações pequenas, nada disso exige orçamento grande. Exige uma tarde de trabalho e a disciplina de repetir o teste de restauração de tempos em tempos, que é a parte que quase ninguém faz.