Um DR drill é o exercício em que você simula o desastre e executa o plano de verdade. Não é verificar se o backup existe — isso é teste de restore. É subir a operação no ambiente de contingência e ver se a empresa consegue trabalhar nele. A maioria dos planos de DR nunca passa por isso, e é por isso que a maioria falha na hora real.
Por que teste de restore não é DR drill
Teste de restore responde: “os dados voltam?”. DR drill responde: “a empresa opera?”. São perguntas diferentes com respostas frequentemente opostas.
Já vi ambiente com backup perfeito e RTO impraticável, porque ninguém tinha percebido que a aplicação principal validava licença contra um endereço MAC que não existia no site secundário. O dado estava lá. O negócio não rodava.
Os quatro níveis de exercício
1. Revisão de mesa
O time senta e percorre o plano verbalmente. Barato, rápido e útil para achar contradição óbvia e informação desatualizada — telefone de fornecedor, nome de quem já saiu da empresa. Não valida nada técnico.
2. Walkthrough técnico
Cada responsável demonstra os comandos e acessos que usaria, sem executar. Revela falta de credencial, permissão ausente e passo documentado de forma ambígua.
3. Failover parcial
Um subconjunto de sistemas assume no ambiente secundário, em janela controlada. É o primeiro nível que produz evidência real. Escolha um sistema importante mas não crítico para o primeiro exercício.
4. Failover completo
A operação inteira roda no secundário por um período definido, com usuários reais trabalhando. É o único exercício que valida o plano de fato — e o único que também valida o failback.
O que medir durante o exercício
Um drill sem métrica é teatro. Registre:
- Tempo até a decisão: do alerta até alguém autorizar o failover. Costuma ser o maior bloco de tempo perdido e o mais fácil de reduzir.
- RTO real por sistema: comparado ao RTO que está no papel. A diferença entre os dois é sua dívida técnica de DR.
- RPO observado: quantos dados efetivamente ficaram para trás.
- Passos que não estavam documentados: tudo que alguém resolveu de cabeça. Cada um desses é um ponto de falha dependente de uma pessoa específica estar disponível.
- Tempo e sucesso do failback: voltar é onde o plano quebra com mais frequência, e é o que quase ninguém cronometra.
Com que frequência
Revisão de mesa a cada trimestre, failover parcial a cada semestre, failover completo ao menos uma vez por ano — e obrigatoriamente depois de qualquer mudança relevante de arquitetura, migração ou troca de fornecedor.
Plano de DR não envelhece devagar. Ele envelhece a cada deploy, cada servidor novo, cada integração adicionada. Um plano validado há dezoito meses descreve um ambiente que não existe mais.
O erro de agendar o drill num domingo de madrugada
É tentador testar no horário de menor impacto. O problema é que o desastre real não escolhe horário, e um drill executado com o time descansado, em ambiente calmo, valida o procedimento mas não valida a capacidade de resposta.
Depois de dois ou três exercícios bem-sucedidos, vale fazer um em horário comercial. Se a ideia disso assusta, esse susto é a informação mais honesta que o seu plano de DR já te deu.
Onde a Adentro entra
Ambiente de contingência que nunca foi exercitado é premissa, não proteção. Nosso time técnico participa do planejamento e da execução dos exercícios de DR nos ambientes que operamos — e o relatório do drill é o que sustenta a conversa com auditoria e com a diretoria.