Para definir o que é aceitável, dois indicadores precisam ser estabelecidos antes de qualquer incidente. O RTO, Recovery Time Objective, define o tempo máximo tolerável para que os sistemas voltem a operar. O RPO, Recovery Point Objective, define a quantidade máxima de dados que a empresa pode perder em termos de tempo.
