Embed Size (px)
Citation preview
Governança de TI e Gestão de Riscos
Contingência e
Continuidade de Negócios
Currículo Economista, Pós Graduado em Segurança de Dados e
Sistemas Formado pelo DRII em Contingência e Continuidade Membro do “Grupo de Notáveis” da Coordenadoria de
Investigações de Crimes Eletrônicos do MP do RJ Profesor da Cadeira de Contingência e Continuidade de
Negócios da UniRio e UFRJ (Núcleo de Computação Eletrônica)
Escritor do único livro em língua portuguesa sobre o assunto
Consultor e Palestrante com mais de 30 projetos de sucesso nos mais diversos segmentos organizacionais
Quem Acredita em “Gerenciar Riscos” ?
“Fernando, reconheço a importância, reconheço a pertinência, mas a questão de Continuidade de Negócios não é prioridade para as empresas no Brasil.
Elas se preocupam com faturamento, participação no mercado, insolvência e rentabilidade.
Seu negócio é ideal para a realidade de países como a Inglaterra ou Itália. Países que dão valor ao tempo e sofrem de ameaças mais sérias que greves.”
Ruy Gress, presidente do IQB - Indústria Farmacêutica
Como o Empresário “Entende” Continuidade (Segurança) ?
Pesquisa publicadana Computerworldde 19/11/2003
Características de Eventos no Brasil
Abaixo de
Governança
Antes de entendermos o que é Governança de TI, devemos tratar da questão mais ampla da Governança Corporativa nas empresas. Este tema tornou-se um tema dominante nos negócios devido a
safra de escândalos corporativos em meados de 2002 – Enron, Worldcom e Tyco, para citar apenas algumas.
O interesse na governança corporativa não é novo, mas a gravidade dos impactos financeiros das fraudes executadas pelas
empresas já citadas, abalou a confiança dos investidores. A crise de confiança do setor corporativo contribuiu para a pressão
descendente nos preços das ações, estimulando assim as empresas a tomarem uma atitude para contornar esta situação.
Discurso de Posse do Presidente de uma Grande Empresa de Telecom
ISO 17799 Basiléia 2 ITIL COBIT Sarbannes-Oxley SUSEP BaCen CVM ANATEL Requisitos de Negócio
Dever = Pertinência + Importância
Pesquisa feita pela KPMG com 250 empresas brasileiraspublicada em 04/02/04.
Pertinência + Importância = Medo
Medo de Que ?
Pesquisa publicadana Computerworldde 19/11/2003
Qual a maior Motivação ?
Objetos da GovernançaAtivos humanos: pessoas, habilidades, planos de carreira, treinamento, relatório, mentoring, competências etc. Ativos financeiros: dinheiro, investimentos, passivo, fluxo de caixa, contas a receber etc. Ativos físicos: prédios, fábricas, equipamentos, manutenção, segurança, utilização etc. Ativos de PI (Propriedade Intelectual): incluindo o know-how de produtos, serviços e processos devidamente patenteados, registrandos ou embutido nas pessoas e nos sistemas da empresa. Ativos de informação e TI: dados digitalizados, informações e conhecimentos sobre clientes, desempenho de processos, finanças, sistemas de informação e assim por diante. Ativos de relacionamento: relacionamentos dentro da empresa, bem como relacionamentos, marca e reputação junto a clientes, fornecedores, unidades de negócio, órgãos reguladores, concorrentes, revendas autorizadas etc.
Mecanismos da Governança
• Controle e Monitoramento de Ativos• Apoio e suporte da Alta Direção• Definição do papel e utilização dos “Ativos de TI”:
• Transparência• Suporte• Controle• Processos• Procedimentos• Métricas
Objetivos de ProteçãoAtivos humanos: Realizam processos e detêm relacionamentosAtivos financeiros: Justificam as ações da OrganizaçãoAtivos físicos: Abrigam a OrganizaçãoAtivos de PI (Propriedade Intelectual): Valores Intangíveis da OrganizaçãoAtivos de informação e TI: Viabilizam processos, através da redução de custos e aumento da produtividade, refletindo resultados obtidos. Controle.Ativos de relacionamento: Intermedia comunicações internas e externas; identifica a marca e reputação junto a clientes, fornecedores, unidades de negócio, órgãos reguladores, concorrentes, revendas autorizadas etc.
Porquê Governança ?
Porque suas ações e seus requisitos de transparência podem preservar
(“minimizar”) a responsabilidade legal dos administradores, que na prática
não conseguem responder pelas ações da maioria dos funcionários da
Organização
Como Definir nosso Risco ?
Fonte: Disaster Recovery Journal
Padronizando Conceitos
Evento: Fato de origem voluntária ou não que apresenta risco de dano. Também denominado “Fator de Risco”
Avaliação: considera a pior situação, no pior momento, no cenário mais pessimistaCenário: consistente com a realidade da OrganizaçãoControle: deveria ser proativo, preditivo e corretivo
Padronizando Conceitos
Risco: é a medida para um fator de incerteza
Causas Percentual
Falha Humana 50 a 80 %
Greves 10 a 17 %
Forças da Natureza
10 a 15 %
Sabotagem 3 a 4 %
Alagamento 2 a 3 %
Estranhos à Organização
1 a 3 %
Causas de Danos a Sistemas deInformaçãoFonte: Adaptado de Forcht, K.A., Computer Security Management, p. 66
Padronizando Conceitos
Dano: Conseqüência nociva acarretada por um Evento. Impacto de resultado prejudicial. Justifica a Contingência.
Oferece uma métrica para a criticidade Avalia igualmente Processos ou Componentes Apresenta variáveis de custos tangíveis, custos
intangíveis e períodos de tempo Identifica recursos mínimos necessários Seu resultado evidencia a importância das
variáveis em função de perdas e prazos de tolerância à interrupções
Padronizando Conceitos
BIA (Business Impact Analysis): é a Análise de Impacto nos Negócios, acarretada pela indisponibilidade de um Processo (atividade) ou Componente (recurso por ele utilizado)
Indica responsabilidades Orienta funções Define locais Indica o RTO (Recovery Time Objectives) – Objetivos de
Prazos para Recuperação Indica o RPO (Recovery Point Objective) – Objetivos de
Pontos de Recuperação
Padronizando Conceitos
Disaster Recovery Plan (DRP): Plano de Recuperação de Desastres. É a documentação das atividades necessárias para restauração ou substituição dos recursos (Componentes) utilizados pelos Processos de Negócios
Um Plano de Recuperação de Desastres(PRD) visa a reposição/restauração de umdos Componentes que suportam os PNs(p.e: a troca de um Servidor de Rede).
Como Funciona ?
Monitora e controla Fatores de Risco Indica responsabilidades e/ou substitutos Indica onde será realizado Indica como será executado É orientado pelos resultados obtidos pelo BIA,
especialmente no que tange às variáveis de tempo e custos
Padronizando Conceitos
Operational Contingency Plan (OCP): Plano de Contingência Operacional. Documenta procedimentos e atividades alternativas para serviços de TI ou Processos de Negócios
O Plano de Contingência (PCO)permite a execução do PN, mesmoque um Componente encontre-seindisponível (p.e.: como trabalharsem telefonia ?).
Como Funciona ?
Padronizando Conceitos
Business Continuity Plan (BCP): Plano de Continuidade de Negócios. É o conjunto de procedimentos documentados pelo PRD e pelo PCO, monitorado por um Plano de Gerenciamento de Crises (PRD) que facilita sua gestão e atualização.
Orienta resposta aos Impactos mais prováveis Considera os principais (críticos) processos da
organização Consolida responsabilidades, locais e prazos Indica parâmetros de RTO e RPO, evidenciados pelo
BIA Evidencia elementos para auditoria e atendimento de
requistos legais ou normativos
Um PCN traça um plano aonde o PCO eo PRD são executados simultaneamente,garantindo a continuidade do PN e a reposição/restauração do Componenteparalelamente
Como Funciona ?
PGC
O quê é um PCN ?(resposta da Prova !)
Metodologia que desenvolve estratégias alternativas para execução de processos1 ou sistemas2, minimizando os possíveis impactos acarretados pela sua interrupção, imposta por qualquer tipo de evento e que pode acarretar algum tipo de perda, financeira ou não.
1: PCN com foco para Continuidade dos Negócios2: PCN com foco em Componentes de Tecnologia de Informação
As Dificuldades são as Mesmas em Qualquer Lugar !
Riscos x Impactos
Fatores de Risco são aleatórios e imprevisíveis, comparando-se ao efeito de uma onda, cuja intensidade e dano estarão vinculados ao cenário de ocorrência quando se concretiza
Riscos x Impactos
Impactos são previsíveis, de acordo com o conhecimento do ambiente onde se manifestam e vinculados aos Eventos que se concretizaram, podendo ser contidos através de medidas de mitigação, independente do cenário
LEMBRETEErros tendem a se repetir…
Como Definir nosso Risco ?
Risco = ƒ Σ Vulnerabilidades
Σ Impactos
Como Definir nosso Risco ?
Risco = ƒ Link+Pessoas+HW+Telefonia+ ?
Parada de Processos ou Serviços
Como Definir nossa Estratégia ?
Disponibilidade = ƒ Σ Tolerância à Parada
Σ Tempo de Recuperação
Como Definir nossa Estratégia ?
Disponibilidade = ƒ 2 horas
6 horas
DICAÉ fácil fazer difícil. Difícil é fazer fácil !
Como Funciona ?
Tolerância à
Paradas
Tempo para
Recuperação
Índice de Disponibilidade
12 horas 1 hora 12
6 horas 3 horas 2
4 horas 4 horas 1
1 hora 12 horas 0.083
Como Funciona ?
Tolerância à
Paradas
Índice de Disponibilidade
Custo de Parada
12 horas 12 R$ 500,00
6 horas 2 R$ 5.000,00
4 horas 1 R$ 10.000,00
1 hora 0.083 R$ 10,00
Padrão de Segurança
BS 7799:2002 - Reino Unido NBR ISO/IEC 17799:2000 - Brasil/Internacional Definem um conjunto de boas práticas de
gestão da segurança Servem de base às políticas de segurança Seus controles permitem a auditoria de
segurança de informações
SOX – Act 2002
NÃO possui requisitos de Segurança, MAS exige:
Empresas possuam uma Política de Segurança abrangente Empresas definam sua classificação de segurança de Dados Empresas identifiquem seus Riscos e respectivos Impactos nos
Negócios Empresas possuam procedimentos e padrões formais de
Segurança Empresas possuam documentos que formalizem suas bases de
segurança, auditoria e testes atualizados Empresas possuam uma definição clara de reponsabilidades Empresas possuam políticas e procedimentos definidos para o
Gerenciamento de Mudanças, Suporte, Requisitos de Serviços, bem como para mudanças de Aplicativos, Políticas e Procedimentos
Normas + Circulares (BR)
Baseadas em Referências já consolidadas (ITIL/COBIT/ISO/BS) ou Regulatórias (SarbOx)
Exigem transparência Exigem mapeamento de riscos Exigem disponibilidade Exigem integridade Exigem confidencialidade
Visão de Segurança
Atende BS 7799, ISO 17799, CobiT, ITIL, MOF, BACEN, SUSEP
Não faz parte do SOX. Mas o resultado do BIA atende a vários itens da Seção 404
Deve garantir a continuidade dos negócios (com base na operação de TI) em caso de incidentes ou mesmo desastres totais
Será usado em caso de problemas – deve ser simples, fácil de entender e deve estar disponível às pessoas certas na hora certa
É um compromisso entre o nível de garantia de continuidade e uso de recursos (pessoas, equipamentos, serviços)
PCN
Crescimento de mercados (exigindo aumento na dependência de TI)
Aumento na utilização de redes Ampliação das bandas Processamento e conectividade
transformando-se em commodities (no prazo de 5 anos)
Jonathan SchwartzCOO da Sun
Tendências a Serem Consideradas
Nick CarrJornalistae Escritor
Redução de CPD próprios Centralização de CPDs
(terceirizados) A gestão de TI tornar-se cada vez
mais a gestão de Serviços O maior obstáculo para a
“comoditização” do processamento de informação não é tecnológico. É cultural
Tendências a Serem Consideradas
Continuidade como exigência legal Alta disponibilidade como requisito de
negócio Continuidade agregando valor ao
produto/serviço Responsabilização pessoal dos aspectos
legais das empresas Terceirização dos serviços de TI
(Virtualização)
Tendências a Serem Consideradas
Inove !
Não basta explicitar: É preciso divulgar
Não basta divulgar:É preciso praticar
Objetivo viável:É a média entre o que se quer com o que se pode
Recomendações Finais
International Association of Emergency Managers – www.IAEM.com
“Non-US individualMembership”: US$ 50
“StudentMembership”:US$ 25
“...se existirem duas ou mais formas de fazer uma tarefa, e uma delas puder provocar um desastre, alguém irá adotá-la...”
Edward Murphy Jr. (1918-1990)
Lembrete # 1
“É mais barato criar uma solução para Continuidade de Negócios do que reduzir seus riscos a zero.”
Fernando Marinho (1964-)
Lembrete # 2
