Análise de Risco de Processos SI/TI na TDM - Road Map Metodológico

Na figura que se segue, encontra-se ilustrado o road map metodológico utilizado na concretização da análise de risco associada aos processos de gestão e de governação dos SI/TI do Departamento de Sistemas de Informação da TDM (Telecomunicações de Moçambique). De forma necessariamente sucinta, são descritos os seus principais passos.

Clique na imagem para a visualizar em tamanho maior.

1. DESI 1: Arranque do Projecto. Consiste num conjunto de actividades com o objectivo de obter uma descrição geral do projecto, bem como obter a descrição detalhada da sua execução, enquanto documento que define o plano relativo ao seu desenvolvimento. Em simultâneo, são identificados os requisitos de informação relevantes, bem como normas e regulamentos internos aplicáveis ao caso concreto.

2. DESI 2: Definição do enquadramento estratégico de negócio e da estrutura organizacional, visando obter um contexto onde os processos negócio se cruzam com os processos de SI/TI e os objectivos que os SI/TI devem definir e respeitar, por forma a que os processos de negócio satisfaçam os objectivos a que estão associados.

3. DESI 3: Obtido o enquadramento estratégico e os respectivos processos de negócio, concretiza-se a definição do catálogo dos processos de gestão e de governação dos SI/TI. Para o efeito, recorre-se ao referencial internacional COBIT, obtendo-se por comparação das boas práticas, uma avaliação "as-is" por comparação ao modelo de referência. Nesta iniciativa, obtém-se assim o âmbito dos processos que mais se adequam à realidade do dia a dia da organização.

4. DESI 4: Tendo como base, por um lado, o modelo de referência COBIT e, por outro, o catálogo de processos que respondem às necessidades identificadas, procede-se à auditoria de governação, que incide em três planos distintos: (1) no plano da formalização e das evidências da realização dos processos; (2) no plano da cobertura dos processos e extensão de implementação dentro da organização; (3) no plano do nível de maturidade que os mesmos apresentam face aos critérios de classificação de acordo com o referencial CMMI.

A metodologia usada abrange quatro domínios principais:

• Planeamento e organização de SI/TI;
• Aquisição e implementação de SI/TI;
• Entrega de serviços e suporte de SI/TI;
• Monitorização dos SI/TI.

Cada domínio, que por sua vez se encontra estruturado em processos e actividades, é analisado de acordo com os seguintes requisitos de avaliação da informação:

• Eficácia (efectividade);
• Eficiência;
• Confidencialidade;
• Integridade;
• Disponibilidade;
• Conformidade;
• Credibilidade.

Clique na imagem para a visualizar em tamanho maior.

Cada domínio também é analisado de acordo com os seguintes requisitos de avaliação de recursos de informação: (1) pessoas e "skills"; (2) sistemas aplicacionais; (3) tecnologia; (4) instalações; (5) dados. Sempre que aplicável, é efectuada uma análise de conformidade ao nível de confidencialidade, integridade e disponibilidade, desses activos informacionais, aplicando os critérios propostos pelo standard mundial ISO/IEC 17799.

5. DESI 5: Execução da auditoria em segurança da informação, que é regida pelo exposto na norma britânica com reconhecimento internacional, BS7799-2, a qual tem como finalidade a verificação da implantação de controlos (127, no mínimo) específicos para a segurança da informação crítica de negócio, abrangendo áreas distintas especificadas no referencial internacional de excelência em boas práticas de segurança da informação ISO/IEC 17799. Para o efeito, concretiza-se todo um conjunto de iniciativas, tais como, por exemplo: (1) preparação da auditoria; (2) elaboração do plano de auditoria; (3) recolha, selecção e estudo de informação; (4) realização do diagnóstico de vulnerabilidades e; (5) elaboração do respectivo relatório.

6. DESI 6: Concretiza-se a análise de risco dos processos de SI/TI, incluindo a definição das principais variáveis e parâmetros no âmbito de BPI (Business Process Improvement). Para o efeito, baseamo-nos no modelo de referência proposto pelo COSO e concretizamos uma grelha que relaciona entidades de análise, relacionadas entre si, conforme a seguir se descreve:

• Por cada processo são identificados e definidos objectivos.
• Por cada objectivo, são identificados e definidos "FCS - factores críticos de sucesso", factores estes que, não existindo, comprometem o objectivo, isto é, constituem uma condição necessária, contudo, não suficiente.
• Por cada FCS e/ou grupo são identificados um "evento de risco", o qual, caso tenha lugar, "atacando" o FCS, tem como consequência o comprometimento do objectivo.
• Por cada evento de risco, são identificados indicadores de desempenho que possibilitem medir/avaliar o quanto afastados estamos do objectivo (isto é, neste caso, o indicador mede directamente o objectivo) e o quanto afastados estamos de conseguir controlar (monitorizar) o evento de risco, por forma a tomar a iniciativa mais correcta dentro das estratégias possíveis, nomeadamente: (1) evitar; (2) aceitar; (3) mitigar.
• Por evento ou grupo de riscos, são identificadas e definidas as iniciativas ou acções que visam a mitigação do mesmo (risco ou grupo de risco).

7. DESI 7: Reúnem-se todos os elementos relevantes produzidos e fundamentados em sede das etapas anteriores, por forma a elaborar o Plano de Desenvolvimento da Estratégia dos SI/TIC a concretizar no curto, médio e longo prazos. Este plano, será desenvolvido de acordo com as prioridades apercebidas no momento da sua concretização e terá como base de referência de enquadramento para o seu desenvolvimento a "framework" proposta por McFarlan (posicionamento das soluções SI/TIC definidas em quatro quadrantes, com as seguintes designações: alto potencial; estratégico; operações críticas para o negócio; operações de suporte.

Efectuado o estudo de análise de risco dos processos de SI/TI do departamento de informática da TDM (Telecomunicações de Moçambique) havia que agrupar e ordenar, segundo critérios de curto, médio e longo prazos, todo um conjunto de "findings"e de recomendações associadas aos riscos e factores críticos de sucesso determinados. A abordagem teve como base um enquadramento escalonado em camadas de níveis de abstracção, nomeadamente, as seguintes (conforme ilustrado na figura):

• A camada dos processos e aplicações que os suportam;
• A camada dos dados de negócio;
• A camada da infra-estrutura tecnológica;
• A camada da rede e infra-estrutura de comunicações (na sua componente de implantação e de gestão).

Clique na imagem para a visualizar em tamanho maior.

Assim, enquanto princípios de curto prazo, numa perspectiva de medidas correctivas, foram considerados os seguintes fundamentos, conforme apresentados na figura que se segue.

Clique na imagem para a visualizar em tamanho maior.

Na sequência, foram detalhados aspectos para cada uma das camadas atrás identificadas. Esta sequência apresenta-se nos passos seguintes, segundo as camadas atrás referidas.

Visão 1:

Clique na imagem para a visualizar em tamanho maior.

Visão 2:

Clique na imagem para a visualizar em tamanho maior.

Visão 3:

Clique na imagem para a visualizar em tamanho maior.

Visão 4:

Clique na imagem para a visualizar em tamanho maior.

As soluções prescritas enquadradas nas visões apresentadas, apresentaram-se também agrupadas como pilares do desenvolvimento organizacional de curto prazo (processos, tecnologias e pessoas), atendendo, em simultâneo, à necessidade de assegurar o desenvolvimento de longo prazo rumo ao capital intelectual (enfoque no capital humano, capital cliente; capital estrutural.

Assegurar este caminho significa a implementação de um conjunto de processos no âmbito da gestão do planeamento estratégico, conforme se ilustra na figura abaixo.

Clique na imagem para a visualizar em tamanho maior.