eChiron: o Risk Manager Foi um Contributo Decisivo Para o Sucesso

A eChiron foi criada no ano 2000, tendo-se diferenciado pelo lançamento de serviços de tecnologias de informação inovadores e económicos, que permitiram conquistar a confiança dos seus clientes, tendo-se tornado um dos Managed Services Providers de referência em Portugal. Os serviços eChiron caracterizam-se por serem suportados na Internet, geridos com base em contratos de nível de serviço (SLA) claros e mensuráveis, transparentes para o cliente, permitindo atingir níveis de serviço elevados de forma económica, comprovados pelos clientes da empresa e pelo histórico de sete anos de serviço. Estes sete anos de serviço traduzem-se em mais de 150 000 incidentes resolvidos e 60 000 pedidos de alteração, o que ilustra a maneira de servir da eChiron.
 
A Necessidade

Mantendo uma preocupação constante com a excelência, a eChiron obteve a certificação do seu sistema de qualidade de acordo com a norma NP EN ISSO 9001:2000, atribuída pela APCER (Associação Portuguesa de Certificação), e aplicável a toda a actividade da empresa.

Para auxílio na implementação da certificação ISSO 27001 ? peça chave na segurança de sistemas de informação nos seus serviços de hosting avançado ? a eChiron detectou a necessidade de ter uma visão integrada, por um lado, dos riscos pendentes sobre a sua infra-estrutura tecnológica, que suporta os serviços dos clientes e, por outro, do nível de conformidade dos seus processos de gestão de segurança, tais como o processo de resolução de incidentes de segurança, ou de gestão de vulnerabilidades tecnológicas.

A Solução

Atendendo ao desafio de minimizar o tempo de ocupação dos recursos da eChiron no projecto de implementação da ISO 27001, foi decidido recorrer a uma ferramenta informática que possibilitasse a automatização da recolha e compilação de dados, de forma a poderem obter-se ganhos significativos de tempo e optimização na utilização dos recursos da organização.

O Risk Manager foi empregue para estruturar a metodologia de implementação da ISO 27001, tendo sido utilizado para a caracterização dos processos, inventariação de activos (tecnológicos, instalações, recursos humanos), estimação do valor para o negócio de cada processo e activo, identificação de riscos e do seu nível de probabilidade e severidade. No final foi produzida uma análise dos níveis de risco, perspectivado por activo, processo, área de negócio ou área geográfica. Os principais entregáveis do Risk Manager foram:

• Definição do modelo de gestão de segurança da informação na eChiron para gestão do risco.
• Incorporação dos activos da eChiron incluídos no âmbito do sistema de gestão de segurança da informação (pessoas, processos, tecnologia, ambiente).
• Produção de indicadores, relatórios, estatísticas e painéis de controlo no âmbito da gestão do risco e da segurança da informação.
• Constituição do repositório de evidências para auxílio aos processos de auditoria interna e externa (certificação ISO 27001).
  

Segundo as palavras de Hélio Fortunato, gestor de projecto na eChiron, "a eChiron acredita que o Risk Manager foi uma escolha acertada. Nesta fase do nosso projecto 27001 provou ser uma ferramenta valiosa em termos de recolha e sistematização de informação, de modo acelerado e com perturbação mínima da equipa. Permitiu ainda a obtenção de uma visão integrada das várias componentes do projecto, tecnológicas, processuais e humanas. Um contributo decisivo para o sucesso do projecto?.

Benefícios

• Visão facilitada e integrada da segurança dos activos e perímetros da organização, através da manutenção de informações estruturadas e centralizadas das análises do risco.
• Auxílio precioso à verificação, no tempo, da conformidade com a ISSO 27001 e ISO 27002 (anteriormente designada como ISO 17799).
• Bases de conhecimento diversificado.
• Auxílio na justificação e optimização dos investimentos em segurança.
• Redução do custo de investimento (tempo, maioritariamente) na execução de análises de riscos.
• Aumento da produtividade em matéria de análise de segurança.
• Auxílio na optimização do planeamento de actividades de segurança.
• Auxílio na organização das evidências para demonstração de conformidade a entidades internas e externas.
• Aumento do controlo dos riscos e auxílio na gestão para a sua redução.
  

A Sinfic é Security Provider (primeiro a nível europeu) da Módulo para os mercados onde actua (Portugal, Angola e Moçambique). A Módulo é a empresa que desenvolveu a solução Risk Manager, comercializada pela Sinfic nos mercados referidos atrás. A parceria entre a Módulo e a Sinfic foi estabelecida formalmente em Setembro de 2007 e anunciada o mercado em Dezembro do mesmo ano.