Modulo Risk Manager: Sistema de Avaliação do Risco, Conformidade e Gestão de Conhecimento

O Modulo Risk Manager automatiza o processo de avaliação do risco e produz múltiplos relatórios de conformidade a partir de evidências recolhidas, reduzindo eficientemente a execução dos ciclos de auditoria. Além disso, é uma solução de fácil aprendizagem e pode correr num computador portátil ou de secretária, bem como num servidor departamental ou da organização, não requerendo a instalação de agentes em máquinas remotas a analisar.
 
Esta solução da Módulo Security, representada em Portugal pela Sinfic, efectua de forma célere a recolha de informação sobre os activos de TI (tecnologias de informação), localmente, remotamente, em on-line ou em off-line, calculando os níveis de risco de forma rápida e eficaz através da comparação da informação recolhida com as boas práticas de variados standards, recomendações de fabricantes e/ou boas práticas de mercado, cada uma das quais é considerada como um controlo no RiskManager e cujo conjunto se denomina 'base de conhecimento'.

Adicionalmente, como a solução contém pré-configurados valores de nível de risco associados a cada controlo, estimados pela larga experiência do Modulo Security Lab (o laboratório de desenvolvimento interno da Módulo), por omissão de conformidade com um ou vários controlos, podemos facilmente identificar o risco de um activo de TI face a um ou mais referenciais.

Outras bases de conhecimento específicas simplificam também o processo de entrevistas a activos humanos, com questionários pré-preparados ou criados pela própria organização. Nesta actividade consegue-se igualmente uma extrema poupança de tempo, através da possibilidade de envio de um pacote electrónico por email para as pessoas a inquirir responderem via questionários off-line, ou em modo on-line através do envio de convite de entrevistas, também por email, para recolha de respostas via uma aplicação Web (WebInterview).

Após a conclusão das respostas de cada questionário, estas são incorporadas na solução RiskManager e de imediato mapeadas com os controlos que constam na base de conhecimento pretendida (boas práticas de variados standards, recomendações de fabricantes e/ou boas práticas de mercado, entre outras). Estas respostas são guardadas automaticamente num repositório seguro, servindo de evidências de auditoria, em forma de 'auto-avaliação'.

Desta forma, consegue-se reduzir drasticamente o tempo e as capacidades necessárias para a recolha de dados/evidências. No caso dos activos tecnológicos, estão incluídos no Risk Manager cerca de 3745 colectores de evidências. A combinação destas ferramentas reduz o tempo global de recolha de dados entre 25 e 75 por cento.

Os valores de risco são calculados com base na sua probabilidade, impacto, e relevância para com o negócio e seus processos. Para os primeiros dois (probabilidade e impacto) já existem valores pré-determinados armazenados na base de conhecimento, pelo que a equipa de gestão de uma organização só necessita de estimar a relevância para com o negócio, trabalhando em coordenação com os auditores e os profissionais de TI. O método utilizado está definido na ISO Guide 73.

O Risk Manager encoraja uma abordagem estruturada descendente (top-down) para a avaliação, começando por facilitar a captura dos nomes das unidades ou objectivos de negócio abrangidas (primeiro nível) por uma auditoria, e depois os nomes dos componentes que suportam essas unidades ou objectivos de negócio (segundo nível). Só seguidamente é que vem a descrição dos activos (terceiro nível), associando estes últimos ao segundo e ao primeiro nível.

O Risk Manager pode gerar um conjunto completo de relatórios em apenas alguns minutos e em qualquer altura durante qualquer fase da avaliação. Desta forma, faz com que os relatórios de estado situacional sejam simples de produzir. De igual modo, a tarefa de escrever relatórios é praticamente eliminada.

Estes relatórios incluem gráficos organizacionais gerados automaticamente no Microsoft Visio, com valores de risco por activos e seus níveis superiores, bem como inúmeros quadros, tabelas e estatísticas, apresentados com base numa matriz cromática ajustável pela organização. Estes elementos podem ser editados e costumizados pela equipa de gestão ou de auditores, e são consistentes para todas as divisões, unidades de negócio, locais e aplicações, facilitando assim a utilização desses valores de risco por parte da gestão e a compreensão da conformidade organizacional face a um determinado standard.

Os valores numéricos de risco permitem que a gestão da segurança priorize as suas acções para mitigação de risco. As tarefas de mitigação são apresentadas discriminadamente por ordem descendente quanto ao potencial de risco identificado, contendo explicações do valor apresentado e recomendações para sua mitigação.

Por sua vez, o Risk Manager possui uma metaframework, uma consolidação cruzada dos vários controlos das várias bases de conhecimento, que permite que a organização produza um conjunto de relatórios que possibilitem obter uma visão de conformidade com qualquer um dos standards contidos na solução.

Para clarificar este cenário de cruzamento de referenciais, temos como exemplo que a resposta de conformidade a um controlo específico da ISO 27002/17799 (boas práticas em segurança da informação) pode responder automaticamente a um ou mais controlos do modelo de referência VISA-PCI. Assim, e como outro exemplo, concluindo-se uma auditoria de conformidade face à base de conhecimento 'SOX', pode-se solicitar a emissão de um relatório de conformidade face ao HIPAA, ao PCI, ao COBIT ou NIST 800-53 entre outros, que é produzido tendo em conta as evidências coleccionadas em sede da auditoria realizada, cruzando controlos entre os vários standards.

Isto permite que os profissionais, de segurança de TI, por exemplo, obtenham e guardem evidências na preparação para a conformidade com as várias auditorias a que uma organização está sujeita durante o ano, utilizando uma abordagem e ferramenta una de gestão de risco.

O Risk Manager está no seu sétimo ano de desenvolvimento para o mercado, pelo que é um produto maduro e fiável. Quem o utiliza, não está a utilizar apenas o software, mas a experiência acumulada de mais de 300 consultores em segurança da Módulo, que o utilizam diariamente para a avaliação de riscos e conformidade. O Risk Manager é ideal para a parte de TI das auditorias Sarbanes-Oxley, que são derivadas normalmente do COBIT, ISO ou NIST, por exemplo.

Saliente-se que o RiskManager possui bases de conhecimento e ferramentas de análise que permitem efectuar auditorias, não só a ambientes tecnológicos e activos humanos, mas também a ambientes (centro de processamento de dados e edifícios, por exemplo) e a processos (internos da organização ou, por exemplo, processo de gestão da continuidade de negócio segundo a BS 25999)

A Módulo Security segue as práticas de desenvolvimento ISO 9001 e foi a primeira empresa do mundo a obter a certificação ISO 27001.

Problemas que o Modulo Risk Manager resolve

O Risk Manager resolve os problemas que apresentamos a seguir, entre outros:

• Retorno em termos de capital humano. Sempre que um empregado abandona a empresa durante a condução de uma auditoria, também sai com ele conhecimento caro. O Risk Manager captura e armazena esse conhecimento.
• A formação de novas pessoas, seja em termos de boas práticas de segurança ou outras matérias, pode ser dispendioso em termos de tempo e de dinheiro. O Risk Manager equipa as pessoas com conhecimento e processos para reduzir consideravelmente esse tempo.
• Custos de viagens. É frequente a necessidade de enviar mais do que um especialista/auditor para um determinado local a fim de realizar entrevistas ou recolher evidências. Estas deslocações, além de serem caras, costuma ser uma fonte de atrasos. Uma única pessoa, equipada com o Risk Manager, pode tratar da maior parte dos domínios envolvidos e frequentemente sem ter que viajar.
• Inconsistência. Os especialistas costuma criar os seus próprios controlos, métodos e formatos de relatórios, com base na sua própria experiência, que varia de especialista para especialista. O Risk Manager introduz e consolida metodologia no software, proporcionando assim consistência na recolha de evidências, sua análise e produção de relatórios.
• Medições díspares. Os indivíduos, fabricantes e terceiras partes utilizam as suas próprias ferramentas para a recolha de dados. O Risk Manager inclui todos os colectores necessários e todos eles utilizam a classificação de risco PSR (probabilidade, severidade, relevância).
  "Se não consegue medir, não consegue gerir". O Risk Manager aplica o método de medição mais prático, recomendado pela ISO Guide 73, de forma uniforme a todos os activos e controlos.
• Não existe um repositório de evidências seguro em todas as instalações de auditoria para a catalogação dos resultados e das evidências. As folhas de cálculo ficam assim cheias de ligações para evidências e não podem ser partilhadas devido à sua dimensão e ao risco de segurança inerente à sua partilha via correio electrónico. Com o Risk Manager, pode-se seleccionar e distribuir a informação apropriada para qualquer departamento ou pessoa, com transmissão encriptada.
• A informação é guardada de forma a evitar interferências.
• O controlo de alterações e a coordenação da distribuição de alterações é difícil, sem qualquer garantia de que as alterações eram recebidas e adoptadas. O Risk
• Manager fornece actualizações ao vivo para manter os standards e o software actualizado.
• É necessário muito tempo e é quase impossível manter pequenas equipas actualizadas quanto a novas leis, regulamentações, controlos e vulnerabilidades. Com o Risk Manager, cada pessoa dispõe do conhecimento e da experiência de centenas de especialistas.
• A gestão de projectos, a preparação e integração de relatórios costuma consumir muito tempo, tornando os relatórios de estado inexactos. O Risk Manager reduz o tempo de preparação a zero, gerando os relatórios automaticamente.
• Redundância. Em vez de se exigir às pessoas que recolham repetidamente a mesma informação e respostas às mesmas questões, o Risk Manager pode obter as mesmas evidências e respostas para múltiplas auditorias, optimizando os ciclos de auditoria. 

Produzido em 2008