A Gestão de riscos em TI (em inglês, IT Risk Management) diz respeito ao conjunto de métodos/processos adotados para alcançar um equilíbrio entre os riscos e custos de operações. Os processos e rotinas organizacionais estão se tornando cada vez mais dependentes dos recursos e ferramentas tecnológicas, e juntamente com essas novas tecnologias são introduzidos os riscos que elas podem acarretar à organização. De acordo com Ashwin Pal, diretor de cibersegurança na Unisys, a segurança e o gerenciamento de riscos em Ti devem fazer parte do próprio "tecido" de qualquer organização, independentemente do seu tamanho.Ashwin Pal, "IT Risk Management and Security – Its Business Value and Application", em: CSO. https://www.cso.com.au/article/612808/hitchhiker-guide-it-security-governance-risk-management/
Uma gestão de riscos bem efetivada possibilita tomadas de decisões mais assertivas, as quais trazem resultados financeiros melhores e uma melhoria no relacionamento com o cliente.Pedro C. T. Gomes, "GESTÃO DE RISCO EM TI: ENTENDA SUA IMPORTÂNCIA", em: OP Services. https://www.opservices.com.br/gestao-de-risco-em-ti/ As atividades operacionais da empresam também são beneficiadas, pois ficam menos sujeitas a interrupções e paradas devido a ataques ou erros no sistema.TELIUM, "O que é a gestão de riscos em TI?", em: https://telium.com.br/blog/o-que-e-a-gestao-de-riscos-em-ti/
A melhor forma de se calcular um risco atualmente é baseada no TIK Framework, sendo obtido através da fórmula: Risco = ((Vulnerabilidade * Ameaça) / Contramedida) * Valor do ativo em risco Em outras palavras, um risco(no geral) é calculado levando-se em consideração a vulnerabilidade da empresa, a ameaça que o risco proporciona à organização, a eficiência da contramedida usada para anular esse risco e o valor que está jogo por causa desse risco. Os riscos em TI Os riscos em TI são considerados riscos de negócios, relacionados ao uso, operação e influência da tecnologia da informação dentro de uma empresa. Por se tratar de um risco, por definição, sua ocorrência e magnitude é incerta, o que acarreta em desafios para a organização, a qual deve prever e mensurar os possíveis riscos visando assim mitigar o seu impacto. O framework proposto pela ISACA (Information Systems Audit and Control Association), em complemento ao CobiT, define 3 categorias para os riscos relacionados a TI, sendo eles:ISACA, "The Risk IT Framework", em: ISACA.ORG. https://www.isaca.org/COBIT/Documents/Risk-IT-Framework_fmk_Eng_0610.pdf
Risco de uso de benefícios ou valores de TI: São os riscos relacionados a perda de oportunidades do uso da TI como uma forma de melhoria na eficiência dos processos empresariais, ou até mesmo sob a forma da criação de novas iniciativas de negócios. Risco de entrega de programas e/ou projetos: Diz respeito a qualidade, relevância e performance do projeto ou programa desenvolvido. Riscos operacionais e de entrega do serviço: Está associado a todos os aspectos da performance dos serviços e sistemas de TI, envolvendo problemas como a interrupção dos sistemas, problemas de segurança e outras complicações. Pode acarretar na redução ou até mesmo na perda de valores para a empresa.
Dimensões dos riscos em gerenciamento de projetos em TI O nível de risco em projetos de TI varia de acordo com seu tamanho, complexidade e escopo, entre outros fatores técnicos e organizacionais. De toda forma, esse nível está atrelado à três dimensões do projeto envolvido:
Tamanho do projeto: os riscos são diretamente proporcionais ao tamanho do projeto, e crescem junto com o orçamento, tamanho da equipe, tempo de implementação e áreas organizacionais afetadas. Estrutura do projeto: os processos são mais claros, diretos e bem definidos em projetos bem estruturados. Nestes projetos os riscos são menores devido à maior clareza das ações e expectativas geradas pelo projeto por parte dos usuários, o que facilita o comprometimento dos envolvidos e troca de informações. Experiência com tecnologia: os riscos no projeto são inversamente proporcionais ao nível de experiência da equipe envolvida. Aspectos dos projetos de TI como familiaridades com novos equipamentos, programas, sistemas, aplicações, bancos de dados, etc., A quantidade de problemas de implantação de determinada fase de um projeto tende a crescer a medida que sua equipe se envolve com tecnologia (ainda que parcialmente) desconhecida é utilizada e se necessita de tempo para compreensão de seu funcionamento e formação de habilidades específicas.
Metodologias de gerenciamento de risco em TI Não existem métodos específicos para o gerenciamento de riscos, porém há processos comuns que devem ser seguidos para um gerenciamento eficiente. A NIST 800-30 e a ISO 27005:2018 descrevem uma série de processo comuns a toda metodologia de gerenciamento de risco, mas que não precisam ser seguidos necessariamente na ordem proposta, porém devem ser aplicados de alguma forma. Alguns dos processos comuns a ambos consistem em:
Estabelecimento do contexto do gerenciamento de riscos Esse é o primeiro componente do gerenciamento de riscos, aborda a forma como a empresa irá tomar suas decisões baseadas nos riscos. O objetivo desse processo é montar uma estratégia de gerenciamento de risco e definir os critérios que serão adotados pela organização para a avaliação, resposta e monitoramento dos riscos assim como o nível de tolerância dos riscos.
É a base para todos os outros processos no gerenciamento de risco, sendo assim, um estabelecimento de contexto (ou escopo) mal feito pode acarretar na ineficiência da metodologia tomada para o gerenciamento de riscos.
Esta etapa inclui a aquisição de informações para geração de um plano de gerenciamento de riscos, a determinação de critérios de avaliação de riscos assim como de seus impactos, da aceitação de riscos, escopo e limites das atividades e tarefas do projeto e designação de funções e organização interna para gerenciamento e segurança da informação.
Aceitação de riscos Segundo a Agência Europeia para a Segurança das Redes e da Informação (ENISA), a aceitação de riscos residuais resulta do tratamento de riscos pelos tomadores de decisão nos níveis executivos das organizações. Ao serem aceitos, os riscos são considerados assumidos pela organização, tendo uma relação inversamente proporcional a gestão destes riscos (maiores riscos assumidos equivalem a menores esforços na gestão de riscos). A aceitação de riscos é um processo opcional e pode fazer parte das etapas de tratamento ou comunicação de riscos, porém, ao dedicar uma etapa da avaliação de riscos à aceitação, os gestores de risco trazem aos tomadores de decisão a atenção necessária à um problema ou questão que necessita de cautela diferenciada.
Escopo Os riscos conexos ao escopo se relacionam com os seguintes aspectos:
Objetivos Metas Fases e subfases Tarefas Recursos Orçamento Prazos
Os riscos inerentes ao escopo incluem, não se limitando a, a responsabilidade e função dos indivíduos no projeto, mudanças nas definições do resultado final, problemas na compreensão das mudanças de escopo por parte da equipe, mudanças das necessidades do projeto, análises das necessidades do projeto insatisfatórias, má observância as prioridades, prazos e orçamento.
As ferramentas e técnicas usadas para identificação de riscos no escopo incluem:
Entrevistas Brainstorming Análise de premissas de projeto Diagrama de causa e efeito Técnica de grupo nominal (NGT, na sigla em inglês) Diagrama de afinidades Estrutura analítica do projeto (WBS, na sigla em inglês)
Análise de riscos A análise de riscos visa identificar os riscos e ameaças e quais seus alcances no projeto, utilizando de métodos qualitativos e quantitativos.Aguinald A. Fernandes, Vladimir F. de Abreu, capítulo: "Modelo de Governança de TI", em: "Implementando a Governança de TI(Editora BRASPORT - 2014)" O resultado dessa análise auxilia a decisão de quais métodos de controle serão utilizados na nos processos de mitigação. O processo de análise depende de diversas variáveis, as quais dependendo do tamanho e abrangência da organização ou serviço, fica impossível de ser analisado somente por uma pessoa. Na atualidade, com o desenvolvimento da tecnologia, grande parte do processo de análise é automatizado,Moreira, Esdras, "6 passos no processo de gerenciamento de riscos", em: https://transformacaodigital.com/6-passos-no-processo-de-gerenciamento-de-riscos/" ficando a cargo do sistema analisar os fatores e entregar ao usuário o resultado para que ele possa tomar as devidas decisões. Um dos principais fatores que possibilitam que esse processo se torne cada vez mais automatizado é o desenvolvimento de algoritmos complexos e o crescente uso da inteligência artificial no cenário corporativo.
Estes e outros processos de gerenciamento de risco em T.I tem ganhado destaque, isso porque os processos e rotinas organizacionais estão cada vez mais dependentes de recursos e ferramentas tecnológicas,para que se execute com êxito é necessário o conhecimento dos métodos de gerenciamento do projeto. Sendo assim temos o método tradicional: Abordagem do Livro de Conhecimento em Gerenciamento de Projetos (PMBOK), Abordagem do Projeto em Ambiente Controlado (PRINCE2) e o Abordagem do livro para gerenciamento de projetos e programas para empresas inovação (P2M). método ágil: SCRUM, Gerenciamento ágil de projetos(APM) e o Método de Desenvolvimento de Sistemas Dinâmicos(DSDM).
A avaliação de riscos à segurança da informação abrange três aspectos formais: a identificação, a análise e a estimativa de riscos. A identificação de riscos procura definir possíveis causas de prejuízo, as quais são relacionadas à recursos da empresa, ameaças, controles existentes, vulnerabilidades e suas consequências. A análise de riscos visa estimar de forma qualitativa ou quantitativa os riscos organizacionais relacionados à segurança da informação e envolvem a avaliação das consequências pelo valor dos ativos atingidos, a probabilidade de um incidente através da avaliação de vulnerabilidades e determinação do nível de risco relacionando a probabilidade de um evento e suas consequências. Por último, a estimativa de riscos compara o nível de riscos projetados com os critérios de aceitação de riscos, e auxilia na determinação de prioridades na tomada de decisão da mitigação destes riscos.
Identificação de ameaças A identificação de ameaças está relacionada a quais ativos dos sistemas de informação uma organização considera críticos. Assim que estes ativos estejam definidos, é possível determinar a quais ameaças ou vulnerabilidades eles estão relacionados. As ameaças aos sistemas de informação e dados podem ser de naturezas diversas, ocasionadas por questões ambientais, físicas, de infra-estrutura e suporte ou técnicas.
Ameaças ambientais:
Condições climáticas; Alagamentos; Tsunamis; Incêndios; Tempestades e raios; Poeira; Fumaça; Contato com água por meio de vazamentos em encanamentos, telhados, condensação ou ativação de sprinklers; Vibração; Interferências eletromagnéticas.
Ameaças Físicas:
Acesso não autorizado; Roubo; Vandalismo; Sabotagem; Terrorismo; Guerra; Transporte inadequado; Ação externa danosa como exposição à chuva ou aparelhos de raios-X; Colisões; Quedas.
Ameaças de Infra-estrutura ou de suporte:
Quedas de fornecimento de energia; Falha no controle de temperatura; Falha no controle de umidade; Manutenção inadequada; Falta de pessoal; Falhas no controle de descarte de material.
Ameaças de ordem técnica:
Procedimentos inadequados; Operações inadequadas; Configurações de hardware ou software diferentes das recomendadas; Modificações de hardware ou software sem autorização; Cópia de software, dados ou outras informações; Quantidade de acessos superior ao previsto; Classificação de segurança de equipamentos equivocada; Falhas de hardware, software, mídia ou serviços de comunicação;