Feeds:
Posts
Comentários

Archive for the ‘IT Governance’ Category

AGHATHA VIRTUAL OFFICE ASSISTANT SERVICES© – Servicos Assistente Virtual e Suporte tecnico compliance Norma ISO-IEC-27002:2013 – Seguranca Informacao

AGHATHA VIRTUAL OFFICE ASSISTANT SERVICES© – Servicos Assistente Virtual e Suporte tecnico compliance Norma ISO-IEC-27002:2013 – Seguranca Informacao

aghatha_maxi_top_300_300

Está disponível para Licenciamento (www.aghatha.com.br) o  AGHATHA Framework destina-se ao  compliance das recomendações e práticas estabelecidas pela Norma ISO-27002:2005 – Gestão da Segurança da Informação. https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

Norma ISO-27002:2013 – Gestão da Segurança da Informação

O Aghatha Framework é Um Suite Completo de processos normativos, sendo  composto por  175 modelos de documentos pré-formatados no padrão recomendado pela ABNT para uso em documentos da qualidade. documento_padrao_aghatha_framework Templates são integrados entre si  e disponibilizados sob a forma de Politicas (Diretrizes para a Aplicação dos Padrões) , Normas (Regras técnicas para aplicação dos Padrões) e Procedimentos (Passo-a-Passo indicando como realizar os controles operacionais) e seus respectivos controles e registros preparados para utilização. PIRAMEDE Com este Framework é possível estruturar a Gestão Documentos Técnicos de Compliance a Norma ISO-27002:2013, Gestão de Riscos em TI, Organização Segurança Informação, Politica Segurança, Gestão de Acessos físicos e lógicos, Gestão de Operações e Comunicações, Inventário de Ativos, Gestão da Segurança de Recursos Humanos (Colaboradores e Terceiros, e todos os demais tópicos e recomendações estabelecidos pelas Normas ISO-27001:2013 e ISO-27002:2013, ISO-27005, ISO-27003. Convidamos a visitar a pagina de acesso as informações e conteúdos deste Framework, disponível em: http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html É possível ainda, a contratação de serviços de suporte técnico on-line, com execução não presencial através de salas virtuais seguras sob demanda.

AGHATHA VIRTUAL OFFICE ASSISTANT SERVICES©

Virtual office assistant services sob demanda, contratação on-line em nosso site AGHATHA.COM.BR

Serviços de Consultoria virtual sob demanda (On-Demand Services) = Economize custos com deslocamentos, estadias e alimentação em projetos de Compliance em TI.

Nossos Consultores estão a sua disposição sob demanda, eventos pontuais com hora marcada para a apoia-lo na solução de suas necessidades (Solução de Gap´s, explanações de formas alternativas de atendimento de requisitos de compliance nos diversos padrões e normas, satisfação de dúvidas e esclarecimentos técnicos, suporte no planejamento e execução de auditorias de auto-avaliação (self-assessment) e/ou em Auditorias Externas. Veja mais detalhes em nossas paginas  em: Suporte Técnico:

  • Serviço executado sob demanda com preço acessível
  • Curto espaço de Tempo entre o acionamento do serviço e a disponibilização do profissional para o atendimento da necessidade pontual / emergencial.
  • Acesso a especialistas em Processos, Controles e Compliance de TI para solução emergencial de problemas.
  • Recomendações baseadas em cases e experiencias práticas obtidas em diversos projetos de compliance.
  • Dispensa a necessidade de custos adicionais com despesas de Deslocamento, Estadia e Alimentação.

http://aghatha.com/index.php/services/technical-support/servico-consultoria-suporte-tecnico-compliance-ti-nao-presencial.html Consultoria Técnica Compliance Processos e Controles TI:

  • Serviço executado sob demanda com preço acessível.
  • Curto espaço de Tempo entre o acionamento do serviço e a disponibilização do profissional para o atendimento da demanda.
  • Acesso a especialistas em Processos, Controles e Compliance de TI para solução emergencial de problemas.
  • Recomendações baseadas em cases e experiencias práticas obtidas em diversos projetos de compliance.
  • Possibilidade de integração dos demais serviços oferecidos nesta Webstore na composição da solução a ser entregue / atendimento da demanda (Nestes casos, os Preços praticados nos serviços seguirão os mesmos valores publicados neste website).
  • Dispensa a necessidade de custos e despesas adicionais com Deslocamento, Estadia e Alimentação.

http://aghatha.com/index.php/services/it-compliance-consulting/servico-consultoria-tecnica-especializada-estruturacao-de-processos-e-controles-compliance-ti-nao-presencial.html Fabrica de Processos e Controles para Compliance de TI:

  • Meio de acesso a equipe de consultores especialistas em Compliance e equipe de documentação e formalização de Processos e Controles do AGHATHA Framework.
  • Consultor e documentador disponíveis sob demanda e atuação definida através orçamento prévio com preço fechado.
  • Acesso aos componentes biblioteca de modelos integrados de processos e controles AGHATHA Framework.
  • Redução de redundância de processos e controles (Visão Cross entre os diversos padrões e melhores práticas aplicáveis em TI).
  • Redução tempo e esforço definição de entregáveis, distribuição e integração das atividades e responsabilidades.
  • Possibilidade de documentação de processos e controles no padrão interno vigente no amboente do cliente.
  • Dispensa a necessidade de custos e despesas adicionais com Deslocamento, Estadia e Alimentação.

http://aghatha.com/index.php/services/customize/fabrica-de-processos-bpm-construcao-e-customizacao-sob-medida-de-documentos-processos-e-controles-para-compliance-ti-outsourcing.html

AGHATHA.COM.BR  – Próximos Lançamentos (Frameworks para o Compliance em TI)

Em breve estaremos lançando outros Frameworks relacionados a compliance em Tecnologia da Informação nos padrões ITIL, PMO / PMI, OPM3 / PMI, Governança Corporativa,  Governança de TI, Sarbanes-Oxley, ISO-20.000:1/2, Prince 2, e frameworks especiais relacionados a padrões requeridos a Provedores Serviços Gerenciados (fabrica de software, fábrica de testes, fabrica de projetos, SOC/NOC, Help-Desk / Service Desk).

AGHATHA.COM.BR – Veja como é Simples e Rápido obter acesso aos nossos Frameworks para o Compliance em TI.

Visite também nosso website e saiba mais informações sobre nossos produtos e serviços para o Compliance de TI:http://www.aghatha.com.br/processos.htm Abraço a todos. Eurico Haan de Oliveira http://www.aghatha.com

Apresentação:  AGHATHA Framework – Norma ISO-27001:2/2013.

Relação de Componentes: AGHATHA Framework – Norma ISO-27001:2/2013.

Documentos são confeccionados no formato e estruturas indicados para documentos da qualidade em processos, contém Objetivo, campo de aplicação, documentos relacionados, corpo do conteúdo, validade, anexos,controle dos registros , responsáveis.

Tipo Documento Componentes AGHATHA Framework – Norma ISO-27002:2013
Registro AG00-FR-0008-Formulario-padrao-controles
Registro AG00-FR-0009-Formulario-padrao-procedimentos
Registro AG00-FR-0010-Formulario-padrao-normas
Registro AG00-FR-0011-Formulario-padrao-politicas
Registro AG00-WI-0000-Formulario-padrao-instrucoes-de-trabalho
Registro AG20-FR-0002-Controle-de-documento-controlado-copias-impressas
Registro AG20-FR-0003-Relacao-de-documentos-controlados
Registro AG20-FR-0005-Controle-mudancas-documentos-framework
Registro AG20-FR-0012-Lista-componentes-aghatha-framework-iso-27002
Norma AG20-NO-0001-Padrao-nomenclatura-documentacao-framework-de-processos-e-controles
Norma AG20-NO-0002-Norma-controle-qualidade-framework-processos-controles
Norma AG20-NO-0003-Norma-padrao_notacao-bpmn-adotada-aghatha-Framework-Processos-Controles
Politica AG20-PO-0001-Politica-padronizacao-documentos-Framework-Processos-Controles
Procedimento AG20-PR-0001-Procedimento-edicao-revisao-e-revogacao-vigencia-documentos
Registro IT01-FR-0110-Lista-presencas-treinamentos-usuarios
Registro IT01-FR-0130A-Termo-de-confidencialidade-e-sigilo-colaboradores
Registro IT01-FR-0130B-Termo-de-confidencialidade-e-sigilo-prestador-de-servicos-pj
Registro IT01-FR-0130C-Termo-de-adesao-a-politica-de-acesso-a-rede-colaboradores
Registro IT01-FR-0130D-Aviso-previo-sem-justa-causa-ao-colaborador
Registro IT01-FR-0130E-Aviso-previo-com-justa-causa-ao-colaborador
Registro IT01-FR-0640A-Termo-acordo-intercambio-de-informacoes-eletronicas-e-nao-eletronicas-entre-empresas
Norma IT01-NO-0010-Norma-de-revisao-da-politica-de-seguranca-da-informacao
Norma IT01-NO-0020-Norma-de-avaliacao-e-qualificacao-dos-riscos-de-ti
Norma IT01-NO-0030-Norma-de-organizacao-do-gerenciamento-de-riscos-de-ti
Norma IT01-NO-0060-Norma-de-organizacao-da-seguranca-da-informacao
Norma IT01-NO-0070-Manual-de-organizacao-de-conceitos
Norma IT01-NO-0080-Norma-de-gestao-de-riscos-com-partes-externas
Norma IT01-NO-0100-Norma-de-inventario-de-ativos-de-TI
Norma IT01-NO-0110-Norma-de-classificacao-e-responsabilidades-sobre-ativos
Norma IT01-NO-0120-Norma-de-classificacao-da-informacao
Norma IT01-NO-0130-Norma-de-seguranca-de-recursos-humanos
Norma IT01-NO-0140-Norma-de-gestao-dos-recursos-humanos-terceirizados
Registro IT01-NO-0150A-Anexo 1-Termo-de-ciencia-e-declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Registro IT01-NO-0150B-Anexo 2-Declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Norma IT01-NO-0150-Codigo-de-etica
Norma IT01-NO-0160-A
Norma IT01-NO-0160-Norma-estrutura-organizacional-de-cargos-e-funcoes-de-TI
Norma IT01-NO-0170-Norma-de-acesso-a-areas-seguras
Norma IT01-NO-0180-Norma-de-seguranca-de-equipamentos
Norma IT01-NO-0200-Norma-de-protecao-contra-codigos-maliciosos-e-moveis
Norma IT01-NO-0210-Norma-de-copias-de-seguranca-backup-e-restore-de-informacoes
Norma IT01-NO-0220-Norma-de-manuseio-de-midias
Norma IT01-NO-0230-Norma-de-gerenciamento-de-seguranca-e-acesso-a-rede-de-dados
Norma IT01-NO-0231-Norma-de-controle-computacao-movel-e-acesso-remoto
Norma IT01-NO-0250-Norma-de-seguranca-no-acesso-a-internet-e-correio-eletronico
Norma IT01-NO-0260-Norma-geral-de-procedimentos-e-responsabilidades-operacionais
Norma IT01-NO-0265-Norma-de-avaliacao-de-fornecedores-de-ti
Norma IT01-NO-0270-Norma-de-requisitos-do-negocio-para-controle-de-acesso-logico
Norma IT01-NO-0280-Norma-de-controle-de-acesso-logico-aos-usuarios
Norma IT01-NO-0290-Norma-nomenclatura-de-usuarios
Norma IT01-NO-0300-Norma-de-controle-de-acesso-a-aplicacoes-e-informacoes
Norma IT01-NO-0310-Norma-de-controle-de-concessao-de-uso-de-computacao-movel
Norma IT01-NO-0320-Norma-de-responsabilidades-dos-usuarios-colaboradores-e-terceiros
Norma IT01-NO-0330-Norma-de-requisitos-de-seguranca-para-sistemas-e-aplicacoes
Norma IT01-NO-0340-Norma-de-gestao-das-vulnerabilidades-tecnicas-de-sistemas
Norma IT01-NO-0350-Norma-de-aplicacao-e-controle-chaves-criptograficas-de-dados
Norma IT01-NO-0355-Norma-de-alteracao-em-sistemas-e-aplicacoes
Norma IT01-NO-0360-Norma-de-notificacao-de-eventos-e-fragilidades-de-seguranca
Norma IT01-NO-0370-Norma-de-planejamento-de-contingencias-de-TI
Norma IT01-NO-0380-Norma-de-garantia-da-qualidade-em-processos-e-controles-de-ti
Politica IT01-PO-0000-Politica-de-seguranca-da-informacao
Procedimento IT01-PR-0001-Procedimento-organizacao-e-revisao-da-politica-de-seguranca-da-informacao
Registro IT01-PR-0030A-Plano-de-acao-tratamento-riscos-de-ti
Registro IT01-PR-0030B-FMEA-Mapa-de-riscos-de-TI
Procedimento IT01-PR-0030-Procedimento-de-controle-de-ameacas-e-vulnerabilidades-de-ti
Registro IT01-PR-0110A-Lista-mestre-dos-registros-e-controles-de-ti
Procedimento IT01-PR-0110-Procedimento-de-revisao-da-seguranca-da-informacao
Procedimento IT01-PR-0120-Programa-de-treinamentos-e-sensibilizacao-seguranca-informacao
Procedimento IT01-PR-0190-Procedimento-de-Identificacao-e-tratamento-riscos-partes-externas
Registro IT01-PR-0200A-Controle-de-inventario-equipamentos-e-rede
Registro IT01-PR–0200B–Controle-de-inventario-sistemas-criticos
Registro IT01-PR-0200C-Termo-de-destruicao-descarte-seguro-de-ativos
Registro IT01-PR-0200D-Termo-de-responsabilidade-sobre-sistemas-e-aplicacoes
Registro IT01-PR-0200E-Termo-de-responsabilidade-sobre-equipamentos-e-perifericos
Procedimento IT01-PR-0200-Procedimento-de-controle-inventario-ativos-de-ti
Registro IT01-PR–0230A–Controle-de-fornecedores-criticos.xls
Procedimento IT01-PR-0230-Controle-de-fornecedores-criticos
Registro IT01-PR-0240A-Inventario-de-Informações-criticas
Registro IT01-PR-0240B-Termo-de-destruicao-e-descarte-seguro-informacoes-classificadas
Registro IT01-PR-0240C-Termo-de-responsabilidade-sobre-informacao-classificada
Procedimento IT01-PR-0240-Identificacao-e-classificacao-informacao
Registro IT01-PR-0250A–Solicitacao-de-criacao-e-delecao-de-repositorio-na-rede
Registro IT01-PR-0250B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Registro IT01-PR-0250C-Termo-de-responsabilidade-sobre-diretorio-informacoes-na-rede-dados
Procedimento IT01-PR-0250-Manipulacao-conteudos-pastas-eletronicas-e-repositorios-na-rede
Procedimento IT01-PR-0270-Seguranca-recursos-humanos-colaboradores
Procedimento IT01-PR-0280-Seguranca-recursos-humanos-terceiros
Procedimento IT01-PR-0281-Rescisao-contrato-trabalho-terceiros
Registro IT01-PR-0282A-Avaliacao-de-desempenho-recursos-humanos-colaboradores-e-terceiros
Procedimento IT01-PR-0282-Processo-de-avaliacao-desempenho-recursos-humanos-terceirizados
Procedimento IT01-PR-0283-Processo-de-avaliacao-desempenho-recursos-humanos-colaboradores
Registro IT01-PR-0330A-Descricao-de-cargos-e-funcoes-de-ti
Registro IT01-PR-0330B-Descricao-atribuicoes-de-comites-e-grupos-tematicos-de-ti
Procedimento IT01-PR-0330-Processo-documentacao-da-descricao-de-cargos-e-funcoes-de-colaboradores-e-terceiros
Registro IT01-PR-0340A-Mapa-de-composicao-do-headcount-de-ti
Procedimento IT01-PR-0340-Composicao-e-revisao-do-mapa-lotacao-de-ti
Registro IT01-PR-0380A-Checklist-de-avaliacao-de-locais-do-perimetro-de-seguranca
Registro IT01-PR-0380C-Mapa-de-controle-locais-do-perimetro-de-seguranca-de-ti
Registro IT01-PR-0380D-Plano-de-acao-corretiva-areas-do-perimetro-seguranca-de-ti
Procedimento IT01-PR-0380-Procedimento-controle-do-perimetros-de-seguranca-fisica
Procedimento IT01-PR-0400-Controle-acesso-fisico-dependencias-de-ti
Registro IT01-PR-0410A-Registro-de-visitas-ao-datacenter
Procedimento IT01-PR-0410-Procedimento-controle-de-visitas-ao-datacenter
Registro IT01-PR-0420A-Mapa-de-controle-de-equipamentos-e-Rede
Registro IT01-PR-0420B-Checklist-para-instalacao-de-equipamentos
Registro IT01-PR-0420C-Relacao-de-software-padrao
Procedimento IT01-PR-0420-Procedimento-de-instalacao-manutencao-e-protecao-dos-equipamentos-de-TI
Registro IT01-PR-0450A-Termo-custodia-equipamento-propriedade-empresa
Registro IT01-PR-0450B-Termo-devolucao-equipamento-custodiado
Procedimento IT01-PR-0450-Procedimento-de-seguranca-de-equipamentos-instalados-fora-dependencias-da-organizacao
Registro IT01-PR-0455A –Solicitacao-de-acesso-temporario-para-visitantes
Procedimento IT01-PR-0455-Controle-de-acesso-fisico-a-portaria-de-pedestres-e-veiculos
Procedimento IT01-PR-0490-Procedimento-de-controle-de-antivirus-codigos-maliciosos-e-moveis
Registro IT01-PR-0500A-Etiqueta-padrao-identificacao-midias-magneticas
Registro IT01-PR-0500B-Inventario-de-fitas-magneticas
Registro IT01-PR-0500C-Registro-de-envio-e-recebimento-de-fitas-de-backup
Registro IT01-PR-0500D–Termo-de-sanitizacao-ou-destruicao-de-midias
Procedimento IT01-PR-0500-Procedimento-de-gerenciamento-de-midias-removiveis
Registro IT01-PR-0510A-Mapa-de-controle-da-rotina-de-operacao-backup-e-restore
Procedimento IT01-PR-0510-Procedimento-de-copias-de-seguranca-das-informacoes-Backup-e-Restore
Registro IT01-PR-0540A-Plano-de-mudancas-infraestrutura
Procedimento IT01-PR-0540-Gerenciamento-de-seguranca-dos-servicos-de-redes
Registro IT01-PR-0580A-Checklist-validacao-requisitos-seguranca-servico-de-rede
Procedimento IT01-PR-0580-Procedimento-de-controle-de-instalacao-e-configuracao-de-rede
Registro IT01-PR-0600A-Controle-de-acesso-remoto-a-rede-de-dados
Procedimento IT01-PR-0600-Procedimento-controle-de-acesso-remoto-a-rede-de-dados-VPN
Registro IT01-PR-0610A-Solicitacao-de-fornecimento-de-produtos-e-servicos-para-ti
Registro IT01-PR-0610B-Selecao-de-fornecedores-de-produtos-e-servicos-para-TI
Procedimento IT01-PR-0610-Procedimento-adicional-para-selecao-e-cadastro-fornecedores-de-ti
Registro IT01-PR-0615A-Plano-de-acoes-corretivas-fornecedores-de-ti
Procedimento IT01-PR-0615-Procedimento-avaliacao-servicos-prestados-por-fornecedores-de-ti
Procedimento IT01-PR-0616-Procedimento-e-controles-adicionais-na-contratacao-fornecedores-de-ti
Procedimento IT01-PR-0620-Procedimento-de-uso-aceitavel-recursos-de-email-e-internet
Registro IT01-PR-0640B-Controle-de-intercambio-de-informacoes-partes-externas
Procedimento IT01-PR-0640-Procedimento-de-controle-troca-informacoes-com-partes-externas
Registro IT01-PR-0660A-Solicitacao-de-criacao-manutencao-Perfis-de-acesso-aos-sistemas-e-aplicacoes
Registro IT01-PR-0660B-Termo-de-excecao-controle-compensatorio-acessos-temporario-aos-sistemas-e-aplicacoes
Registro IT01-PR-0660C-Composicao-de-acessos-concedidos-atraves-de-perfis-aos-sistemas-e-aplicacoes
Procedimento IT01-PR-0660-Procedimento-gerenciamento-de-perfil-de-acesso-logico-a-rede-e-aplicativos
Registro IT01-PR-0670A-Solicitacao-de-acesso-logico-aos-sistemas-e-aplicacoes
Registro IT01-PR-0670B-Relacao-de-pessoal-pre-autorizado-a-solicitar-acesso-logico-emergencial
Registro IT01-PR-0670C-Etiqueta-envelope-contendo-senha-de-acesso-emergencial
Procedimento IT01-PR-0670-Concessao-revisao-e-revogacao-de-acessos-logicos-aos-usuarios
Registro IT01-PR-0690A–Solicitacao-criacao-e-manutencao-de-repositorio-informacoes-na-rede
Registro IT01-PR-0690B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Procedimento IT01-PR-0690-Procedimento-de-gerenciamento-de-acesso-as-informacoes-e-repositorios-dados
Registro IT01-PR-0700A –Solicitacao-de-acesso-remoto-a-sistemas-e-aplicacoes
Registro IT01-PR-0700B –Controle-de-acessos-remotos-a-a-sistemas-e-aplicacoes
Procedimento IT01-PR-0700-Procedimento-controle-de-acesso-remoto-a-sistemas-e-aplicacoes
Procedimento IT01-PR-0710-Cessao-de-uso-de-equipamentos-computacionais-portateis-de-propriedade-da-empresa
Registro IT01-PR-0720A –Solicitacao-de-acesso-temporario-a-rede-de-visitantes
Procedimento IT01-PR-0720-Procedimento-de-controle-de-acesso-a-internet-rede-de-visitantes
Registro IT01-PR-0800A-Solicitacao-de-compra-de-sistemas-e-aplicacoes-pontuais-em-ti
Procedimento IT01-PR-0800-Procedimento-de-aquisicao-de-sistemas-e-aplicativos-de-ti
Procedimento IT01-PR-0820-Controle-e-revisao-das-vulnerabilidades-tecnicas-existentes-em-sistemas-e-aplicacoes
Procedimento IT01-PR-0835-Controle-alteracao-em-sistemas-e-aplicacoes
Registro IT01-PR-0837A-Mapa-de-atualizacoes-aplicadas-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro IT01-PR-0837B-000000-Request-Atualizacao-sistemas-e-aplicacoes-recebidas-de-fornecedores
Procedimento IT01-PR-0837-Controle-atualizacoes-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro IT01-PR-0840A-Mapa-de-controle-chaves-criptografica-de-dados-e-certificados-digitais
Registro IT01-PR-0840B-Etiqueta-envelope-contendo-senha-de-chaves-criptograficas-de-dados
Procedimento IT01-PR-0840-Controle-utilizacao-chaves-criptograficas-e-certificados-digitais
Registro IT01-PR-0850A-Requisitos-de-seguranca-na-aquisicao-e-implantacao-de-sistemas-e-aplicacoes
Registro IT01-PR-0855A-Solicitacao-de-mudancas-change-request-CR
Registro IT01-PR-0855B-DUM-documento-unico-de-manutencao-sistemas-e-aplicacoes
Registro IT01-PR-0860A-Plano-de-mudancas
Registro IT01-PR-0860B–RCA-analise-de-causa-raiz
Procedimento IT01-PR-0860-Identificacao-e-tratamento-de-incidentes-de-seguranca-informacao
Procedimento IT01-PR-0880-Procedimento-de-apuracao-de-responsabilidades-em-incidentes-de-seguranca-da-informacao
Registro IT01-PR-0920A-Controle-dos-requisitos-legais-aplicaveis-ao-ambiente-de-ti
Registro IT01-PR-0920B-Controle-dos-requisitos-tecnicos-e-normativos-aplicaveis-ao-ambiente-de-ti
Procedimento IT01-PR-0920-Procedimento-de-controle-de-requisitos-legais-e-tecnicos-em-ti
Registro IT01-PR-0930B-Relatorio-de-auditoria-e-revisao-da-qualidade-em-processos-de-ti
Registro IT01-PR-0930D-Plano-de-acao-tratamento-nao-conformidades-em-processos-e-controles-de-ti
Procedimento IT01-PR-0930-Procedimento-de-garantia-da-qualidade-em-processos-e-controles-de-ti

Read Full Post »

AGHATHA FRAMEWORK© – Licenca Uso Perpetua – Modelos Aplicacao Norma ISO-IEC-27002:2013- Seguranca Informacao – R02-01A.

AGHATHA FRAMEWORK© – Licenca Uso Perpetua – Modelos Aplicacao Norma ISOIEC-27002:2013 – Seguranca Informacao – R02-01A.

Está disponível para Licenciamento em nossa home page (Http://www.aghatha.com.br) o  AGHATHA Framework destina-se ao  compliance das recomendações e práticas estabelecidas pela Norma ISO-27002:2005 – Gestão da Segurança da Informação.

https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

Norma ISO-27002:2013 – Gestão da Segurança da Informação

IMPORTANTE:

O Aghatha Framework não é apenas uma biblioteca contendo  “modelos ou exemplos”  de estruturas de documentos e processos. O AGHATHA Framework é um Suite normativo e procedimental completo e funcional composto de Politicas, Normas e Procedimentos Operacionais que possibilitam efetivamente a adoção e implementação dos padrões e melhores práticas – (READY TO USE / PRONTOS PARA USAR)

Aghatha Framework destinado compliance das recomendações e práticas estabelecidas pela Norma ISO-27002:2013 – Gestão da Segurança da Informação é composto por  175 modelos de documentos e controles já formatados no padrão recomendado pela ABNT para uso em documentos da processos da qualidade.

Este Framework é composto por 175 modelos distribuídos entre Politicas, Normas, Procedimentos e Controles,  pré-formatados, estruturados e aptos para serem utilizados ou servirem de referencial técnico em projetos de implementação das recomendações contidas na Norma ISO-IEC-27.001:2013 e ISO-IEC-27.002:2013 – Gerenciamento de Segurança da Informação.
Os Procedimentos são estruturados em atividades passo-a-passo e em conformidade com as diretrizes estabelecidas na Norma ISO-IEC-27.001:2013 e ISO-IEC-27.002:2013. Os procedimentos são acompanhados por controles e registros de execução das atividades requeridas pelo compliance.

Escopo Framework:  Norma ISO-27.002:2013

1.1 – Composição deste Framework:

2 (Duas) Politicas – Quais Diretrizes ?

40 (Quarenta)  Normas  – Quais Regras ?

49 (Quarenta e Nove)  Procedimentos Passo-a-Passo – Como Fazer ?

84 (Oitenta e quatro)  Registros e Controles –  Como Controlar ?

01 (Um) – Arquivo BPM BIZAGI PROCESS MODELER – Modelo de Integração e Hierárquico dos documentos e controles.

01 (Um) – Arquivo Objeto Bizagi padrão (HTML) – Visão NAVEGÁVEL com acesso direto aos modelos contidos no Aghatha Framework.

01 (Um) Índice Geral de Documentos – Lista de Documentos que Compõem este framework através do Registro AG20-FR-0012 – Uma versão no formato PDF deste documento está disponível para download gratuitamente na seção (Free WhitePapers) de nossa webstore. O Documento completo deste registro está incluso entre os componentes do Framework.

você pode solicitá-lo nesta pagina:  (clique aqui).

Restrições deste Framework:

* NÃO ESTÃO INCLUSOS NESTE FRAMEWORK  (**)

a – Os Processos e Controles relacionados aos seguintes capítulos contidos na norma ISO-IEC-27002:2013.

  • – Seção 12 – Metodologia / Roadmap para o GERENCIAMENTO DE PROJETOS DE MUDANÇAS EM APLICAÇÕES E SISTEMAS – SDLC
  • – Seção 14 – Corpo do Documento PCN – PLANO CONTINUIDADE NEGÓCIO

(**) –  Estas seções são abordadas neste Framework, somente até os níveis de POLITICA e NORMAS, e seus respectivos PROCEDIMENTOS e CONTROLES fazem parte de outros Frameworks específicos, E, SE NECESSÁRIOS, deverão ser licenciados em Separado.

b – O Corpo ou Originais Eletrônicos de Normas Técnicas ISO. 

  • – Os documentos originais das normas (ISO-IEC-27001:2013), (ISO-IEC-27002:2013), ISO-IEC-27003:2011, ISO-IEC-27005:2008 “NÃO ESTÃO INCLUÍDOS” no rol de documentos enviados juntamente com este FRAMEWORK – (***).

(***) –  Estas normas deverão ser adquiridas junto aos seus Publicadores, caso o usuário assim o desejar. Neste caso, recomendamos efetuar a Aquisição da(s) Norma(s) publicada(s) pela ABNT – Associação Brasileira de Normas Técnicas, cujo conteúdo é disponibilizado no Idioma “Português”, e também poderá ser adquirida eletronicamente na WEBSTORE da ABNT.

documento_padrao_aghatha_framework

Templates são integrados entre si  e estruturados  em Politicas (Diretrizes para a Aplicação dos Padrões) , Normas (Regras técnicas para aplicação dos Padrões) e Procedimentos (Passo-a-Passo indicando como realizar os controles operacionais) e seus respectivos  controles e registros prontos para utilização.

PIRAMEDE

APLICAÇÃO:

Com este Framework é possível estruturar os controles internos para o Compliance as Normas:

ISO-27002:2013, ISO-27001 e ISO-27002:2013, ISO-27005, ISO-27003.

Amplitude deste Framework:  

  • Gestão Documentos Técnicos de Compliance da Norma ISO-27002:2013,
  • Gestão de Riscos em TI,
  • Gestão da Organização Segurança Informação,
  • Gestão da Politica Segurança,
  • Gestão de Acessos físicos e lógicos,
  • Gestão de Operações e Comunicações,
  • Gestão do Inventário de Ativos,
  • Gestão da Segurança de Recursos Humanos (Colaboradores e Terceiros,

Convidamos a visitar a pagina de acesso as informações e conteúdos deste Framework, disponível em nossa webstore:

http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

É possível ainda, a contratação de serviços de suporte técnico on-line, com execução não presencial através de salas virtuais seguras sob demanda.

AGHATHA VIRTUAL OFFICE ASSISTANT SERVICES©

A AGHATHA oferece  pacotes adicionais de serviços técnicos  destinados a promover a sensibilização e preparação formal dos membros das equipes de TI envolvidas na implementação deste padrão de Compliance.

Os Serviços de Virtual office assistant podem ser contratados também de forma on-line em nossa Webstore AGHATHA.COM.BR = Economize custos com deslocamentos, estadias e alimentação em projetos de Compliance em TI.

Nossos Consultores estão a sua disposição sob demanda, eventos pontuais com hora marcada para a apoia-lo na solução de suas necessidades (Solução de Gap´s, explanações de formas alternativas de atendimento de requisitos de compliance nos diversos padrões e normas, satisfação de dúvidas e esclarecimentos técnicos, suporte no planejamento e execução de auditorias de auto-avaliação (self-assessment) e/ou em Auditorias Externas.

Veja mais detalhes em nossas paginas  em:

https://aghatha.wordpress.com/2012/12/21/aghatha-virtual-office-assistant-services-servicos-assistente-virtual-e-suporte-tecnico-compliance-norma-iso-iec-270022005-seguranca-informacao/

AGHATHA.COM.BR  – Próximos Lançamentos (Frameworks para o Compliance em TI)

Em breve estaremos lançando outros Frameworks relacionados a compliance em Tecnologia da Informação nos padrões ITIL, PMO / PMI, OPM3 / PMI, Governança Corporativa,  Governança de TI, Sarbanes-Oxley, ISO-20.000:1/2, Prince 2, e frameworks especiais relacionados a padrões requeridos a Provedores Serviços Gerenciados (fabrica de software, fábrica de testes, fabrica de projetos, SOC/NOC, Help-Desk / Service Desk).

te e saiba mais informações sobre nossos produtos e serviços para o Compliance de TI:

http://www.aghatha.com.br/processos.htm

Abraço a todos.

Eurico Haan de Oliveira
http://www.aghatha.com.br

Apresentação:  AGHATHA Framework – Norma ISO-27001:2/2013.

Relação de Componentes: AGHATHA Framework – Norma ISO-27001:2/2013.

Documentos são confeccionados no formato e estruturas indicados para documentos da qualidade em processos, contém Objetivo, campo de aplicação, documentos relacionados, corpo do conteúdo, validade, anexos,controle dos registros , responsáveis.

Tipo Documento Componente AGHATHA Framework – Norma ISO-27002:2013
Registro
AG00-FR-0008-Formulario-padrao-controles
Registro
AG00-FR-0009-Formulario-padrao-procedimentos
Registro
AG00-FR-0010-Formulario-padrao-normas
Registro
AG00-FR-0011-Formulario-padrao-politicas
Registro
AG00-WI-0000-Formulario-padrao-instrucoes-de-trabalho
Registro
AG20-FR-0002-Controle-de-documento-controlado-copias-impressas
Registro
AG20-FR-0003-Relacao-de-documentos-controlados
Registro
AG20-FR-0005-Controle-mudancas-documentos-framework
Registro
AG20-FR-0012-Lista-componentes-aghatha-framework-iso-27002
Norma
AG20-NO-0001-Padrao-nomenclatura-documentacao-framework-de-processos-e-controles
Norma
AG20-NO-0002-Norma-controle-qualidade-framework-processos-controles
Norma
AG20-NO-0003-Norma-padrao_notacao-bpmn-adotada-aghatha-Framework-Processos-Controles
Politica
AG20-PO-0001-Politica-padronizacao-documentos-Framework-Processos-Controles
Procedimento
AG20-PR-0001-Procedimento-edicao-revisao-e-revogacao-vigencia-documentos
Registro
IT01-FR-0110-Lista-presencas-treinamentos-usuarios
Registro
IT01-FR-0130A-Termo-de-confidencialidade-e-sigilo-colaboradores
Registro
IT01-FR-0130B-Termo-de-confidencialidade-e-sigilo-prestador-de-servicos-pj
Registro
IT01-FR-0130C-Termo-de-adesao-a-politica-de-acesso-a-rede-colaboradores
Registro
IT01-FR-0130D-Aviso-previo-sem-justa-causa-ao-colaborador
Registro
IT01-FR-0130E-Aviso-previo-com-justa-causa-ao-colaborador
Registro
IT01-FR-0640A-Termo-acordo-intercambio-de-informacoes-eletronicas-e-nao-eletronicas-entre-empresas
Norma
IT01-NO-0010-Norma-de-revisao-da-politica-de-seguranca-da-informacao
Norma
IT01-NO-0020-Norma-de-avaliacao-e-qualificacao-dos-riscos-de-ti
Norma
IT01-NO-0030-Norma-de-organizacao-do-gerenciamento-de-riscos-de-ti
Norma
IT01-NO-0060-Norma-de-organizacao-da-seguranca-da-informacao
Norma
IT01-NO-0070-Manual-de-organizacao-de-conceitos
Norma
IT01-NO-0080-Norma-de-gestao-de-riscos-com-partes-externas
Norma
IT01-NO-0100-Norma-de-inventario-de-ativos-de-TI
Norma
IT01-NO-0110-Norma-de-classificacao-e-responsabilidades-sobre-ativos
Norma
IT01-NO-0120-Norma-de-classificacao-da-informacao
Norma
IT01-NO-0130-Norma-de-seguranca-de-recursos-humanos
Norma
IT01-NO-0140-Norma-de-gestao-dos-recursos-humanos-terceirizados
Registro
IT01-NO-0150A-Anexo 1-Termo-de-ciencia-e-declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Registro
IT01-NO-0150B-Anexo 2-Declaracao-acerca-da-existencia-ou-nao-de-conflito-de-Interesses
Norma
IT01-NO-0150-Codigo-de-etica
Norma
IT01-NO-0160-A
Norma
IT01-NO-0160-Norma-estrutura-organizacional-de-cargos-e-funcoes-de-TI
Norma
IT01-NO-0170-Norma-de-acesso-a-areas-seguras
Norma
IT01-NO-0180-Norma-de-seguranca-de-equipamentos
Norma
IT01-NO-0200-Norma-de-protecao-contra-codigos-maliciosos-e-moveis
Norma
IT01-NO-0210-Norma-de-copias-de-seguranca-backup-e-restore-de-informacoes
Norma
IT01-NO-0220-Norma-de-manuseio-de-midias
Norma
IT01-NO-0230-Norma-de-gerenciamento-de-seguranca-e-acesso-a-rede-de-dados
Norma
IT01-NO-0231-Norma-de-controle-computacao-movel-e-acesso-remoto
Norma
IT01-NO-0250-Norma-de-seguranca-no-acesso-a-internet-e-correio-eletronico
Norma
IT01-NO-0260-Norma-geral-de-procedimentos-e-responsabilidades-operacionais
Norma
IT01-NO-0265-Norma-de-avaliacao-de-fornecedores-de-ti
Norma
IT01-NO-0270-Norma-de-requisitos-do-negocio-para-controle-de-acesso-logico
Norma
IT01-NO-0280-Norma-de-controle-de-acesso-logico-aos-usuarios
Norma
IT01-NO-0290-Norma-nomenclatura-de-usuarios
Norma
IT01-NO-0300-Norma-de-controle-de-acesso-a-aplicacoes-e-informacoes
Norma
IT01-NO-0310-Norma-de-controle-de-concessao-de-uso-de-computacao-movel
Norma
IT01-NO-0320-Norma-de-responsabilidades-dos-usuarios-colaboradores-e-terceiros
Norma
IT01-NO-0330-Norma-de-requisitos-de-seguranca-para-sistemas-e-aplicacoes
Norma
IT01-NO-0340-Norma-de-gestao-das-vulnerabilidades-tecnicas-de-sistemas
Norma
IT01-NO-0350-Norma-de-aplicacao-e-controle-chaves-criptograficas-de-dados
Norma
IT01-NO-0355-Norma-de-alteracao-em-sistemas-e-aplicacoes
Norma
IT01-NO-0360-Norma-de-notificacao-de-eventos-e-fragilidades-de-seguranca
Norma
IT01-NO-0370-Norma-de-planejamento-de-contingencias-de-TI
Norma
IT01-NO-0380-Norma-de-garantia-da-qualidade-em-processos-e-controles-de-ti
Politica
IT01-PO-0000-Politica-de-seguranca-da-informacao
Procedimento
IT01-PR-0001-Procedimento-organizacao-e-revisao-da-politica-de-seguranca-da-informacao
Registro
IT01-PR-0030A-Plano-de-acao-tratamento-riscos-de-ti
Registro
IT01-PR-0030B-FMEA-Mapa-de-riscos-de-TI
Procedimento
IT01-PR-0030-Procedimento-de-controle-de-ameacas-e-vulnerabilidades-de-ti
Registro
IT01-PR-0110A-Lista-mestre-dos-registros-e-controles-de-ti
Procedimento
IT01-PR-0110-Procedimento-de-revisao-da-seguranca-da-informacao
Procedimento
IT01-PR-0120-Programa-de-treinamentos-e-sensibilizacao-seguranca-informacao
Procedimento
IT01-PR-0190-Procedimento-de-Identificacao-e-tratamento-riscos-partes-externas
Registro
IT01-PR-0200A-Controle-de-inventario-equipamentos-e-rede
Registro
IT01-PR–0200B–Controle-de-inventario-sistemas-criticos
Registro
IT01-PR-0200C-Termo-de-destruicao-descarte-seguro-de-ativos
Registro
IT01-PR-0200D-Termo-de-responsabilidade-sobre-sistemas-e-aplicacoes
Registro
IT01-PR-0200E-Termo-de-responsabilidade-sobre-equipamentos-e-perifericos
Procedimento
IT01-PR-0200-Procedimento-de-controle-inventario-ativos-de-ti
Registro
IT01-PR–0230A–Controle-de-fornecedores-criticos.xls
Procedimento
IT01-PR-0230-Controle-de-fornecedores-criticos
Registro
IT01-PR-0240A-Inventario-de-Informações-criticas
Registro
IT01-PR-0240B-Termo-de-destruicao-e-descarte-seguro-informacoes-classificadas
Registro
IT01-PR-0240C-Termo-de-responsabilidade-sobre-informacao-classificada
Procedimento
IT01-PR-0240-Identificacao-e-classificacao-informacao
Registro
IT01-PR-0250A–Solicitacao-de-criacao-e-delecao-de-repositorio-na-rede
Registro
IT01-PR-0250B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Registro
IT01-PR-0250C-Termo-de-responsabilidade-sobre-diretorio-informacoes-na-rede-dados
Procedimento
IT01-PR-0250-Manipulacao-conteudos-pastas-eletronicas-e-repositorios-na-rede
Procedimento
IT01-PR-0270-Seguranca-recursos-humanos-colaboradores
Procedimento
IT01-PR-0280-Seguranca-recursos-humanos-terceiros
Procedimento
IT01-PR-0281-Rescisao-contrato-trabalho-terceiros
Registro
IT01-PR-0282A-Avaliacao-de-desempenho-recursos-humanos-colaboradores-e-terceiros
Procedimento
IT01-PR-0282-Processo-de-avaliacao-desempenho-recursos-humanos-terceirizados
Procedimento
IT01-PR-0283-Processo-de-avaliacao-desempenho-recursos-humanos-colaboradores
Registro
IT01-PR-0330A-Descricao-de-cargos-e-funcoes-de-ti
Registro
IT01-PR-0330B-Descricao-atribuicoes-de-comites-e-grupos-tematicos-de-ti
Procedimento
IT01-PR-0330-Processo-documentacao-da-descricao-de-cargos-e-funcoes-de-colaboradores-e-terceiros
Registro
IT01-PR-0340A-Mapa-de-composicao-do-headcount-de-ti
Procedimento
IT01-PR-0340-Composicao-e-revisao-do-mapa-lotacao-de-ti
Registro
IT01-PR-0380A-Checklist-de-avaliacao-de-locais-do-perimetro-de-seguranca
Registro
IT01-PR-0380C-Mapa-de-controle-locais-do-perimetro-de-seguranca-de-ti
Registro
IT01-PR-0380D-Plano-de-acao-corretiva-areas-do-perimetro-seguranca-de-ti
Procedimento
IT01-PR-0380-Procedimento-controle-do-perimetros-de-seguranca-fisica
Procedimento
IT01-PR-0400-Controle-acesso-fisico-dependencias-de-ti
Registro
IT01-PR-0410A-Registro-de-visitas-ao-datacenter
Procedimento
IT01-PR-0410-Procedimento-controle-de-visitas-ao-datacenter
Registro
IT01-PR-0420A-Mapa-de-controle-de-equipamentos-e-Rede
Registro
IT01-PR-0420B-Checklist-para-instalacao-de-equipamentos
Registro
IT01-PR-0420C-Relacao-de-software-padrao
Procedimento
IT01-PR-0420-Procedimento-de-instalacao-manutencao-e-protecao-dos-equipamentos-de-TI
Registro
IT01-PR-0450A-Termo-custodia-equipamento-propriedade-empresa
Registro
IT01-PR-0450B-Termo-devolucao-equipamento-custodiado
Procedimento
IT01-PR-0450-Procedimento-de-seguranca-de-equipamentos-instalados-fora-dependencias-da-organizacao
Registro
IT01-PR-0455A –Solicitacao-de-acesso-temporario-para-visitantes
Procedimento
IT01-PR-0455-Controle-de-acesso-fisico-a-portaria-de-pedestres-e-veiculos
Procedimento
IT01-PR-0490-Procedimento-de-controle-de-antivirus-codigos-maliciosos-e-moveis
Registro
IT01-PR-0500A-Etiqueta-padrao-identificacao-midias-magneticas
Registro
IT01-PR-0500B-Inventario-de-fitas-magneticas
Registro
IT01-PR-0500C-Registro-de-envio-e-recebimento-de-fitas-de-backup
Registro
IT01-PR-0500D–Termo-de-sanitizacao-ou-destruicao-de-midias
Procedimento
IT01-PR-0500-Procedimento-de-gerenciamento-de-midias-removiveis
Registro
IT01-PR-0510A-Mapa-de-controle-da-rotina-de-operacao-backup-e-restore
Procedimento
IT01-PR-0510-Procedimento-de-copias-de-seguranca-das-informacoes-Backup-e-Restore
Registro
IT01-PR-0540A-Plano-de-mudancas-infraestrutura
Procedimento
IT01-PR-0540-Gerenciamento-de-seguranca-dos-servicos-de-redes
Registro
IT01-PR-0580A-Checklist-validacao-requisitos-seguranca-servico-de-rede
Procedimento
IT01-PR-0580-Procedimento-de-controle-de-instalacao-e-configuracao-de-rede
Registro
IT01-PR-0600A-Controle-de-acesso-remoto-a-rede-de-dados
Procedimento
IT01-PR-0600-Procedimento-controle-de-acesso-remoto-a-rede-de-dados-VPN
Registro
IT01-PR-0610A-Solicitacao-de-fornecimento-de-produtos-e-servicos-para-ti
Registro
IT01-PR-0610B-Selecao-de-fornecedores-de-produtos-e-servicos-para-TI
Procedimento
IT01-PR-0610-Procedimento-adicional-para-selecao-e-cadastro-fornecedores-de-ti
Registro
IT01-PR-0615A-Plano-de-acoes-corretivas-fornecedores-de-ti
Procedimento
IT01-PR-0615-Procedimento-avaliacao-servicos-prestados-por-fornecedores-de-ti
Procedimento
IT01-PR-0616-Procedimento-e-controles-adicionais-na-contratacao-fornecedores-de-ti
Procedimento
IT01-PR-0620-Procedimento-de-uso-aceitavel-recursos-de-email-e-internet
Registro
IT01-PR-0640B-Controle-de-intercambio-de-informacoes-partes-externas
Procedimento
IT01-PR-0640-Procedimento-de-controle-troca-informacoes-com-partes-externas
Registro
IT01-PR-0660A-Solicitacao-de-criacao-manutencao-Perfis-de-acesso-aos-sistemas-e-aplicacoes
Registro
IT01-PR-0660B-Termo-de-excecao-controle-compensatorio-acessos-temporario-aos-sistemas-e-aplicacoes
Registro
IT01-PR-0660C-Composicao-de-acessos-concedidos-atraves-de-perfis-aos-sistemas-e-aplicacoes
Procedimento
IT01-PR-0660-Procedimento-gerenciamento-de-perfil-de-acesso-logico-a-rede-e-aplicativos
Registro
IT01-PR-0670A-Solicitacao-de-acesso-logico-aos-sistemas-e-aplicacoes
Registro
IT01-PR-0670B-Relacao-de-pessoal-pre-autorizado-a-solicitar-acesso-logico-emergencial
Registro
IT01-PR-0670C-Etiqueta-envelope-contendo-senha-de-acesso-emergencial
Procedimento
IT01-PR-0670-Concessao-revisao-e-revogacao-de-acessos-logicos-aos-usuarios
Registro
IT01-PR-0690A–Solicitacao-criacao-e-manutencao-de-repositorio-informacoes-na-rede
Registro
IT01-PR-0690B–Mapa-de-controle-de-repositorios-de-informacoes-na-rede
Procedimento
IT01-PR-0690-Procedimento-de-gerenciamento-de-acesso-as-informacoes-e-repositorios-dados
Registro
IT01-PR-0700A –Solicitacao-de-acesso-remoto-a-sistemas-e-aplicacoes
Registro
IT01-PR-0700B –Controle-de-acessos-remotos-a-a-sistemas-e-aplicacoes
Procedimento
IT01-PR-0700-Procedimento-controle-de-acesso-remoto-a-sistemas-e-aplicacoes
Procedimento
IT01-PR-0710-Cessao-de-uso-de-equipamentos-computacionais-portateis-de-propriedade-da-empresa
Registro
IT01-PR-0720A –Solicitacao-de-acesso-temporario-a-rede-de-visitantes
Procedimento
IT01-PR-0720-Procedimento-de-controle-de-acesso-a-internet-rede-de-visitantes
Registro
IT01-PR-0800A-Solicitacao-de-compra-de-sistemas-e-aplicacoes-pontuais-em-ti
Procedimento
IT01-PR-0800-Procedimento-de-aquisicao-de-sistemas-e-aplicativos-de-ti
Procedimento
IT01-PR-0820-Controle-e-revisao-das-vulnerabilidades-tecnicas-existentes-em-sistemas-e-aplicacoes
Procedimento
IT01-PR-0835-Controle-alteracao-em-sistemas-e-aplicacoes
Registro
IT01-PR-0837A-Mapa-de-atualizacoes-aplicadas-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro
IT01-PR-0837B-000000-Request-Atualizacao-sistemas-e-aplicacoes-recebidas-de-fornecedores
Procedimento
IT01-PR-0837-Controle-atualizacoes-em-sistemas-e-aplicacoes-recebidas-de-fornecedores
Registro
IT01-PR-0840A-Mapa-de-controle-chaves-criptografica-de-dados-e-certificados-digitais
Registro
IT01-PR-0840B-Etiqueta-envelope-contendo-senha-de-chaves-criptograficas-de-dados
Procedimento
IT01-PR-0840-Controle-utilizacao-chaves-criptograficas-e-certificados-digitais
Registro
IT01-PR-0850A-Requisitos-de-seguranca-na-aquisicao-e-implantacao-de-sistemas-e-aplicacoes
Registro
IT01-PR-0855A-Solicitacao-de-mudancas-change-request-CR
Registro
IT01-PR-0855B-DUM-documento-unico-de-manutencao-sistemas-e-aplicacoes
Registro
IT01-PR-0860A-Plano-de-mudancas
Registro
IT01-PR-0860B–RCA-analise-de-causa-raiz
Procedimento
IT01-PR-0860-Identificacao-e-tratamento-de-incidentes-de-seguranca-informacao
Procedimento
IT01-PR-0880-Procedimento-de-apuracao-de-responsabilidades-em-incidentes-de-seguranca-da-informacao
Registro
IT01-PR-0920A-Controle-dos-requisitos-legais-aplicaveis-ao-ambiente-de-ti
Registro
IT01-PR-0920B-Controle-dos-requisitos-tecnicos-e-normativos-aplicaveis-ao-ambiente-de-ti
Procedimento
IT01-PR-0920-Procedimento-de-controle-de-requisitos-legais-e-tecnicos-em-ti
Registro
IT01-PR-0930B-Relatorio-de-auditoria-e-revisao-da-qualidade-em-processos-de-ti
Registro
IT01-PR-0930D-Plano-de-acao-tratamento-nao-conformidades-em-processos-e-controles-de-ti
Procedimento
IT01-PR-0930-Procedimento-de-garantia-da-qualidade-em-processos-e-controles-de-ti

Read Full Post »

Governança de TI

Material didático de apoio ao curso de Governança de TI da Escola Superior de Redes. O curso fornece uma visão ampla sobre a governança,processos e estratégias de TI nas organizações, através da análise dos impactos desta área em franca ascendência nos negócios. Ao final do curso, o aluno estará apto para a tomada de decisões a respeito do uso eficaz dos recursos de TI, considerando o planejamento, gestão e controle dos processos de TI. Destinado a profissionais atuantes nas áreas de TI, preferencialmente em funções gerenciais, que necessitam do conhecimento da aplicação das ferramentas e técnicas de governança de TI, visando seu alinhamento aos objetivos estratégicos de suas organizações.

Autor: Edson Roberto Gaseta

Copyright: Escola Superior de Redes – RNP

Fonte Original:  http://pt.scribd.com/doc/58170655/Governanca-de-TI

 

Divulgação de Outras Publicações da Escola Superior de Redes – RNP / ESRhttp://esr.rnp.br/

  • Gestão de Riscos de TI – NBR 27005 – Por Edson Kowask – Escola Superior de Redes – RNP

https://aghatha.wordpress.com/2012/11/03/gerenciamento-de-projetos-de-ti-por-rodrigo-costa-escola-superior-de-redes-rnp/

  • Gestão de Riscos de TI – NBR 27005 – Por Edson Kowask – Escola Superior de Redes – RNP

https://aghatha.wordpress.com/2012/11/03/gestao-de-riscos-de-ti-nbr-27005-por-edson-kowask-escola-superior-de-redes-rnp/

  • Governança de TI – Por Edson Roberto Gaseta – Escola Superior de Redes – RNP

https://aghatha.wordpress.com/2012/11/03/governanca-de-ti-por-edson-roberto-gaseta-escola-superior-de-redes-rnp/

https://aghatha.wordpress.com/2012/11/03/itil-information-technology-infrastructure-library-por-felicio-cestari-filho-escola-superior-de-redes-rnp/

  • Gestão da Segurança da Informação – NBR 27001 e NBR 27002 – Por Flávia Estélia Silva Coelho – Escola Superior de Redes

https://aghatha.wordpress.com/2012/11/03/gestao-da-seguranca-da-informacao-nbr-27001-e-nbr-27002-por-flavia-estelia-silva-coelho-escola-superior-de-redes/

Encontre uma das Unidades da Escola Superior de Redes – RNP / ESR perto de você ?

Unidade Brasília (DF) http://esr.rnp.br/local/df-bsb

Instituto Brasileiro de Informação em Ciência e Tecnologia (Ibict)
(61) 3243-4340
(61) 3243-4341 fax

Unidade Cuiabá (MT) http://esr.rnp.br/local/mt-cub

Universidade Federal do Mato Grosso (UFMT)
(65) 3615-8993

Unidade João Pessoa (PB) http://esr.rnp.br/local/pb-jpa

Universidade Federal da Paraíba (UFPB)
(83) 3216-7932/ 7931

Unidade Porto Alegre (RS) http://esr.rnp.br/local/rs-poa

Universidade Federal do Rio Grande do Sul (UFRGS)
(51) 3308-5900

Unidade Rio de Janeiro (RJ) http://esr.rnp.br/local/rj-rio

Centro Brasileiro de Pesquisas Físicas (CBPF)
(21) 2275-5578

Unidade Salvador (BA) http://esr.rnp.br/local/ba-sal

Universidade Federal da Bahia (UFBA)
(71) 3283-6140

Read Full Post »

Mais de 85.000 Acessos  (45.000 acessos e 40.000 downloads) – (dez/2011 a jun/2012) –

(Over 85,000 Hits ( 45,000 hits and 40,000 downloads) – (2011/dec – 2012/jun))

Agradeço sinceramente a TODOS os nossos Leitores em todo o mundo….

(I sincerely thank all our readers around the world ….)

Mapa de Hits / Downloads – 85.000 hits

Pela ordem do número de visitas / downloads….

Sorted by  number of hits / downloads ….

 / MUITO OBRIGADO / THANK YOU  /  GRACIAS  /  ESKERRIK / GRÀCIES / ขอขอบคุณ  /  धन्यवाद

/   TAK  /  СПАСИБО  /  DANK U / DANKIE /  DANKE /    תודה    /   ありがとうございました /   謝謝

/ تشکر   / HVALA /   شكرا لك  /   감사

Danke U !!!

(Obrigado Pessoal….  thank you,  guys…)

Eurico Haan de Oliveira, CEO

Apresentação AGHATHA Framework – Norma ISO-27001:2/2005.

HyperSmash

Read Full Post »

Como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroes-desejados

Como Obter Compliance de Processos de TI,  com o licenciamento de uso de um framework  contendo documentos,  processos, controles para cada um dos padrões desejados,

(COBIT, ITIL V3, COSO, PMO,  ISO-27002, ISO-20.000, ISO-27.005, GOVERNANÇA E SARBANES-OXLEY))

1- Introdução / As motivações…

Via de regra nos deparamos com debates calorosos com relação ao alto custo, tempo e esforço necessário para adotar alguma prática ou padrão nos processos e controles de área de Tecnologia da Informação, e não é para menos,  se observarmos rapidamente a nossa volta  a quantidade e diversidade Padrões, Normas, Bibliotecas ou ainda de recomendações e melhores práticas que poderiam ser aplicadas e as vantagens que cada uma poderia trazer para a qualidade e efetividade dos serviços prestados pela TI ao negócio,  pode ser o sonho de qualquer gestor,  no entanto ao estudar melhor cada  padrão, o volume requerido de tempo, esforço e investimentos necessários para colocar isto ou aquilo em prática,  faz com que os debates sejam de fato calorosos e não raro,  são vencedores aqueles que postulam direcionar os escassos recursos existentes em ações que efetivamente produzem resultados práticos e palpáveis para o negócio (Máquinas, infraestrutura e  Aplicações) ou ainda,  programas de treinamento e certificações com visão futura de um dia, com os próprios recursos internos evoluir nesta ou naquela direção em termos de obter o necessário Compliance nos processos e controles na TI. Foi em busca de uma solução que viabilizasse este tipo iniciativa que nos motivou a criar este conjunto de FRAMEWORKS contendo processos e controles para o COMPLIANCE DE TI, denominados AGHATHA Framework.

Convidamos você a conhece-los um pouco mais …

2 – Visão Geral da Solução.

Tratamento dos padrões e recomendações através de Níveis sucessivos de  Detalhamento (Camadas) a partir de um modelo geral, seus padrões e Grupo de Processos, Processos e seus controles possibilita ao usuário uma visão inicial de alto nível de cada modelo e  padrão de Compliance, e através de navegação dinâmica (drill-dow), entre os diversos componentes tornam mais fácil e agil a localização e o acesso aos diversos documentos que compoem cada padrão e por fim,  o detalhamento das informações adicionais contidas cada Norma, Processo e Controle compleentam a base de conhecimento necessária para aplicação rápida e eficiente dos requisitos.

Vejamos um Exemplo desta abordagem, e os recursos de visualização disponível em cada padrão que compões a solução : AGHATHA – FRAMEWORK DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI.

Nivel 0 – Visão Geral dos Padrões e Componentes de Compliance.

Nivel mais alto de visão dos padrões e melhores práticas, promove a visualização das integrações em nível macro entre os diversos padrões.

Nivel 1 – Visão Geral do Padrão Específico de Compliance.

Nivel intermediário, que possibilita uma visão geral de cada padrão ou melhor prática, promove a visualização das integrações entre os diversos grupos de processos que compoem cada padrão ou melhor prática individualmente.

Nivel 2 – Visão Geral do Grupo de Recomendações do Padrão de Compliance

Nivel mais detalhado de um Grupo de Processos, indicando as Politicas, Normas e Procedimentos relacionados ao controle e promomento a visão de integração e relacionamentos entre cada processo e seus controles.

  •  Abordagem Utilizada:

 
 

a)      Política – Representa o nível estratégico das normatizações de segurança e descreve às “DIRETRIZES” sobre as quais se baseiam a Segurança da Informação,  descrevem  ‘o que deve ser feito’.

b)      Normas – Representa o nível tático das normatizações e referem-se às Normas que regem a Organização da Segurança da Informação. São baseadas nas Políticas e descrevem as “REGRAS” a serem adotadas para o cumprimento das diretrizes contidas na Política da segurança e previamente estabelecidas.

c)      Procedimentos – Representa o nível Operacional das normatizações e referem-se aos procedimentos que regem as atividades relacionadas à Organização da Segurança da Informação. São baseadas nas Normas e definem “COMO” as regras serão implementadas e operacionalizadas.

d)     Evidências, artefatos e controles – Representa o resultado material dos processos. São baseados em artefatos ou controles produzidos pelo nível operacional para atender aos requisitos da Segurança da Informação.

Nivel 3 – Visão do Processo necessário para Aplicação da Recomendação  indicada pelo Padrão de Compliance

  

Nivel mais baixo e detalhado, indica os componentes existentes em cada processo, suas atividades, interações, regras e métricas de execução de cada atividade, responsaveis e como de fato o padrão deve ser adotado.

a) Visão dos Componentes de Normatização – Regras Formais

b) Visão dos Componentes de Procedimentos  – Processos, Controles e Registros Formais

 


 

c)  Workflow –  Automatização Mensagens e Eventos

3 – Como é Possível obter acesso ao Uso desta Solução?

 

3.1 – Licenciamento Eletrônico.

Disponibilizamos os Frameworks através de nossa Loja Virtual (www.aghatha.com), onde o arquivo contendo os modelos em cada padrão é disponibilizado eletronicamente, sendo acompanhados com istruções passo-a-passo de como aplicá-los em seus projetos nas empresas licenciadas.

http://www.aghatha.com

3.1 – Licenciamento – Embarcado em Projetos de Consultoria de Compliance em TI.

O AGHATHA – FRAMEWORK DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI, é um produto baseado em notação própria para composição de WORKFLOW de atividades, sendo acompanhado de documentação formal para obtenção de Compliance a um determinado padrão ou norma em particular.

A AGHATHA utiliza-se deste modelos em seus projetos de consultoria, como aceleradores de projetos. Os modelos são licenciados para uso perpétuo pelos clientes de forma embarcada no contrato de prestação de serviços de consultoria.

3.2.1 – Diagnósticos On-Site

Os profissionais da AGHATHA realizarão um Diagnóstico atual dos níveis de maturidade corrente dos processos e controles em uso no ambiente do cliente, indicando o relatório de itens a serem implementados para a obtenção do Compliance desejado.

Os valores investidos no diagnóstico são abatidos do custo das licenças de uso, caso o cliente confirme o licenciamento dos módulos do AGHATHA –  FRAMEWORK  DE PROCESSOS E CONTROLES DE TI.

3.2.2 – Consultoria on-Site para Documentação e Padronização de Processos Pré-Existentes

Os profissionais da AGHATHA  poderão mapear, revisar, documentar e padronizar os processos existentes seguindo os mesmos padrões utilizados no AGHATHA –  FRAMEWORK  DE PROCESSOS E CONTROLES DE TI, mediante proposta de serviços de consultoria técnica e de processos de TI.

3.2.3 – Consultoria Técnica (On-Site) – Padrões de Compliance

Os profissionais da AGHATHA  poderão efetuar consultorias Pontuais ou Por períodos agendados sob demanda on-site, para realização de treinamentos, coaching, mentoring para aplicação de padrões e solução de problemas relacionados ao processo de Compliance em cada padrão existente no AGHATHA –  FRAMEWORK  DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI, mediante proposta de serviços de consultoria técnica e de processos de TI.

3.2.4 – Consultoria Técnica (Remota) – Padrões de Compliance

Os profissionais da AGHATHA  poderão efetuar consultorias Pontuais ou Por períodos agendados sob demanda remotamente, para realização de treinamentos, coaching, mentoring para aplicação de padrões e solução de problemas relacionados ao processo de Compliance em cada padrão existente no AGHATHA –  FRAMEWORK  DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI, mediante proposta de serviços de consultoria técnica e de processos de TI.

As seções remotas de consultoria, reuniões de trabalho e treinamentos são realizadas através do uso de soluções de videoconferência.

4– Onde estamos Localizados / Escritórios .

Tire suas dúvidas por E-mail através de nosso contato técnico:  consulting@aghatha.com .

5- Deseja Conhecer melhor o – AGHATHA – FRAMEWORK DE ?

Visite nosso website, lá você poderá acessar uma versão de testes e totalmente funcional e contendo algumas informações e funcionalidades presentes em nosso Framework.

http://www.aghatha.com/index.php/framework.html

www.aghatha.com/processos.htm

———-

· Download do conteúdo deste Artigo :

O Conteúdo deste artigo está disponível para download no formato Arquivo (PDF) na pagina Free Whitepaper publicada em nosso site

www.AGHATHA.com , acessando a pagina : http://aghatha.com/index.php/whitepapers.html , você poderá realizar o download do mesmo gratuitamente.

Faça-nos uma visita, caso opte por assinar a Nossa Newsletter, você passará a receber avisos de atualizações e ampliações do conteúdo deste artigo e/ou comunicados sobre a publicação de outros artigos relacionados com este mesmo assunto.
———-

6– Termos e Condições Gerais – Licenciamento de Uso.

6.1 – DECLARAÇÃO DE  DIREITOS AUTORIAIS E DE PROPRIEDADE INTELECTUAL (Copyrights / All Rights Reserved ).

Da Declaração dos Direitos Autorais e de Propriedade.

– O Conteúdo Integral desta “OBRA” é protegido por Lei e possui todos os Direitos Autorais Reservados e são de propriedade intelectual de forma “EXCLUSIVA” em nome de AGHATHA MAXI CONSULTING (TITULAR DOS DIREITOS) em nome do Autor ou dos seus sucessores legítimos. (www.aghatha.com/index.htm – Av. 21 de Setembro, 554 – 95046-460 – Caxias do Sul – RS – Brazil).

Da Qualificação Legal da Obra e do Direito de Propriedade:

Para todos os efeitos legais desta declaração, considera-se “OBRA” todos os componentes,  bases de dados, coletâneas e compilações, correlações entre os conteúdos dos diversos Padrões e Melhores Práticas e ainda, do conteúdo de outras obras e experiências técnicas pessoais, cuja as referencias foram utilizadas, adaptadas, explanadas, compostas, utilizadas na composição de exemplos e casos de uso quanto a sua melhor forma de aplicação, definição de formatos, sequencia e disposição de atividades em processos, fluxos,  conteúdos de informações necessárias, citadas e não limitadas ao disposto no item (CONTEÚDO), desta declaração são classificados de “PLENO e AMPLO DIREITO”  como “CRIAÇÃO INTELECTUAL” e “OBRA” do autor e propriedade legal da “TITULAR DESTES DIREITOS” ,  sendo todos estes elementos considerados “partes integrantes, Incluídos, referenciadas e Utilizadas”  na composição dos produtos, módulos e serviços  identificados comercialmente como:  “AGHATHA – FRAMEWORK PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI – TECNOLOGIA DA INFORMAÇÃO” e doravante referenciado simplesmente como “OBRA”.

Das Obrigações de NÃO FAZER  – USUÁRIO LICENCIADO.

– É “VETADO” ao “USUÁRIO FINAL” desta “OBRA”,  mesmo na condição de “USUÁRIO LICENCIADO PERPÉTUO”, COMUNICAR, CEDER, EMPRESTAR, VENDER, ALUGAR, LICENCIAR, SUB-LICENCIAR, ENVIAR, PUBLICAR ou executar ou facilitar “QUALQUER AÇÃO”  seja esta por “AÇÃO DIRETA OU INDIRETA, OU AINDA POR OMISSÃO DE GUARDA” e que venha resultar na “TRANSFERENCIA” de conteúdo “TOTAL” ou “PARCIAL” desta “OBRA” para terceiros, quer sejam eles, de natureza física ou jurídica.

Do Uso Ilegal e Não Autorizado – USUÁRIOS NÃO LICENCIADOS.

– É expressamente “PROIBIDO” a qualquer pessoa física ou jurídica o uso não autorizado “TOTAL OU PARCIAL” desta “OBRA” sem a pré-existência da respectiva e legitima “LICENÇA DE USO”, sendo também “PROIBIDAS” quaisquer ações relacionadas à sua comercialização, distribuição não autorizada de copias,  uso de quaisquer métodos de engenharia reversa para a obtenção de códigos fontes, informações e parâmetros utilizados em sua composição, acesso ou uso não autorizado do “CONTEÚDO” protegido desta “OBRA”.

Porto Alegre, RS, Brasil, fevereiro de 2012.

Read Full Post »

O que e Governanca de TI – A Sua Origem, Historia, Conceitos e Fundamentos Basicos – Parte 1

O QUE É GOVERNANÇA  DE TI ?

A Sua Origem, História,  Conceitos e Fundamentos Básicos – Parte 1.

O que é Governança de TI ? – A Sua Orígem,  História, Conceitos e
Fundamentos Básicos – Parte 1.

1 – Introdução, Histórico e Conceitos.

1.1 – Introdução / Histórico.

 A Governança em TI ainda é um assunto bastante controverso e pouco entendido de forma geral pelos Gestores ou “Governantes” e na maioria das vezes o assunto é abordado de forma muito ampla ou superficial e não é raro observarmos abordagens equivocadas daquilo que se julgaria ser de fato Governança e ainda o que vem a ser de fato Governança de TI.

 Com o objetivo de auxiliar os colegas e gestores das empresas que necessitam dispender algum esforço em futuro próximo em direção a Governança em suas organizações,  resolvemos escrever este artigo, compartilhando algumas experiências e conhecimentos adquiridos ao longo dos últimos oito anos de atuação neste segmento de consultoria.

 É necessário prevenir ao nosso leitor que o tema Governança de TI é bastante amplo e dependendo das condições preexistentes na organização e da abordagem utilizada para a adoção dos critérios da Governança, a missão poderá ser mais ou menos complexa e ainda irá requer mais ou menos investimento e esforço para ser de fato atingida.

 Primeiramente, é necessário entendermos a origem da “Governança” e quais são os seus reais motivos e objetivos. Explicar a as razões da Governança de TI através da sua relação com a Governança Corporativa,  embora seja a “forma acadêmica” correta, enquanto “abordagem em si”,  não é de todo suficiente para exprimir todos os objetivos a serem tratados e atingidos,  e mais ainda,  não esclarece qual deve ser o papel do “Governante”  antes, durante e depois de  obter a condição de “Governança”, principalmente quando o assunto é relacionado ao uso e gestão da tecnologia da informação.

 

  • O Conceito “Puro” de Governança.

 

O conceito “puro” de governança não nasceu em 2002, com a aprovação da Lei Sarbanes-Oxley pelo Governo Norte Americano, ou seja, não foi o congresso deste país que inventou o conceito de Governança (Há colegas que acreditam que isto seja uma verdade, e que a “culpa” destas obrigatoriedades tenha  sido originado pelos políticos norte americano, o que obviamente não é verdade). O conceito de Governança é muito antigo e tem a sua origem nas primeiras organizações politicas e democráticas  nas  cidades-estados da Grécia Antiga (500 AC a 300 AC).

 

O Termo  “Governança” tem origem na palavra “Governo” e representa em sua essência o “Ato de Governar”, mesmo na Grécia antiga, era exigido do “Governante” certa “conduta” durante o exercício do “poder público” e relacionado aos “Atos” praticados pelo “Governante” durante o seu “Governo”,  sendo requerida pelos “eleitores”  uma conduta baseada em “valores” tais como: “Coerência”, “Transparência”, “Responsabilidade”, “Respeito”, “Ética” em relação ao “Grupo ou coletividade” o qual o governante deveria “representar” através dos seus “atos”.

Enfim, praticar “tudo aquilo” que pudesse ser “julgado pelo bom senso de todos” como sendo um “bom governo”.

 

  • O Conceito “moderno” de Governança.

 

Nos tempos atuais, o conceito “público” de governança permanece praticamente inalterado, mudando apenas as formas adotadas pelos governantes para a identificação das “necessidades” dos seus “eleitores” ou “representados” em razão do aumento significativo da quantidade de “eleitores”, e das formas adotadas para comunicar aos mesmos os seus “valores” e o “resultado” obtido pelo seu “governo”, sendo isto denominado “transparência” das ações realizadas, e visam basicamente obter “aprovação” dos “eleitores” dos atos praticados pelo  “governante” em seu “governo”.

Na Grécia antiga, bastavam os Governantes se deslocarem até a praça central e com alguma competência em oratória, quaisquer questões existentes entre  “governo” e “eleitores” poderiam ser de pronto resolvidas.

Nos dias atuais isto se tornou uma prática impossível de ser realizada “pessoalmente”, o que justifica aos “governantes” apoiarem-se nos meios de comunicação para promover a “transparência” dos atos e fatos.

 

  • O Conceito “organizacional” da Governança.

 Deste ponto em diante, iniciamos o tratamento do que seja Governança no contexto anunciado como sendo o objetivo deste artigo.

    • A Governança em Empresas onde o Dono é Único

 Uma organização, durante o período de tempo onde o  “proprietário” é o gestor único do seu negócio, em tese,  não há razão para aplicação dos princípios de  Governança, pois o “Único Dono” do negócio é o seu “único governante” e “ele próprio” por suas “ações”, “omissões”, “atos de empreendedorismo”  se  “auto constituiu” no exercício desta função.

  

    • A Governança em Empresas onde há poucos Sócios / Investidores

 

A Partir do momento que o “único dono” recebe “sócios” ou “investidores”, surge automaticamente à necessidade de aplicar os princípios de “governança”, pois surge ai as funções de “governo”, uma vez que dentre os sócios  e investidores existentes, haverá sempre a condição de que “um” mais que os “outros”, seja denominado o “governante” da organização, ou ainda, o seu “gestor”.

Note que mesmo nesta relação, o “gestor” é “aceito” pelos demais “sócios”, materializando a  relação de “governança”, pois há um “governante” e também há  a figura dos seus “eleitores”.

 

Neste caso, os conceitos e atitudes requeridos historicamente aos “políticos” passam a ser  aplicáveis ao “gestor” da organização, agora não mais  se relacionando com “eleitores”, mas sim em relação aos  demais “sócios e/ou investidores” que o instituiram nesta função.

Como a dimensão do público aqui exposta ainda é reduzida (Quando há poucos Investidores),  o esforço praticado pelo “governante” é um pouco maior,  do que seria necessário ser praticado por um “governante” da Grécia antiga, ou seja, através da execução de algumas reuniões, atas, e comunicados, todas  as questões de “governança” e “transparência” dos atos praticados em  sua “gestão” podem ser dadas como “satisfeitos”.

Neste caso, as questões de “transparência” dos atos de seu “governo”  ainda podem ser “comunicadas” e “avaliadas” com a “presença” de todos os “interessados”.

Pelo menos em “tese”,  as questões de “governo” podem ser resolvidas assim,  em organizações onde há incidência de poucos “sócios” e um “gestor” principal.

 

    • A Governança em Empresas onde há Muitos Sócios / Investidores

A partir do momento que uma organização, inicialmente com apenas “um dono” ou com “poucos sócios” resolve  “abrir” o seu “capital”, ou seja, transforma as “cotas capitais” em “ações”, e estas por sua vez, passam a serem disponibilizadas para “negociação” junto ao mercado de capitais, estas empresas passam a ser “acometidas” em termos de “governança” pelas mesmas “dificuldades” enfrentadas  pelos “políticos modernos” em razão da grande quantidade de  “eleitores”, só que agora estes “interessados” passam a ser “todos os acionistas” da organização (Aqueles que detêm ações), no entanto, um “gestor” de uma grande corporação não tem a possibilidade de utilizar-se de um canal de TV aberto ou dos meios de comunicação em massa  para comunicar e resolver ali as suas questões de “governo” e dar conta da “transparência” de suas ações,  frente ao publico em geral, uma vez que as “organizações” possuem caráter “privado”, e estas questões só dizem a respeito apenas a uma “parcela” do publico em geral composta apenas pelos seus “investidores”.

 

Então o nosso leitor poderá se perguntar: Se os assuntos de “governo”  de uma organização são tratados de forma “privada” ou “reservada”. Como então estas organizações atraem novos investidores?

 

Em resposta a esta dúvida, há ainda que explanar sobre as questões legais, relacionadas às grandes empresas (Lei das Sociedades Anônimas), regras e atribuições impostas pelo Mercado de Capital (Novo Mercado/BOVESPA, SOX, BASEL), e cuja ênfase, estão relacionadas a estabelecer critérios e proteções para o investidor, visando  promover a sua “confiança” em relação às organizações, e este,  é o “fator determinante” que irá “atrair ou repelir” novos investidores para uma organização, ou seja, o foco passa a ser uma “questão de confiança”  e não o critério de “aceitação/aprovação” como é a dimensão enfatizada pela  “governança publica”,  tanto a antiga como na moderna.

 

Em razão desta “transparência” com o seu “publico investidor”,  que uma “organização de capital aberto” estabelece a sua relação de “confiança”  entre os seus “gestores” e seu “publico investidor”. Isto em essência é o que se denomina “Governança Corporativa”.

 

Este conceito, embora possa parecer recente, também é antigo e tem a sua origem na “Revolução Industrial”, quando as primeiras “oficinas” se transformar em  “pequenas fábricas” e estas,  após  receberem a  adesão de investidores e sócios veio a se transformar nas primeiras grandes organizações modernas, ai surgiu o conceito e a necessidade do “governante organizacional” e em sua consequência as ações de “governança”.

  

  • A Relação da Governança de TI com a Governança Corporativa.

 

Em meados do Século passado surge a presença da informática, e com o uso desta ferramenta, as grandes corporações elevaram a sua “capacidade” de processar grandes volumes de operações, e este aumento,  acelerou o crescimento destas empresas e aumentando mais ainda a quantidade de investidores, promovido por décadas de operações e de crescimento constante.

 

No entanto, como todo o remédio tem o seu efeito colateral, o advento da “informatização” e do aumento “em ordem geométrica” das operações, surge um “Risco” que não havia antes, ou seja,  a “Possibilidade” de que uma “ação isolada” de alguém, em um determinado momento, alterar o conteúdo de um “número” para “mais ou para menos”, e modificar com isto o “resultado final” de uma organização em detrimento da ocorrência de  “fatos reais”  que o justifiquem.

 

Este tipo de ação “fraudulenta”, uma vez de conhecida  pelo “publico” investidor, pode comprometer drasticamente a “confiabilidade”  que os investidores possuem pela empresa em questão, desvalorizando o “valor” de suas ações no mercado de capitais, e com isto,  prejudicando seriamente a todos os seus investidores.

 

Pois fatos desta natureza de fato ocorreram, envolvendo algumas empresas americanas entre os anos de 2001 e 2002, foram descobertos e após serem comunicados ao público daquele país, acabou por prejudicar as “economias pessoais” de uma grande quantidade de investidores americanos. Visando a proteção do mercado de capitais e de seus investidores, surgiu em Junho de 2002 a Lei Sarbanes-Oxley,  estabelecendo o “conceito” atual de “Governança Corporativa” e em consequência da participação e importância da “informática” nas operações das organizações, surge também a “Governança de TI”, visando exclusivamente estabelecer mecanismos de proteção, segurança, confiabilidade nas empresas e com isto evitar a ocorrência de fraudes, viabilizar meios para a sua identificação e com isto,  proteger o mercado investidor americano, e demais investidores que atuam naquele pais.

É um fato pouco conhecido como os legisladores americanos chegaram a este “formato” de exigências a serem satisfeitas pelas empresas. Após os escândalos financeiros de 2001/02, os legisladores perceberam que havia algumas empresas, mesmo em detrimento dos eventos  ocorridos no mercado de capitais, continuavam apresentando um alto índice de “confiança” pelos  seus “investidores”, e posteriormente,  visitando cada uma destas empresas,  notaram que elas possuíam em comum a adoção de modelos de gestão baseados em regras de “governo”, controle de condutas administrativas, contábeis e dos processos de qualidade relacionados ao uso da tecnologia e operações embasadas em  “documentos e processos formais que incluíam o uso de melhores práticas sugeridas por diversos padrões de qualidade entre eles: “ISO – International Organization for Standardization e BS- British Standards Institution ” e praticavam ainda uma relação  de “transparência” e  forma “regular” com os seus investidores.

 

Com base nestas constatações e na inclusão da “responsabilização criminal pela ocorrência de fraudes” a que os gestores passariam responder, foram criadas às bases dos requisitos de Governança que foram instituídos através da Lei Sarbanes-Oxley. O conteúdo da lei em si não proporciona todo o seu conteúdo, pois ela o faz com o auxilio de instruções complementares emitidas por instituições regulatórias (Self-Regulatory Organization- SRO) as quais são instituídas e apoiadas pelo Governo Americano,  tais como: PCAOB – Public  Company Accounting Oversight Board e  ISACA- Information Systems Audit and Control Association,  e que juntas deram origem a base aos requisitos daquilo que denominamos “Melhores Práticas” aplicáveis em Governança e Governança de TI respectivamente.

 

1.2 – O Início da Governança no Brasil

 

A Governança Corporativa e a Governança de TI  passam a integrar como “necessidade real” para os Gestores de TI brasileiros, somente dois anos após a aprovação da Lei Sarbanes Oxley pelo Congresso Norte Americano,  visto que nos dois primeiros anos de aplicação desta lei (2002-2003), o  foco inicial era o processos de Compliance das empresas americanas sediadas no território americano, fazendo com que a “onda de Compliance”  chegasse para valer ao Brasil apenas em meados de 2004 e que perdurou fortemente até o final de 2006 (Limite para Conclusão de Compliance SOX).

Neste período, o foco das certificações passaram a ser subsidiarias e filiais das empresas norte americanas sediadas fora do território americano e incluindo algumas poucas empresas brasileiras, que nesta mesma época,  mantinham suas ações na Bolsa de Valores de Nova York (NYSE).

 

Desta época aos dias de hoje, diversas empresas que inicialmente não figuravam nesta pequena e seleta lista, buscou atender aos requisitos e certificações necessárias e obtiveram  o “direito”  de incluir as suas ações na bolsa de valores norte americana.

 

Para quem “não é do meio”, isto pode parecer algo “sem sentido”, mas certamente o é:

 

Para exemplificar a mudança promovida por este “Compliance”, seria mais ou menos em “termos de comparação” a  um fornecedor que vende o seu produto apenas para um “mercado” nas proximidades da sede de sua fábrica e de uma hora para outra, passa e estender as suas vendas para uma grande rede de “supermercados” presentes em todo o país.

Este “aumento”  na presença no mercado e consequentemente do aumento do volume de vendas apresentado pelo “produto”  é comparável  ao  possível impacto causado quando uma “ação” passa a ser comercializada na bolsa de valores  Norte Americana,  e as consequências disto para a empresa são extremamente positivas, pois há um aumento sensível no volume de vendas das suas  “ações” e também do “aporte de recursos” quando este direito é alcançado.

 

Nesta mesma época (entre 2001/2006),  diversas bolsas de valores pelo mundo afora acabaram criando regras de proteção aos seus  mercados de acionistas, seguindo os mesmos moldes adotados pela NYSE , e no Brasil não foi diferente, e ainda em 2001, iniciamos a adoção de critérios  baseados em “Governança Corporativa”, através da adoção de regras estabelecidas pela CVM- Comissão de Valores Mobiliários e BOVESPA, onde a adesão das empresas,  continua sendo voluntária aos critérios de “Governança Corporativa”, podendo ainda receber classificações de Nível 1 e Nível 2 (Mercado Novo / Bovespa) de acordo com o seu nível de adesão.

 

Nos critérios de Governança Corporativa estabelecida pelo Nível 2 – Mercado Novo/BOVESPA, a Governança de TI, é tratada de forma “indireta” e através das “verificações” de auditoria aplicadas aos controles internos operacionais e financeiros  nas empresas e realizados com base e referencia as  “melhores práticas de mercado”, quando observadas pelas Auditorias, onde a  ênfase está direcionada a verificação dos riscos e efetividade dos controles internos (Quando menciona o atendimento de “conformidade”  e nos remete as  “melhores práticas de Mercado”, indiretamente nos remete  as “melhores práticas” aplicáveis a Governança de TI, e que são  estabelecidas pela SOX e regradas de acordo com os critérios de auditorias indicados pelo  ISACA e PCAOB.

Embora o nível de exigência aplicado no Brasil não seja o mesmo (é Mais flexível), os critérios de uma “forma geral” utilizados durante a “identificação” e “mitigação” dos riscos seguem a mesma lógica e práticas adotadas pela Governança de TI  norte americanos.

 

1.3 – Os Novos Paradigmas da Governança no Brasil

 

Pense um pouco comigo, e veja se o conteúdo do paragrafo a seguir representa ou não uma “realidade muito possível” a médio e longo prazo em nosso país:

 

No ritmo que as empresas brasileiras estão crescendo, mais dia ou em menos dia, ela penderá para a abertura do seu capital e visando disponibilizar as suas ações para ser negociada na Bolsa de Valores, isto é algo inevitável e representa a única forma de uma empresa de “médio” ou  “médio-grande” porte se capitalizar e tornar-se uma empresa de “grande-porte” em  toda a sua plenitude.

 

E,  mesmo que a empresa onde atuamos seja uma empresa “familiar”, mesmo para elas,  este dia vai chegar, caso isto não ocorra de fato, estas empresas estão “fadadas” a permanecerem nos patamares atuais ou crescerão em ritmo mais lento, passando a correr o risco de que em algum dia, uma empresa pertencente ao “ grupo principal” venha a lhes adquirir ou venha a ocupar a sua parcela e lugar no mercado. “Infelizmente o mundo é assim mesmo, se não avançarmos rapidamente o “leão” vem e nos consome”.

Entenderá com mais propriedade o conteúdo desta frase, aquele que em alguma vez em sua vida teve a oportunidade de realizar um “salto com paraquedas”. Não é uma decisão fácil, mas será de fato “um paraquedista”, somente aquele que, efetivamente “realizar o salto”. “Para aqueles que “não saltaram” o voo foi apenas um passeio panorâmico, com uma mochila diferente atada as costas”.

 

Ou Ainda, se a empresa onde atuamos já possui ações negociadas na bolsa de valores em nosso país e obteve com isto um nível de crescimento que a tornou maior do que era inicialmente, é inevitável que em algum dia estas ações passem a ser negociadas em alguma das principais bolsas de valores espalhadas pelo mundo. Esta é a única forma de uma “grande-empresa nacional” vir a tornar-se uma multinacional global e hastear a nossa bandeira em mastros espalhados mundo afora.

 

Nada disto é, ou poderá ser possível, sem que as questões de Governança Corporativa e as relacionadas à Governança de TI estejam resolvidas e que os controles e métodos envolvidos estejam em pleno uso e funcionamento.”

 

Se a base  aplicada nesta linha de raciocínio te faz algum sentido e de alguma forma,  você leitor,  concorda com estes argumentos, você está mesmo “fadado” a vir a conhecer a aprofundar-se em “assuntos” relacionados a Governança.

 

Vamos pensar um pouco mais adiante: Se você esta no início de sua carreira (seja ela relacionada  às ciências de tecnologia ou a administração de empresas em geral), e  pretende vir a ocupar as posições de CIO ou CEO em grandes corporações daqui a  20 ou 30 anos, este é irremediavelmente o seu caminho a ser seguido,  comece a trilha-lo ainda hoje,  ou quem ocupará  esta vaga lá no futuro,  possivelmente será algum “profissional treinee” em  fase de treinamento neste assunto nos dias atuais.

Mesmo tendo atuado na organização de processos e controles organizacionais e, na organização de processos relacionados a TI durante mais de 25 anos,  confesso que  no início o entendimento e aplicação destes conceitos nos foi um pouco “confuso”, pois as abordagens utilizadas pelos diversos institutos e organizações envolvidas ou inseridas no contexto da  Governança nos parecia ser desconexas e muitas vezes sem sentido, quando analisadas de forma conjunta e integradas entre si, e infelizmente posso lhes garantir que em verdade é assim mesmo. Esta primeira “impressão” causada pelos “conceitos e aplicação” de tudo aquilo que seja relacionado à “governança” aos  “leigos” promove, e acreditamos que continuará a promover durante muito tempo ainda,  muita confusão, tentativas frustradas e uma sucessão infindável de erros de aplicação e integração dos diversos conceitos e práticas envolvidas.

 

A bem da verdade, cada instituição promove a sua “área de foco” ou “especialidade”, e cada qual,  dentro do limite estabelecido pelo universo contido em seu “quadrado”, promovem da melhor forma possível aquela “parcela” do conjunto de “conhecimentos e práticas” daquilo que denominamos ser governança de TI.  E, o grande “segredo” de tudo isto está relacionado à adoção de modelos que possam integrar e fazer interagir as diversas áreas do conhecimento envolvidas, para que tenhamos como produto final, aquilo que se denomina “Governança Funcional de  TI”.

 

1.4 – Componentes Principais da Governança de TI.

 

Vamos inserir aqui uma figura, colocando os principais modelos e recomendações, que juntos, proporcionam um “razoável” grau de cobertura  e  maturidade  em  Governança,  para que o nosso leitor possa perceber a dimensão geral do tema em questão:

 

Embora a figura represente um “organograma”, nos aludindo certa relação de “hierarquia” e “relação de dependência” entre os diversos “modelos” e “melhores práticas”, esta alusão não é de todo correta, embora exista de fato está “relação”, ela é absolutamente relativa quando passamos do campo teórico para o campo prático das relações entre os diversos processos e disciplinas que o compõe.

 

1.5– Erros comuns causados pela Unitarização dos Componentes da Governança de TI

 

O erro mais comum aplicado no entendimento e aplicação das disciplinas contidas em cada um dos componentes listados nesta figura e muitas outras variações publicadas mundo afora, é  acreditar que colocá-las em ordem unitária em um plano de ação  (To-do-list) e priorizar uma sequencia para a sua aplicação e então adotá-las  e ainda, que ao final desta  “jornada”,  o “assunto” governança estará resolvido,  Quem pensa assim,  sugerimos repensar imediatamente os seus conceitos, pois embora esta seja uma “abordagem possível”, é também aquela que representa o principal motivo pelo qual a adoção da  “Governança” seja tão dispendiosa, traumática e tão complexa para as empresas.

 

Vou lhes citar um exemplo, que pode nos representar isto que lhes afirmo, em relação ao volume de investimentos e das inúmeras “rodadas” de “tentativas e erros” que são necessárias muitas vezes para adotar uma melhor prática exigida pela Governança. Vamos citar aqui apenas um,  mas que geralmente é o “mais comum” é o mais “representativo” , e é o que mais facilmente pode ser percebido e entendido.

 

Exemplo:

 

Imaginemos que a nossa empresa “fictícia”,  necessita adotar uma “Metodologia”  para manter as suas iniciativas de mudanças em “projetos” sob controle, e com isto, atender aos requisitos estabelecidos pela Governança TI em relação a mudanças e projetos.  (Veja PO10 e AI6 – COBIT 4.1).

 

Por cinco minutos, vamos “fazer de conta” que a figura contida no gráfico acima citado “não existe ou ainda não seja conhecido por completo”, e sendo assim, “seria razoavelmente correto” imaginar que ao contratar alguém ou você mesmo compor uma metodologia para gerir os seus projetos de “desenvolvimento de sistemas” seria o “suficiente” para considerar o assunto “Gerenciamento de Projetos e mudanças” por concluído e atendido.

Em primeira análise, esta “missão” seria uma atividade razoavelmente “simples”, bastaria alocar alguns de nossos melhores analistas de sistemas, e determinarmos a eles que definam um modelo de trabalho “metodologia” se possível obtendo um “consenso” com os demais analistas de sistemas e programadores da companhia, e era isto, Em pouco tempo, teremos um “método” em uso para promover as mudanças e os projetos de desenvolvimento de sistemas na companhia.

 

No entanto, se trouxermos o “conteúdo contido em nossa figura” de volta a vida, e repassar cada quadro com um pouco mais de “critério”, facilmente poderemos perceber que  um “projeto”  que se propõe a  “desenvolver ou modificar  um sistema”,  possa ter algum tipo de “relação” e poderia muito bem “causar impactos” em quase “todos”  os quadros que compõem o referido organograma contido em nossa figura.

 

Vamos entender alguns relacionamentos possíveis, enumerando “uma pergunta” para cada “quadro”, considerando nela algumas “possíveis relações” entre a “disciplina” descrita em cada quadro com um “projeto/atividade” que se propõe a desenvolver/modificar um novo sistema:

 

  • O controle de acesso a ser inserido no escopo de desenvolvimento do sistema/aplicação foi avaliado pela equipe de riscos e segurança, no momento de analisar os requisitos da nova aplicação?
  • O desenvolvimento e testes, segregação entre as funções / perfis envolvidos na operação do sistema, alçadas e controles compensatórios, conflitos de interesse entre os usuários foram considerados como requisitos no escopo da nova aplicação?
  • Os requisitos do sistema consideram somente as questões de negócio (solicitante) ou também são consideradas as questões de ordem técnicas de TI, tais como: Modelos de  arquitetura, padrões de infraestrutura e serviços de TI, padrões de analise e codificação segura de sistemas,  integrações com os demais sistemas?
  • A Infraestrutura, serviços de apoio e suporte para a nova aplicação foram avaliadas durante o levantamento dos requisitos técnicos para o novo sistema?,  há recursos de TI capazes de absorver a nova aplicação sem causar impacto nas demais existentes?
  • O método de engenharia de software contempla ações de governança em relação ao registro de requisitos, analise, construções, validações e testes,  responsabilidades pela implantação e suporte aos usuários do negócio? – Normalmente as metodologias somente atendem a este requisito.
  • O projeto possui controles que possibilitam o seu gerenciamento durante todo o seu  ciclo de vida de desenvolvimento do software? – Normalmente é construída uma MDS para tratar as questões do ciclo de vida do software  e uma  MGP  atendendo as questões relacionadas ao ciclo de vida do Gerenciamento de projetos. Nestes casos, quando o projeto “não dá certo”,  não há formas de identificar claramente onde ocorreu a falha (Eis aqui a eterna discussão entre o PMO, GP , Analista de Sistemas, Programadores e Testadores, onde cada um fez exatamente a sua “cota parte”, mas o sistema não saiu conforme o combinado.).
  • E Por último e não menos importante,  estão as questões de segurança e não vamos nos enganar acreditando que a segurança deve estar restrita apenas as questões de acesso, pois há ainda as questões de segurança física, redes, backup /restore, continuidade, contingencias, e tudo mais relacionado ao gerenciamento da segurança da informação.

 

E  para Concluir,  duas perguntas finais:

 

  • Seria sensato incluir no ciclo de vida de desenvolvimento de sistemas,  “gatilhos” que pudessem atender e responder a estas questões  “durante” o ciclo de vida do projeto?

 

ou

 

  • Faria mais sentido não incluir estes “gatilhos”  no contexto da metodologia e deixar para que todas as áreas impactadas  controlem estas “integrações”  de forma paralela a Metodologia Desenvolvimento do sistema?

 

Quando ocorre uma resposta não adequada para estas perguntas,  verificamos posteriormente a existência de alguns possíveis “vícios”,  mesmo depois de investirmos tempo e dinheiro no desenvolvimento de  metodologias continuamos não atingindo o resultado proposto pela Governança TI e consequentemente causando impactos desastrosos na Governança Corporativa,  no que tange as questões relacionadas a “manter projetos sob controle”, e dai verificam-se situações como as abaixo relacionadas:

 

  • Sistemas sem controle de acessos, segregação de função, ou com controles falhos e incompletos.
  • Sistema que criam novas situações de risco para a TI e ao negócio, fraudes, erros, inconsistência de dados, apurações incorretas de valores, etc.
  • Sistemas, embora tecnicamente bem desenvolvidos, que não possuem os recursos de infraestrutura e serviços necessários para lhe oferecer o devido suporte, provocando paradas no negócio, perda performance, atrasos operacionais, incidentes recorrentes, etc.
  • Sistemas que acarretam impacto no ambiente e performance em recursos destinados a suportar outros  sistemas pré-existentes (Funcionava bem no inicio, agora demora ou perdeu a performance de uma hora para outra sem nenhuma explicação ou motivo aparente),
  • Projetos que demandam mais tempo para serem concluídos do que o inicialmente planejado, o software ficou pronto e a infraestrutura ainda não, faltam periféricos, instalações de rede até o ponto de utilização, etc.
  • Projetos que demandas mais recursos do que os inicialmente previstos,
  • Sistemas que apresentam falhas de engenharia de software ou de atendimento de escopo,  faltando ou sobrando requisitos em seu produto final,
  • Sistemas confeccionados para os usuários, mas estes,  inexplicavelmente não o utilizam ou apoiam o uso do sistema,
  • Sistemas sem documentação, sem rastreabilidade em seu processo de produção, quem mesmo foi o usuário que solicitou este sistema?
  • Sistemas que após serem concluídos, demandam novas solicitações de desenvolvimento para então integra-los aos sistemas pré-existentes,
  • E tantos outros vícios que poderiam ser aqui relacionados, cuja causa é a falta de  integração entre  a aplicação das melhores práticas com as demais melhores práticas de TI e que na grande maioria das vezes não tem nenhuma relação com aspectos de competência dos técnicos que construíram as soluções, mas sim os que definiram a amplitude dos seus métodos de trabalho (Aqui vale registrar a máxima de Albert Einstein, onde a “pergunta “certa” contém “metade” da resposta”, e a qual eu acrescentaria ainda um pequeno complemento: “Quando a “pergunta” ou a  “resposta” é errada, teremos como resultado o “dobro ou o triplo” do esforço que seria “realmente necessário” para obter a resposta “realmente certa”.)

Ai o nosso leitor poderá se perguntar, ou ainda continuar tendo dúvidas, relacionadas ao real motivo pelo qual devemos adotar “melhores práticas” em TI para o gerenciamento de projetos e mudanças e os motivos pelos quais estes métodos devem ser integrados a todos os
demais processos de TI.

A resposta é bastante “simples”,  quando inserimos a Tecnologia nas questões de governança, estamos endereçando com isto o “risco” atrelado as suas “operações” e incluindo nelas as atividades de  “desenvolvimento e manutenção” dos sistemas e consequentemente as informações que eles manipulam e armazenam (estas informações irão compor o resultado da empresa ao final do exercício contábil, e serão endereçadas e publicadas no seu Balanço).

Os fatos ocorridos em 2001/2002 ocorreram devido a “fraudes” relacionadas à “manipulação indevida” das informações das empresas.

O “ato” de “desenvolver ou modificar” sistemas esta relacionado diretamente as “informações”, seja através de “projetos ou atividades mudanças” aplicada em sistemas, e ainda, manter isto “sob controle” é um dos  “pontos chaves” da governança corporativa e Governança de TI,  pois interage diretamente na “relação” de Integridade, confiabilidade e disponibilidade das “informações”, e isto,  é à base da “confiabilidade” a que os “governantes”  devem “transparecer” para as partes  “interessadas” em seu “governo”, e, portanto, o resultado obtido pela sua gestão.

Fim Artigo.

—–

  • Este artigo está disponível para download no formato de Documento (PDF) no seguinte endereço:  Http://www.aghatha.com opção Free whitepapers.

——

  • FRAMEWORK DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI

Convidamos a Navegar pelo em Nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI. você

poderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).

http://www.aghatha.com/processos.htm  , clique nos fluxos para acessar o Suite de Navegação no Framework AGHATHA para o Compliance de Processos e Controles de TI.

Ou ainda, Leia mais sobre este mesmo assunto,  em nosso POST.

https://aghatha.wordpress.com/2012/05/24/como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroe/

—- Fim Conteúdo Artigo —-

Agradecimentos e Convites:

Seu feedback é muito importante para nós,  caso você tenha alguma dúvida ou necessidade de informações adicionais para o seu entendimento ou aplicação, entre em contato conosco através do e-mail abaixo.

Abraço e Felicidades a Todos,

Eurico Haan de Oliveira

http://www.aghatha.com/index.htm  

———

Declaração e Preservação de Direitos Autorais e de Propriedade:

Todas as marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

Licença Creative Commons
This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

  •  COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
  • Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA http://www.aghatha.com/index.htm / Http://www.aghatha.com ), sendo todos os direitos  autorais preservados, incluindo a sua utilização e exploração comercial.
  • COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
  • ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
  • ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
  • PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
  • PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright —

– Fim Artigo

Compartilhe este post:

Read Full Post »

HOW TO DRAW BUSINESS PROCESS FLOWCHART

Part 1 – Introduction, Concepts and Models.

How to draw flowchart business processes – Part 1 of 3-  Introduction, Concepts and Models.

Often we are faced with the difficulty that those responsible for processes in organizations have to show them  graphically.  In order to assist colleagues in this activity in this article we describe a simple method,  but at the same time is very useful and practical.

Let’s use in the manufacture of this article, streams and graphs drawn using Microsoft Visio,  however the player may use any other tool available in the market, including  free tools.

Our goal here is not to evaluate this or that tool, or determine whether a tool is better than another,  or the possibility of using other models and formats for documenting processes. Our goal is to describe a method that the  reader can easily learn and apply in the documentation of its processes.

1 – Introduction to the processes study

Before discussing the technique to be used in the  design itself of the processes is necessary that our reader has an understanding  of the basic principles of processes, so that we will cover the major topics and  in this sense even knowledge.

1.1 – Process Basic Components 

By definition, a  “process” should have a set of basic components to be
considered a process, they are: Component “input”, based on  this component is carried out the activities of “processing” and as a result will produce an any  “output ”.

1.2 – Quality Control between Process Components

Like any  activity intended to produce something, the process requires the  completion of  control activities to ensure their quality and that should be applied to each of  its components (Input-Process-Output).

By doing so we avoid  communication errors or gaps between the elements of the process within the  universe understood by the process itself.

Translating this in a more clear:

1.3 –  Inter-Process Quality Control

However, a process is not an element of absolute and  restricted himself, possibly at some point will depend on other processes to be  “fed” and possibly, after performing its own processing, it will “feed” another  process through its “product” and so on.

Given this, it is good practice to consider actions of quality  control also between processes, and thereby ensure the quality and integration  between them, ie, it is important to ensure that the “product” generated by a  “supplier process ” is validated by himself before being communicated to your  “Customer Process”.

Translating this in a more clear:

In theory, when we act this  way, “Process Performer” would not need to validate their “inputs” to proceed  when the receipt of his “entry”, since this should have occurred previously in  the “Provider Process”, little carry out even before the release of  “output”.

However, if we check the quality only  once, we are subject to  occurrence of a fault in the output of  “Process supplier” and not always the “Quality declared” in the output of a  process, will fulfill the quality requirements needed to meet the “entry” to the  next process.

Practical Example:

Try to run life cycle of a project to develop systems, where  each step of the cycle can be likened to a process. When  we do not do these checks in and out at each stage of the production process of  the system, the degree of variation of the resulting product will be a factor of  error rates occurring at each stage, (the result will be measured by multiplying  the rates error in each step, the error rates of the following steps, and so
on), this is the mathematical explanation of possible distances between the  “original requirement of the business” and the “work product” project, note that  first of all a methodology is a process and can be used in formulating the  concept of quality control in formatting steps or stages of an MDS – Software Development Methodology).

Translating this in a more clear:

Once you understand these  components and the basic criteria of quality review and integration between the  components of a process and processes between suppliers and client processes, we  return to our initial goal, which is graphically demonstrate the business  processes through flowcharts.

2 – Standard  Symbology

There are several possible patterns of  symbols to draw flowcharts of processes, including standards and specifications  for technical design and software, data models and many others.  We adopt here a very simple model composed of a small number  of symbols, but suffice to establish a business process using a  flowchart.

They are:

3 – The  Model Structure of the Process Flowchart.

There are several  possible ways to structure a process flow diagram, to map the most appropriate  process is called (CROSS-FUNCTIONAL), which could be translated roughly as  “flowchart crossover between functions.”

In this format, the flowchart enables the inclusion of information in addition
to the sequence of activities provided by the sequencing of symbols, and it is
possible to segment the design process in “sectors / cells” like a mother, being
inserted in the lines or the Actors functions responsible for implementation of
activities and steps in the existing columns in a given process.

See how the design would be a process following the structure  Cross-Functional  in Landscape view:

The same process,  following the vision in Cross-Functional portrait view:

And yet, the  same process using the free form usually used.

Note that the additional  information present in the two previous options are in fact the difference in understanding the process.

———-

Share This Post:

Related Articles:

Part 2 – Survey, Analysis and Design  Workflow (Step-by-Step to Draw a Flow).

In the next article (Part 2), we will address the techniques to be used during the
interviews for information gathering processes to be drawn and some examples of
how we organize and prepare the content of the information obtained in the
survey to facilitate the preparation of the corresponding flowchart.

Part 2 – Survey, Analysis and Design Business  Process.

  • What’s in the 2a.Part  (Continuation of this article): (This article is in translation).

Part 3 – Survey, Analysis of  Capacity and Load Processes (Learn how to calculate effort, time and  costs)

  • See What’s in the third. (Continued from second. Part) in: (This article is in translation).

· Download do conteúdo deste Artigo :

O Conteúdo deste artigo está disponível para download no formato Arquivo (PDF) na pagina Free Whitepaper publicada em nosso site

www.AGHATHA.com , acessando a pagina : http://aghatha.com/index.php/whitepapers.html , você poderá realizar o download do mesmo gratuitamente.

Faça-nos uma visita, caso opte por assinar a Nossa Newsletter, você passará a receber avisos de atualizações e ampliações do conteúdo deste artigo e/ou comunicados sobre a publicação de outros artigos relacionados com este mesmo assunto.
———-

Thanks and Invitations:

The information and comments in this article are the  result of observations and experiences gained by the author during the execution  of projects over 30 years of experience in the market.

We use this space for the dissemination and  exchange of knowledge with our readers, customers and friends.

If you  have any questions or need additional information to your understanding or
application, contact us via e-mail address below.

Embrace and Cheers to All,

Eurico Haan de Oliveira

http://www.aghatha.com/index.htm 

consulting@aghatha.com
Follow us on Twitter, and get notified of new articles and / or revision of this
text. Aghatha_maxi Follow on Twitter

———

Apresentação AGHATHA Framework – Norma ISO-27001:2/2005.


———

Copyrights and Preservation of Rights Declaration:

All other brands, models, drawings, names, including the content of this article, are the property of their respective manufacturers, authors or publishers.

The  reader is allowed to make non-commercial internal use and the content of this
article, provided they kept the copyright notices and kept the references to its
origins and identification of the respective authors and owners.

Rights to commercial use of this  article are preserved and maintained in unique name of the author and the reader  is not allowed to use them, in whole or in part for commercial uses and purposes  and / or activities aimed at obtaining their own profit or commercial advantage  or third parties.

Licença Creative Commons
This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

For the preparation of this article have been cited and / or  used the following names, trademarks and publications:

  • COBIT ® 4.1, which is  wholly owned by ISACA – Information Systems Audit and Control Association ( www.isaca.org ) and IT Governance Institute ™ ( www.itgi.org  ) and All copyrights reserved.
  • This Article Content – is the exclusive property of  Author and AGHATHA ( Website: http://www.aghatha.com/index.htm  /Webstore:  Http: / / www.aghatha.com ), and all copyright is preserved, including its use and  commercial exploitation .
  • COSO ®, which is wholly  owned by Committee of Sponsoring Organizations of the Treadway Commission (COSO)
    ™ ( www.coso.org/  ) and All copyrights reserved.
  • ISO-IEC ® Standard – are  exclusive property of the International Organization for Standardization (ISO ®)
    and International Electrotechnical Commission (IEC ®) ( www.iso.org  ) and All copyrights reserved.
  • ITIL V-3 ® – IT Infrastructure Library ® ( www.itil-officialsite.com  ) that is owned and exclusive protection of the British Crown ( www.ogc.gov.uk  ) – Office of Government Commerce (OGC) – UK, and All copyrights  reserved.
  • PCAOB ® is the exclusive  property of the Public Company Accounting Oversight Board – ( http://pcaobus.org/
    ) and All copyrights reserved.
  • PMI ® / PMBOK ® exclusive  property of the Project Management Institute ( www.pmi.org/  ) and All copyrights reserved
  • Google Translator ® – The content of this article was translated by Google Translate®   – (http://translate.google.com) – which is  wholly owned by Google ® and All rights of this tools is reserved.

– End of Copyright Bills of Rights –

– End Article

Read Full Post »

COMO DEFINIR UMA POLITICA DE SEGURANÇA DA INFORMAÇÃO

Introdução, Conceitos, Estruturas e Sugestões Práticas à Seguir.

 

COMO DEFINIR UMA POLITICA DE SEGURANÇA DA INFORMAÇÃO- Introdução, Conceitos, Estrutura e Sugestões a Seguir.

1 – Abertura e Objetivos

Neste artigo vamos tratar de um assunto muito discutido e denominado Politica de Segurança da Informação, abordando algumas dúvidas comuns e sugerindo algumas ações que possam ser adotadas para construir e implementar uma Politica de Segurança da Informação, citando alguns exemplos e práticas que possam ser aplicadas no dia a dia das empresas e com isto promover melhorias na Segurança da Informação.

Nosso objetivo é tratar o assunto de forma geral e não definitiva este assunto que é complexo e logicamente não poderemos trata-lo por completo nestas poucas páginas de texto,  fizemos nosso texto orientado aos colegas que não possuem domínio total do assunto mas que por algum motivo preocupam com o assunto e tem dificuldades em encontrar material de apoio relacionado a este assunto, principalmente em português, e ainda pensamos que também poderá proporcionar material de apoio aos colegas mais experientes, ou para aqueles que tratam da segurança da informação orientado ao Compliance a algum padrão ou legislação em particular.

2 – Introdução e Conceitos Básicos a Segurança Informação

Primeiramente precisaremos abordar alguns conceitos e ideias relacionadas ao assunto, elementos, características e atributos relacionados a uma Política de Segurança da Informação, são eles:

2.1 – Informação tem Valor e Precisa ser protegida.

Informação são todos os dados, fórmulas, contratos, documentos privados, o resultado econômico obtido, saldos bancários, projetos e fotos de produtos em desenvolvimento, propostas comerciais enviadas, propostas de fornecimentos recebidas, planos estratégicos, planos de marketing, a relação de clientes e fornecedores, os dados pessoais dos colaboradores, enfim todo o tipo de “informação” que “represente ou possua um determinado valor” ou ainda,  que possa vir a causar “prejuízo ou impacto negativo” caso venha a ser comunicado a elementos estranhos à organização.

Por mais elementar que possa parecer, é difícil fazer as pessoas entenderem o fato de que a informação “possui um valor” e em função disto deve ser “protegida por todos”, ou ainda, os motivos pelos quais  o “vazamento” de uma informação pode vir a trazer prejuízos para a empresa onde se atua,  ou mais ainda que a informação seja parte do “patrimônio de uma  empresa”, embora isto sejam conceitos, para alguns ainda são “paradigmas” a serem quebrados.

Vamos ilustrar duas situações hipotéticas como exemplos para que possamos transmitir e reforçar os conceitos de que a informação “possui mesmo um valor” e devido a este fato, “necessita ser mesmo protegida”.

  • A informação possui Valor:

Vamos imaginar, durante um minuto, que você leitor é um colaborador, dentre vinte outros colegas de trabalho, e a sua função e dos seus demais é realizar a faxina das salas no final do expediente em uma Grande Empresa, (Destas, que ocupam diversos andares em um mesmo prédio).

Um dia ao passar por uma das mesas, percebe que há um papel caído no chão, você simplesmente o pega e em seguida o coloca no cesto de lixo, continuando a sua atividade normalmente junto com seus colegas de trabalho.

No dia seguinte, a secretária do Gestor Financeiro percebe que o papel onde havia imprimido o Balanço contendo os resultados do ano anterior (Aquele Balanço que ainda não havia sido divulgado externamente), o qual ela havia imprimido a fim de ganhar tempo na organização da reunião matinal do dia seguinte, percebe que o papel impresso sumiu da sua mesa. Rapidamente ela imprime uma nova cópia do documento, e a reunião ocorre na hora marcada e nada de mais acontece.

Passados alguns dias, e uma semana antes da data do balanço ser divulgado pela empresa,  o gestor financeiro da empresa recebe os cumprimentos pelo excelente resultado obtido pela sua empresa ano anterior, recebido casualmente durante um jantar num restaurante, e, ainda o “cumprimento” foi proferido por uma pessoa estranha à empresa. Mesmo sem entender o que está acontecendo, recebe o cumprimento com um sorriso amarelo no rosto e sem seguida continua o jantar meio sem jeito, pensando em um milhão de possíveis hipóteses na tentativa de “explicar” o evento ocorrido.

ONDE esta o valor da informação?

  • Para você ou algum de seus colegas, foi mais um “lixo” colocado no “lixo”, e ainda, pode ter proferido algum “impropério” em homenagem ao desleixado que deixou “aquilo” caído no chão.
  • Para a secretária, pode representar o consumo de uma folha adicional de papel mais a atividade de reimprimir o documento, além do “stress” de ter que imprimi-la novamente às pressas no dia seguinte, para não atrasar a reunião.
  • Para o Gestor Financeiro, resta torcer para que o cumprimento recebido tenha sido uma “Obra do acaso, afinal de contas como o “fulano” poderia saber, e ainda mais uma semana antes da divulgação do Balanço…”.
  • No entanto, esta informação para um investidor do mercado de ações pode representar a diferença entre “ganhar um pouco” ou “ganhar um pouco mais”, pois indica que a compra antecipada de um lote maior de ações desta empresa poderá render um pouco mais, ainda mais depois de ter a certeza que o resultado “antes presumido” foi “de fato muito bom”. A isto se denomina “informação privilegiada”;

Este exemplo é bem interessante, pois pode ser aplicável a muitos outros tipos de informações “perdidas ou extraviadas”. Imagine um pouco mais adiante, substituindo o “Balanço”, por outras informações, tais como: O “plano estratégico”, “projetos ou plantas de produtos”, “Plano Marketing”, o cadastro de clientes, e assim por diante.

Quando a possibilidade de alguém encontrar um papel importante no lixo, tenha a seguinte certeza em mente: “havendo uma grande quantia envolvida, haverá sempre alguém interessado em “dar uma olhadinha” na sua lixeira”, estão lembrados de que alguns anos atrás, alguém perdeu um bilhete premiado, e depois de dizer que havia colocado no lixo, houve uma horda de pessoas em direção ao lixão da cidade, a fim de encontrar o “tal bilhete”.

  • A Informação precisa ser protegida.

Vamos investir mais um minuto imaginando outra situação: Onde você é o único responsável por salvaguardar uma fórmula de uma bebida ou refrigerante famoso, e que a empresa onde você trabalha, é o que é, devido à existência deste produto, o qual é fabricado através do uso desta formula.

É sensato concluir que empresa proprietária da formula, construiu esta “combinação de porções e ingredientes” depois de muitos anos de pesquisa, milhares de testes e uma soma incalculável de investimentos e recursos até que em algum dia conseguiu obter a “combinação ideal”.

É inegável, que a informação sob sua responsabilidade é algo que  representa e possui um “grande valor” e ainda, e que é “prioritário” que ela deve ser  protegida através da melhor forma possível.

Após entendermos as razões de valor de uma informação e entender que há motivos plausíveis para que ela seja protegida, surge à necessidade de aplicar ações neste sentido. Estas ações,  vistas de um nível mais alto em uma organização é o que se denominava há cem anos como “Instruções Técnicas de Segurança” e nos dias atuais de “Politica de Segurança da Informação”.

2.2 – Os atributos da Segurança Informação

Abaixo citaremos as principais características da segurança da informação, com base nestes atributos todo o resto é planejado e executado:

  • Confidencialidade:

A Confidencialidade nos impulsiona primeiramente identificar e classificar o nível de sigilo das informações para depois tomar medidas protetivas para que não seja comunicada ou acessada por todos aqueles que não a necessitam para o restrito exercício de suas funções e estão devidamente autorizados para isto.

  • Integridade:

As informações devem ser mantidas intactas e protegidas para que não se percam ou se deteriorem e precisa ser protegida contra agentes que possam destruí-la ou torná-la indisponível no momento em que se fizer necessária. A informação deve ter a sua integridade assegurada.

  • Confiabilidade:

As informações somente poderão ser alteradas ou modificadas por pessoa treinada ou capacitada para tal, evitando que uma informação seja invalidada por alguma atividade não regular ou realizada sem o devido controle. A informação deve ser confiável.

  • Disponibilidade:

De nada adiante atender os itens anteriores se a informação não estiver disponível para ser utilizada, no momento em que for necessária para alguma ação ou atividade. A informação deve estar disponível no momento certo.

2.3 – A Informática e a Segurança da Informação.

No inicio do século passado, seria necessário adquirir um “cofre com proteção contra incêndio” e organizar uma “Sala de Arquivo bem trancada” podíamos resolver uma boa “parcela” do problema.

Adicionando a isto, uma instrução identificando quais informações deveriam ser depositadas no “cofre” e quais deveriam ser depositadas no “arquivo”, o assunto estaria “sob controle”.

Atualmente, com uso cada vez maior e mais amplo da Informática, e agravado ainda pelo advento da expansão de uso da internet dos últimos 10 anos, o “problema” que já era complexo, se tornou em “algo” que pode envolver uma dezena de profissionais para ser tratado e executado para se conseguir um “nível aceitável de controle”.

E, devido à estra complexidade e a dimensão que as informações tomaram nas organizações surge à necessidade de uma Politica de Segurança da Informação nos termos requeridos dos dias atuais, não que isto não existisse no passado, mas certamente não era um assunto “tão complexo” como pode vir a ser nos dias atuais.

2.4 – Analise de Risco e as Ações de Segurança da Informação.

Há alguns motivos importantes, para identificar os riscos antes iniciar atividades destinadas melhorar os níveis de segurança da informação, embora já tenhamos observado empresas partirem diretamente para as ações de segurança da informação sem que tenham efetuado uma avaliação preliminar de riscos existentes ou ainda,  sequer possuem um processo formal  orientado ao  gerenciamento de riscos. No entanto a recomendação é primeiramente sejam identificados os riscos de TI e na sequencia, sejam  iniciadas as atividades de Gerenciamento da Segurança da Informação.

Vejamos algumas vantagens de avaliar os riscos anteriormente:

1-      Há modelos de referencia que nos indicam os riscos relacionados à segurança a informação, elaborados com base no impacto econômico que uma situação de risco  pode acarretar ao negócio. Estas referencias foram criadas a partir de lições apreendidas baseadas em fatos reais ou, ainda,  baseadas na probabilidade de que algumas situações possam vir a ocorrer e causar impacto ao negócio. O Importante é reforçar que o uso destas recomendações pode auxiliar na identificação da maioria das situações de risco relacionadas à segurança da Informação e podem ainda indicar as eventuais medidas de mitigação a serem tomadas.

Estas informações podem ser obtidas em organizações como ISACA, PCAOB, COSO e resumidamente em algumas normas ISO-IEC da série 27000.

2-      Os modelos de referencia nos apresentam uma visão completa da Segurança da Informação,  lembrando que uma equipe de TI composta por 20 Pessoas possui os mesmos problemas a resolver do que uma equipe de TI composta por 300 ou mais Pessoas, o ambiente pode até ser menos complexo, mas os riscos e as questões relacionadas à segurança da informação e as responsabilidades assumidas pelo TI, não são exatamente as mesmas, apenas  por “detalhes”.

Outra razão importante, é que nem sempre possuímos o orçamento necessário para mitigar “todos os riscos”, e podemos fazer uso da tabela se risco e as suas  classificações para focar na mitigação nos riscos mais críticos, deixando os de menor criticidade (Aqueles que representam menor gravidade/impacto para o negócio),  para serem tratados em um segundo momento ou simplesmente aceita-los.

De outro lado, quando partimos diretamente para o Gerenciamento da Segurança da Informação, sem a investigação prévia dos Riscos de TI, poderemos verificar algumas situações quepoderiam ser evitadas, tais como:

1- Podemos atuar em uma situação que envolva segurança da informação, onde o impacto ao negócio pode ser baixo, e eventualmente deixar de atuar em uma situação onde o impacto seja alto;

2-      Podemos ser levados a gastar mais do que o prejuízo causado pela ocorrência do fato em si.

3-      Podemos avaliar mal a amplitude de um evento de segurança,  deixando de fora ou sem tratamento elementos importantes da sua composição.

4-      Podemos atuar nas consequências e não nas causas dos problemas.

3 – Referencias técnicas para elaboração de Politica de Segurança Informação

Se você não possui uma Politica de Segurança da Informação, ou já possui uma e pretende verificar se ela está de acordo com as recomendações do mercado, sugerimos utilizar as normas ISO-IEC-27001 e ISO-IEC 27.002 como ponto de partida para a sua análise, pois ambas proporcionam a descrição das recomendações dos requisitos e das práticas que precisaremos adotar para primeiramente elaborar e depois cumprir o que foi definido na Politica de Segurança da Informação.

Há ainda, assuntos técnicos ou relacionados à infraestrutura e serviços técnicos de TI, que precisam ser adotados e estão disponíveis nos modelos do ITIL, PMO, e das  recomendações contidas nas Normas ISO-IEC-20.000:1 e 2, pois estes processos que são mais bem tratados através destas fontes complementares / normas.

3.1 – Composição Básica Sugerida para a Politica de Segurança da Informação.

Em tese, a Politica deve conter as diretrizes a serem cumpridas por todos na organização, se entendermos que devemos ter pelo menos uma diretriz para cada um dos grupos de assuntos (Capítulos) previstos pela norma ISO-27.002, nossa Politica de Segurança da Informação não deverá possuir mais de 2 ou 3 páginas.

É importante alertar que dependendo do segmento de mercado ao qual a empresa atua,  ela poderá ser “obrigada” a cumprir além dos requisitos contidos na norma, alguns outros elementos adicionais de segurança, muito mais em razão das diferenças contidas em sua “Matriz de Riscos” do que pela adoção ou não de uma determinada especificação contida na norma.

Ao final de algum tempo, você deverá atingir além da Politica, alguns grupos de Normas e Procedimentos, que possibilitem a cobertura de todas ou quase todas as recomendações contidas na referidas normas.

Modelo acima representa o Mapa Geral contendo a Politica, Normas e todos os Procedimentos necessários para a implementação de um Sistema de Gerenciamento de Segurança da Informação, do qual a Politica de Segurança da Informação é o elemento central e responsável por estabelecer todos os demais níveis de controle e das devidas evidencias destinadas a sua comprovação.

4 – Fatores Críticos de Sucesso

Há alguns fatores críticos para o Sucesso durante a implementação de um Sistema de Gerenciamento da Segurança da Informação, vamos citar aqui os principais:

4.1 – Resistencia Natural das Pessoas Envolvidas no Processo.

Como é de se esperar em todo o processo que envolve mudanças há resistência natural das pessoas, e no caso da segurança da informação especificamente há um detalhe a “desinformação sobre o tema”. As pessoas não “entendem facilmente”, pelo menos no início, o real motivo e a necessidade de tantos controles, processos e evidencias, e não é raro, observarmos algumas reações, dentre as mais diversas possíveis, no momento de colocar em pratica alguma ação orientada a promover a segurança.

E para ilustrarmos isto, vejamos alguns exemplos:

  • “A empresa resolveu burocratizar as coisas”,
  • “A empresa perdeu a confiança e por isto retirou os meus privilégios de acesso”,
  • “Eu sempre fiz assim e sempre deu certo, porque mudar agora”,
  • “Eu acho que a empresa vai me demitir”,
  • “Eu sei como fazer, mas não consigo colocar o que eu faço num papel”,
  • “Não consigo trabalhar direito sem usar o meu chat”.
  • “Não consigo mais acessar o meu e-mail pessoal aqui na empresa”.
  • “Se o diretor pode, eu também quero”.
  • Entre outras.

A boa notícia é que estas reações deixam de existir com o passar do tempo, quando as mesmas pessoas são treinadas e recicladas e as reações mudam bastante na medida em que vão entendendo o que de fato é “Segurança da Informação” e como este assunto é importante não só para a empresa, mas para si próprias.

4.2 – Apoio da Alta Direção / Gestores.

O Apoio dos gestores é fundamental para que a Politica de Segurança da Informação sejam efetiva, sem a presença deste apoio, iniciar qualquer ação neste sentido é algo no mínimo “temerário”.

Exemplo de ações onde o apoio da Alta direção será  necessário:

  • Há pontos que para serem tratados adequadamente, é necessário incluir clausulas adicionais em contratos de trabalho, termos de confidencialidades, Adesão a Regras de Navegação e Uso de Internet, Código de Ética e Conduta, e tantos outros itens com amplitude geral na empresa;
  • Segurança da informação abrange todos os funcionários da empresa, sem distinção de cargo ou função. Segurança é responsabilidade de todos, conseguir materializar isto sem o apoio da Alta Direção é uma missão quase impossível.

 4.3 – Treinamentos e Reciclagens constantes

Prover treinamentos regulares em Segurança da Informação aos colaboradores além de fundamental é o que de fato garantirá o sucesso da aplicação das diretrizes contidas na Politica de Segurança da Informação.

4.4 – Auditorias e Verificações Regulares

Recomenda-se a realização de auditorias ou verificações de Compliance nos processos estabelecidos, a própria norma estabelece em um de seus capítulos este controle de forma regular e constante.

Se os processos não forem periodicamente revisados, corre-se o risco de cair em desuso ou perder a oportunidade de simplifica-lo ou melhora-lo com o passar do tempo.

Mesmo que você não tenha o objetivo de certificar os processos de segurança, aos mesmos moldes dos processos de qualidade, é importante que um grupo de avaliadores, mesmo que internos verifiquem periodicamente a regularidade dos processos e controles.

5 – Por Onde Começar e o que fazer?

Sugerimos inicialmente a realização de um estudo considerando o volume de  custo e esforço necessário para a realização do projeto de compliance, sendo também muito importante obter o apoio da organizaçao e principalmente dos gestores nesta fase inicial do projeto. A Norna ISO-27003:2010 possui um roadmap sugerido para a implementação do sistema da segurança e pode ser de grande auxílio na organização e execução as ações necessárias.

É importante ter em mente que obtendo o “Compliance em Segurança da Informação” você estará construindo as bases para o compliance em diversas outras categorias de compliances existentes, tais como Governança TI e Corporativa, PCI, ANTT – Agencia Nacional Transportes Terrestres, Acreditação Segurança ao Fornecimento Serviços, Sarbanes-Oxley, Basel entre outros.

Caso tenha dúvidas em relação ao estudo dos custos, montamos a algum tempo um template destinado a comparar o volume de custos e esforço construindo todos os processos a partir do zero e com o apoio de um consultor especialista e uma outra hipótese considerando a utilização de modelos pré-definidos. Este template está disponível para download sem nenhum custo em nossa webstore na seção Brochures, no endereço http://www.aghatha.com

5.1 –  Adotar modelos pré-definidos para a organização de Processos e Controles Segurança da Informação – ISO-27002:

Conheça nosso AGHATHA Framework para o Compliance da Norma ISO-27002:2005,  mais detalhes sobre este produto podem ser conhecidas no post abaixo:

https://aghatha.wordpress.com/2012/12/04/aghatha-framework-licenca-uso-perpetua-modelos-aplicacao-norma-iso-iec-270022005-seguranca-informacao-r02-01a/

Você pode licenciar o uso deste framework em nossa webstore, veja no endereço abaixo o link de acesso as informações sobre o AGHATHA Framework – Compliance Norma ISO-27002 – Segurança da Informação.

http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

 

5.2 – Contruir você mesmo com o apoio de sua equipe os Processos e Controles Segurança Informação – ISO-27002:

Em artigo anterior a este tratamos algumas sugestões de como adotar as melhores práticas contidas na Norma ISO_IEC-27.001 e 27.002, o artigo aborda o que fazer, e ainda sugere em linhas gerais como adotar as recomendações previstas por estas normas.

Este artigo pode ser visualizado em:

https://aghatha.wordpress.com/2011/05/22/compliance-de-processos-norma-isoiec-27-002-gerenciamento-de-seguranca-informacao/

Há ainda outros artigos relacionados especificamente em como Organizar a documentação de processos e boas práticas em TI, incluindo o template sugerido por nos para ser utilizado na descrição dos processos.

Este artigo pode ser visualizado em:

https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

Caso o leitor se habilite a levantar e desenhar os processos e controles escrevemos três artigos que tratam deste assunto, considerando o que deve ser feito a partir dos  conceitos, métodos, símbolos, e exemplos de como descrever os processos e como desenhar os respectivos fluxogramas.

Estes artigos estão disponíveis em:

1 Parte: Introdução, Conceitos e Modelos

https://aghatha.wordpress.com/2011/07/03/como-desenhar-fluxogramas-de-processos-de-negocio-1-parte-introducao-conceitos-e-modelos/

2 Parte – Levantamento, Analise e Desenho do Fluxograma

https://aghatha.wordpress.com/2011/07/10/como-desenhar-fluxogramas-de-processos-de-negocio-2-parte-levantamento-analise-e-desenho-do-fluxograma/

3 Parte – Analise de Capacidade e Carga dos Processos

https://aghatha.wordpress.com/2011/07/16/como-desenhar-fluxogramas-de-processos-de-negocio-3-parte-analise-capacidade-carga-processos/

  • Este artigo está disponível para download no formato de Documento (PDF) na pagina destinada a Noticias e Download   no site da AGHATHA, no seguinte endereço:  Http://www.aghatha.com/index.htm

Você pode ainda, Adotar Bibliotecas Contendo Modelos, Processos e Controles Prontos e Preparados para serem utilizados rapidamente.

Conheça nossa Biblioteca de Modelos – Licenciamos o Uso de Frameworks contendo todos as Politicas, Normas, Procedimentos e Controles para o Compliance de TI, isto é uma forma rápida, econômica e eficiente de implementar estes padrões, sem ter de desenha-los a partir do Zero, ou ainda, utiliza-los na complementação / revisão dos processos já existentes.

Caso tenha interesse em conhecer esta solução, veja mais detalhes abaixo:

  • FRAMEWORK DE PROCESSOS E CONTROLES PARA O COMPLIANCE DE TI

Convidamos a Navegar pelo em Nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI. você poderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).

Em nossa webstore, onde os 175 modelos (Politicas, Normas, Procedimentos e Controles podem ser licenciados on-line) em : http://aghatha.com/index.php/framework/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

Ou ainda, Leia mais sobre este mesmo assunto,  em nosso POST.

https://aghatha.wordpress.com/2012/05/24/como-implementar-processos-e-controles-para-o-compliance-de-ti-atraves-do-licenciamento-de-uso-de-um-framework-modularizado-e-contendo-documentos-processos-controles-e-workflow-para-cada-um-dos-padroe/

—–

· Download do conteúdo deste Artigo :

O Conteúdo deste artigo está disponível para download no formato Arquivo (PDF) na pagina Free Whitepaper publicada em nosso site

www.AGHATHA.com , acessando a pagina : http://aghatha.com/index.php/whitepapers.html , você poderá realizar o download do mesmo gratuitamente.

Faça-nos uma visita, caso opte por assinar a Nossa Newsletter, você passará a receber avisos de atualizações e ampliações do conteúdo deste artigo e/ou comunicados sobre a publicação de outros artigos relacionados com este mesmo assunto.
———-

Compartilhe este post:

———

Declaração e Preservação de Direitos Autorais e de Propriedade:

Todas as marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

Licença Creative Commons This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

  • COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
  • Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (http://www.aghatha.com/index.htm  / Http://www.aghatha.com ), sendo todos os direitos  autorais preservados, incluindo a sua utilização e exploração comercial.
  • COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
  • ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
  • ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
  • PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
  • PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright —

– Fim Artigo

—- Fim Conteúdo Artigo —-

 

Read Full Post »

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO – 1 Parte – Introducao Conceitos e Modelos

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO

Parte 1 – Introdução, Conceitos e Modelos.

Como desenhar fluxograma de processos de negócio – parte 1 – Introdução, Conceitos e Modelos.

Muitas vezes nos deparamos com a dificuldade que os responsáveis pelos processos nas organizações têm ao demonstra-los graficamente.

Com o objetivo de auxiliar os colegas nesta atividade  vamos descrever neste artigo um método simples, mas que ao mesmo tempo é bastante útil e prático.

Vamos utilizar na confecção deste artigo, fluxos e gráficos desenhados com o uso do VISIO da Microsoft,  no entanto o leitor poderá fazer uso de qualquer outra ferramenta disponível no mercado, inclusive ferramentas livres.

O nosso objetivo aqui não é avaliar esta ou aquela ferramenta, ou determinar se uma ferramenta é melhor que a outra, ou ainda a possibilidade de utilização de outros modelos e formatos para a documentação de processos.

O nosso objetivo é descrever um método que o leitor possa aprender facilmente e aplicar na documentação de seus processos.

1 – Introdução ao estudo de processos

Antes de abordar a técnica a ser utilizada no desenho propriamente dito dos  processos é necessário que o nosso leitor tenha o entendimento dos princípios básicos dos processos, para isto vamos abordar os tópicos principais e neste sentido nivelar os conhecimentos.

1.1    – Componentes Básicos dos Processos

Por definição, um “Processo” deve possuir um conjunto de componentes básicos para ser considerado um processo, são eles:  Componente  de “entrada”, com base neste componente é realizado as atividades de  “processamento”, e como resultado  deverá produzir uma  “saída” qualquer.

1.2   – Controle de qualidade entre os Componentes do Processo

Como qualquer atividade destinada a produzir algo, o processo requer a realização de atividades de controle para assegurar a sua qualidade e que deverá ser aplicada em cada um dos seus componentes (Entrada-Processamento-Saída). Agindo desta forma estaremos evitando comunicação de eventuais erros ou falhas entre os elementos que compõem o processo, dentro do universo compreendido pelo próprio processo.

Traduzindo isto de uma forma mais clara:

 

 1.3   – Controle de qualidade entre Processos

No entanto, um processo não é um elemento absoluto e restrito a si próprio,  possivelmente em algum momento dependerá de outros processos para ser “alimentado” e possivelmente, após a execução de seu próprio processamento, passará a “alimentar” outro processo através do seu “produto” e assim sucessivamente.

Diante disto, é uma boa prática considerar ações de controle de qualidade também entre processos, e com isto garantir a qualidade e a integração entre os mesmos, ou seja, é importante assegurar que o “produto” gerado por um “processo fornecedor” seja validado por ele mesmo antes de ser comunicado ao seu “Processo Cliente”.

Traduzindo isto de uma forma mais clara:

 

Em tese, quando agimos desta forma, o “Processo Executor” não teria necessidade de validar os seus “insumos” no momento de proceder o recebimento de sua “entrada”, uma vez que isto deveria ter ocorrido previamente no “Processo fornecedor”, pouco antes do mesmo proceder a liberação de “saída”.

No entanto,

Se verificarmos a qualidade apenas uma única vez, estamos sujeitos à possiilidade de ocorrência de alguma falha na saída do “Processo fornecedor” e nem sempre a “Qualidade declarada” na saída de um processo, atenderá plenamente os requisitos de qualidade necessários para atender a  “entrada” no processo seguinte.

Exemplo Prático: Experimente executar o ciclo de vida de um projeto de desenvolvimento de sistemas, onde cada etapa do ciclo pode ser comparada a um processo. Quando não realizamos estas verificações de entrada e saída em cada uma das etapas do processo de produção do sistema, o grau de variação do produto resultante será um fatorial das taxas de erro ocorridas em cada etapa, (O Resultado será medido pela multiplicação das taxas de erro existentes em cada etapa,  pelas taxas de erro das etapas seguintes, e assim sucessivamente), esta é a explicação matemática de possíveis distanciamentos  entre o “requisito original do negócio” e o  “resultado do produto do projeto”, note que antes de mais nada uma Metodologia é um Processo e pode-se utilizar este conceito na formulação do controle de qualidade na formatação de etapas ou fases de uma MDS.

Traduzindo isto de uma forma mais clara:

 Uma vez entendido estes componentes e os critérios básicos de revisão de qualidade e  integração entre os componentes de um processo e entre processos fornecedores e processos clientes, retornaremos ao nosso objetivo inicial, que é demonstrar graficamente os processos de negócio através de fluxogramas.

2        Padrão de Simbologia

Existem diversos padrões de símbolos possíveis para desenhar fluxogramas de processos, e inclusive padrões destinados a especificações e desenho técnico de software, modelos de dados e tantos outros. Vamos adotar aqui um modelo bastante simples e composto por um número reduzido de símbolos, mas que são suficientes para demonstrar um processo de negócio através de um fluxograma.

São eles:

 

 

3        – O  Modelo de Estrutura do Fluxograma do Processo.

Existem diversos formas possíveis de estruturar um fluxograma de processo, a mais indicada para mapear processo é a denominada (CROSS-FUNCTIONAL), o que poderia ser traduzido mais ou menos como “fluxograma cruzado entre funções”.

Neste formato, o fluxograma possibilita a inclusão de informações adicionais, além da sequência de atividades proporcionada pelo encadeamento dos símbolos, e é possível segmentar o desenho do processo em “setores/celulas” como se fossem uma matriz, sendo inseridos nas linhas os Atores ou funções responsáveis pela execução das Atividades e nas Colunas as etapas existentes em um determinado processo.

Veja como ficaria o desenho de um processo seguindo a estrutura Cross-Functional na visão Horizontal:

 

 O mesmo Processo, seguindo a visão Cross-Functional na visão Vertical:

 

E ainda, o mesmo processo utilizando-se a forma Livre normalmente utilizada. Note que as informações adicionais presentes nas duas opções anteriores fazem de fato a diferença no entendimento do processo.

——-

See the article content in English here:

https://aghatha.wordpress.com/2011/07/29/how-to-draw-business-process-flowchart-part-1-of-3-%e2%80%93-introduction-concepts/

———-

·  Download do conteúdo deste Artigo :

O Conteúdo deste artigo está disponível para download no formato Arquivo  (PDF) na pagina Free Whitepaper publicada em nosso site

www.AGHATHA.com , acessando a pagina :  http://aghatha.com/index.php/whitepapers.html , você poderá realizar o download do mesmo gratuitamente.

Faça-nos uma visita, caso opte por assinar a Nossa Newsletter, você passará a receber avisos de atualizações e ampliações do conteúdo deste artigo e/ou comunicados sobre a publicação de outros artigos relacionados com este mesmo assunto.
———-

  • Visite nossa Webstore :

Economize centenas de horas com a realização de levantamentos, definição, documentação e organização de processos e controles em Tecnologia da Informação.

Agora é possivel obter suites contendo modelos pré-definidos, integrados e  prontos para utilização / implementação e contruídos em conformidade com as regras e requisitos estabelecidos nos diversos padrões de compliance em TI.

  • AGHATHA Framework – Compliance Norma ISO-27002

http://aghatha.com/index.php/framework-de-processos-e-controles-para-o-compliance-de-ti-norma-iso-27001-iso-27002-seguranca-da-informacao-release-02-01-a.html

  • AGHATHA Services – Serviços Suporte Técnico e Consultoria Técnica Sob Demanda.

http://aghatha.com/index.php/servico-consultoria-suporte-tecnico-compliance-ti-nao-presencial.html

———-

  • Framework de processos e controles para o Compliance de TI.

Convidamos a conhecer  nosso Framework de Processos e Controles para o Compliance de TI aos Padrões e Recomendações para o Compliance SOX, ISO-27.001/2, ISO-20.000:1/2, COBIT, ITIL V3, PMI.

Nele, você poderá ver alguns exemplos de como é possível descrever processos complexos com a adoção de 4 camadas sucessivas de detalhamento, sendo o nível # 1 a visão mais alta e o nível # 4 o nível mais detalhado do processo (Drill-Down de detalhamento de processos em camadas).

Ou ainda, Leia mais sobre este mesmo assunto, em nossos POSTs.

Framework Compliance Norma ISO-27002

———-

·       Mais Artigos desta Série:

1 Parte – Introdução, Conceitos e Modelos

COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO – Parte 1 – Introdução, Conceitos e Modelos.

  • Veja Conteúdo em :

2 Parte  – Instruções Passo-a-Passo para Desenhar um Fluxo.

No próximo Artigo (Parte 2), trataremos as técnicas a serem utilizadas durante as Entrevistas para levantamento de informações dos processos a serem desenhados e alguns exemplos de como devemos organizar e preparar o conteúdo das informações obtidas no levantado para facilitar a confecção do respectivo fluxograma. Próximo Artigo : COMO DESENHAR FLUXOGRAMAS DE PROCESSOS DE NEGÓCIO – Parte 2 – Levantamento, Analise e Desenho do Processo de Negócio.

  • Veja Conteúdo em :

3 Parte  – Levantamento, Analise de Capacidade e Carga de Processos (Saiba como Calcular Esforço, Tempo e Custos)

  • Veja Conteúdo em:

———–

·       Outros Artigos Relacionados com este Assunto:

  • Como Formatar, Organizar, Estruturar documentação de Processos (Politicas, Normas e Procedimentos).

Em artigo anterior, descrevemos como formatar, organizar e estruturar a documentação de processos, contendo ainda o modelo de template destinado a descrição passo-a-passo dos processos disponível para download, vamos utilizar este modelo no próximo artigo para descrever um processo e em seguida utilizar o mesmo para desenhar o respectivo fluxograma:

https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

———

Apresentação AGHATHA Framework – Norma ISO-27001:2/2005.


———

·       Declarações de Direitos de Copyright

·        Declaração e Preservação de Direitos Autorais e de Propriedade:

 Todas as demais marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

Licença Creative Commons
This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

  •  COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
  • Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (Website: http://www.aghatha.com/index.htm  /  WebStore: Http://www.aghatha.com ), sendo todos os direitos  autorais preservados, incluindo a sua utilização e exploração comercial.
  • COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
  • ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
  • ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
  • PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
  • PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

– Fim Declarações de Direitos de Copyright —

— Fim Artigo

· Compartilhe este Artigo:

Read Full Post »

COMO REDUZIR CUSTOS EM TI ATRAVÉS DA APLICAÇÃO RACIONAL DOS OBJETIVOS ESTABELECIDOS PELA GOVERNANÇA TI – Parte 1

Como reduzir custos em TI através da aplicação racional dos objetivos estabelecidos pela Governança TI – Parte 1

Muitas vezes nos deparamos com a dificuldade dos Gestores de TI em identificar vantagens econômicas na adoção de boas práticas e padrões da TI tais como, (ISO/IEC-27.002, ISO/IEC-20.000, ITIL V3, COBIT, COSO, ISO/IEC-12.207 e tantas outras. Em razão disto, daremos inicio a uma série de artigos abordando cada padrão individualmente e lhes enumerando algumas sugestões e alertas nesse sentido.

O conteúdo abordado neste artigo não é e nem pode ser considerado como algo definitivo, uma vez que existem disciplinas especificas e destinadas à completa gestão do planejamento e controle orçamentário em geral.

Nosso objetivo e identificar algumas diretrizes e práticas contidas no COBIT que podem promover ou gerar alguma economia de receitas ou em alguns casos até mesmo promover a geração de resultados econômicos como consequência da sua adoção no conjunto de boas práticas em TI. Neste artigo trataremos situações contidas e referenciadas no primeiro Objetivo previsto no COBIT, denominado PO – Planejamento e Organização.

1 – Matriz de Custos em Tecnologia da Informação.

Primeiramente é necessário tratar alguns conceitos gerais que nos serão bastante úteis no entendimento dos custos e benefícios que por ventura possam vir a ser explorados pelo Gestor de TI.

Devido a grande quantidade de variáveis contidas no universo da TI, vamos evoluir nossas abordagens através da regra (80/20), estabelecida pelo economista Italiano Vilfredo Pareto, onde: “80% dos problemas estão concentrados em 20% das possíveis causas”, com o objetivo de focar as analises e sugestões naquilo que realmente possa ser relevante.

1.1 – Grupos de Despesas

Por “convenção”, de uma maneira geral, vamos classificar os custos envolvidos de acordo com os seguintes grupos principais de possíveis despesas em TI.

  •  Aquisição de Infraestrutura,
  • Aquisição de Sistemas / Aplicações,
  • Aquisição de Mão de Obra (Pessoas),
  • Aquisição de Serviços,

Utilizaremos estes grupos na medida em evoluirmos a avaliação das práticas e recomendações e indicando algumas sugestões de reduzir estes custos através da aplicação das práticas envolvidas em cada análise:

É importante lembrar que algumas despesas, economias ou resultados a serem obtidos podem ocorrer uma única vez ou ainda, podem ocorrer de forma recorrente (Por evento, Mensal, Semestral, Anual):

Ex:

  •  Ao ser adquirido um novo Servidor ou um novo Software, além dos valores relacionados à sua aquisição e instalação/implementação, passaremos a ter outros custos recorrentes relacionados à sua manutenção, upgrade de sistemas operacionais, energia elétrica, suporte da equipe ao equipamento, etc..  (= TCO – Custo de Propriedade).
  • Ao ser eliminado um Sistema / Aplicativo: Há redução dos custos recorrentes de Manutenção, renovações de licenças de uso, alocação de serviços de suporte, custos de desenvolvimento que não serão mais necessárias realizar.

1.2 – Fatores Geradores de Despesas em TI  – “Gatilhos”.

Há ainda grupos de necessidades a que poderíamos classificar como “Gatilhos”, pois atuam como fontes de demandas ou de necessidades, que nos levam a realizar novos investimentos em TI.

Para exemplificar, vamos listar alguns “gatilhos”: Atender novas necessidades do Negócio, mitigar Riscos, Upgrades,  Nível de serviço, Disponibilidade, Performance, Capacidade, Segurança, Requisitos legais entre outros desafios a que os gestores de TI estão sujeitos a tratar no seu dia a dia.

 

 2 –   COBIT – PO Planejamento e Organização

Este objetivo é muito importante, pois as ações de planejamento e organização direcionam as ações conduzidas nos objetivos dos capítulos AI – Aquisição e Implantação e DS – Entrega dos Serviços.

2.1 – Alinhando TI ao Negócio:

Adotar critérios de alinhamento ao negócio pode auxiliar a reduzir custos em TI e em alguns casos até promover a geração de receitas  ao negócio:

  •  Direcionar ações e investimentos que “agregam valor” ao negócio.

TI proporciona “valor agregado” ao negócio quando lhe oferece diferenciais competitivos através da aplicação da Tecnologia, ou seja: Fazer mais em menos tempo, mais com menos esforço, mais com menos custo, mais nível de serviço ao produto do negócio, mais funcionalidade ao produto do negócio, e tantos outras.

Embora seja razoavelmente fácil entender estes valores, não é uma tarefa muito simples colocá-las em prática, pelo menos inicialmente, em identificar situações que promovam dois, três ou até mais “valores agregados” de forma simultânea, mas lhes garanto que esta dificuldade diminui com exercício de planejamento e execução de projetos e quando se adota o nesta atividade, o  critério citado acima como sendo uma regra geral.

Ex:

Já vivenciamos situação onde um Gestor de TI de uma determinada empresa, iniciava o ano com uma bolsa de valores a serem investidos, apuradas com base neste critério e um plano de ação previamente acordado com os gestores das áreas de negócio identificando as iniciativas e prioridades de execução. Este valor era então destinado às equipes destacadas para a execução de cada iniciativa.

Cada iniciativa deveria promover como resultado econômico do projeto um determinado índice de retorno (Payback) a ser calculado com base no valor investido. Ao final do  projeto o retorno efetivo para o negócio era apurado e o capital investido era retido (Devolvido ao Negócio), e somente as sobras (Eficiência econômica do Projeto), retornavam para o montante destinado a prover os investimentos dos demais projetos daquela mesma  equipe.

Depois de alguns anos, o CIO passou a iniciar o ano com apenas 3/5 do montante necessário para promover todas as iniciativas em TI, e resultado obtido pelos próprios projetos deveriam gerar o montante necessário para a execução dos restantes 2/5.

Assim sendo, nesta empresa não havia nenhuma iniciativa que de fato não agregava valor efetivo ao negócio e as equipes aprenderam com o passar dos anos a propor iniciativas que efetivamente proporcionassem retornos e consequentemente valor ao negócio,  e que ainda, pudessem prover sobras suficientes para realização de outros projetos.

Um fato interessante sobre este caso é que mesmo em tempos de crises,  esta empresa não reduzia os valores destinados aos investimentos em TI, e o orçamento de TI era sempre o primeiro a ser aprovado pela empresa, e por motivos óbvios.

Este é o poder de uma Diretriz aplicada e orientada a trazer vantagens e competitividade ao negócio, pois se reduziam tempos, custos, esforços, agilizavam-se entradas e saídas de materiais, reduzia-se o tempo de produção, eliminavam-se tarefas desnecessárias e assim por diante.

Traçar diretrizes que tragam resultados é uma ação de inteligência e surte os efeitos desejados hoje e no decorrer do tempo, sobretudo pela liderança do Gestor em relação motivação de suas equipes em mantê-la ativa e gerando os resultados desejados durante muitos anos.

Alertas:

  •  Nos casos onde não há a adoção de critérios técnicos  para a proposição de soluções e projetos em TI, é possível que algumas iniciativas venham a  apresentar resultados não concretos para a organização e ainda fortalecer a imagem de que a  TI seja apenas uma fonte de custos para o negócio.
  • Mesmo que o alinhamento das demandas seja totalmente orientado a oferecer valor agregado ao negócio, se estes resultados não forem mensurados e previstos “antes” e confirmados “depois” da conclusão dos projetos, poderá surgir duas situações possíveis:  Ou a iniciativa não cumpriu o que se propunha a realizar e nunca saberemos os reais motivos, Ou a iniciativa foi concluída com pleno êxito, e nunca saberemos se ele o resultado foi em razão da competência da equipe ou simplesmente uma (“Obra do acaso”). Ou seja, qualquer iniciativa que se proponha a gerar valor ao negócio, deve prever o “quanto” e o “como” o negócio será beneficiado. Somente assim, os resultados obtidos poderão ser validados e poderemos evoluir nos critérios de avaliação de novas iniciativas.

2.2 – Arquitetura da Informação.

Embora o COBIT trate fortemente este assunto mais orientado a Arquitetura da Informação, Conteúdo dados, Desenho modelo dados, Dicionário de Dados, iremos abordar aqui a “Arquitetura” de forma mais ampla, pois a arquitetura da informação requer outras camadas, para lhe prover suporte e/ou sustentação e que também necessitam possuir algum modelo ou padrão de arquitetura relacionado. Como a nossa ênfase aqui é analisar as possibilidades de redução de custos, seguiremos nesta linha, pois ela irá nos proporcionar mais opções a explorar.

Estes modelos de Arquitetura se fazem necessários para manter e suportar a Arquitetura da Informação e que também devem ser alinhados a atender aos objetivos e necessidades do negócio, tais como: Arquitetura de Comunicação de Dados, Servidores, Estações Trabalho, Sistemas Operacionais, Serviços (e-mail, Active directory, VMs, Sistemas e Aplicações de suporte ao negócio, e etc.

Se entendermos que todos estes modelos, sejam camadas sucessivas e posicionadas acima ou abaixo da camada das  informações com o objetivo de juntas proporcionarem suporte e sustentação aos dados, podemos dar inicio a nossa analise de custos.

Adotando um  modelo de arquitetura que represente um ambiente de TI,  que possa interagir de forma integrada e convergente entre si e  que facilite ainda  as integrações técnicas entre as camadas e equipes envolvidas, é certo que custos destinados a upgrades, suporte, integrações, pessoal, serviços de manutenção e outros serão mantidos sob controle a médio e longo prazo. Isto somente será possível se os modelos definidos, uma vez adotados, sejam de fato considerados como um  “padrão a ser seguido ou perseguido por todos” ,  no momento de propor / avaliarem as possíveis alternativas de soluções para o atendimento das demandas da TI.

Vejamos um exemplo de uma diretriz que possibilite este tipo de economia ou redução dos custos:

  •  As Soluções propostas para a TI devem estar alinhadas aos padrões e modelos de arquitetura vigentes.

Por mais singelo que isto possa parecer, esta diretriz certamente proporciona redução de custos e ainda auxilia a prevenir muita dor de cabeça aos gestores de TI ao longo do tempo, vejamos como:

Caso não exista um padrão técnico que sirva de filtro as proposições de solução as  demandas de TI, é mais provável que as soluções atendam ao proposito único das necessidades que as deram origem, e este aparente grau de liberdade passará a promover lenta e progressivamente o que denominamos “O efeito da Torre de Babel” em TI, ou seja, teremos em um futuro muito próximo uma variabilidade tal de soluções e variantes de arquiteturas,  que se fará  necessário para mantê-las a contratação de uma infinidade de novos cargos e/ou funções adicionais em TI  (Um DBA para cada banco de dados a ser suportado: Oracle, SQL Server, MySQL, …), Um especialista de Suporte aos Sistemas Operacionais (Windows, Linux), Equipes de Manutenção para cada plataforma a ser mantida e integrada (Abap, .Asp. .Net, Java, …) e ainda em função das demandas e integrações do negócio, e muito possível uma vez ou outra promover  interfaces entre as soluções através de investimentos com aquisição de bens e/ou serviços.

Normalmente quando nos damos conta deste “efeito”, pode ser tarde demais para promover algum tipo de convergência ou padronização das arquiteturas existentes por ser tecnicamente inviável ou custar muito caro.

É possível que este seja o motivo mais comum para os seguintes efeitos:

  •  Estruturas de TI com elevado “head-count”  de pessoas e cargos,
  • Nível de granularidade / especialidades técnicas muito distribuídas,
  • Interferência atuação desintegradas entre as equipes de TI,
  • Surgimento de Ilhas Tecnológicas,
  • Aumento do tempo e esforço requerido para definição e aplicação de soluções aos problemas/ atendimento de demandas,
  • Indisponibilidade de recursos técnicos especializados e em numero suficiente para atender a todas as tecnologias e plataformas existentes (elevado valor com terceirizações e serviços complementares).
  • Elevação de custos e complexidade em atendimento mesmo para demandas simples ou não muito complexas.

Todos estes efeitos a que as equipes de TI estão expostas e consequentemente os custos necessários para a sua manutenção  são invariavelmente consequências impostas pelas limitações técnicas de integração entre as plataformas e tecnologias a que estas mesmas equipes devem oferecer suporte.

Alertas:

  •  Como a tecnologia é bastante dinâmica, não podemos levar este critério ao “pé da letra”, pois estaríamos bloqueando a entrada de novas tecnologias e/ou  inovações que poderiam ser utilizadas a favor do negócio. Devido a esta hipótese, quando uma iniciativa propõe algo que não esteja alinhado aos padrões vigentes, antes de lhe bloquear o prosseguimento, há de se ponderar se a “novidade” irá ou não agregar valor ao negócio (hoje, amanha ou por um bom tempo até que algo melhor lhe venha a substituir).  Se depois de ponderada, a resposta for positiva, pode-se agregar mais um padrão ao modelo de arquitetura ou ainda dar inicio a migração de um padrão existente para um novo padrão mais eficiente ou que promova maiores resultados para o  negócio. É assim que os modelos de arquitetura evoluem no tempo e proporcionam valor ao negócio. (Em função disto, devem ser controladas as diferenças entre uma versão e a outra dos padrões de arquitetura, e ainda, mantidos os registros históricos das avaliações e justificativas utilizadas na época em que mudanças foram adotadas).
  • Não devemos esquecer que uma vez modificado as bases da arquitetura vigente, se ganha com isto uma nova missão: “migrar o legado existente para o novo padrão proposto” (Alterar padrões de Arquitetura é um forte “gatilho” para geração de despesas em TI, e não migrar acarreta o fortalecimento do efeito “torre de babel”), portanto, este assunto deve ser tratado com muita cautela.
  • Não se deixe levar por modismos ou termos de ocasião,  ou isto custa caro hoje ou pode custar  muito mais caro amanhã, diante disto considere os custos e esforços de migração do legado quando houver necessidade de mudanças em plataformas de tecnologia, ou prepare-se para justificar o aumento do “head-count” de TI e revisar os valores previstos para investimentos em treinamentos, certificações, processos e controles adicionais e tudo mais que poderá advir,  e que certamente se farão necessários.

 2.3 – Processos, Organização e Relacionamentos de TI.

Neste item o COBIT nos propõe, talvez o seu objetivo mais importante, pois nenhuma outra recomendação ou objetivo será de pleno factível se não houver processos formais que promovam a sua organização, execução, controle e monitoramento dos resultados obtidos.

Os processos formais tem esta função e de fato transformam as iniciativas em ações recorrentes no dia a dia das organizações.  Veja um outro artigo nosso, indicando instruções para formatar e organizar processos para implementar boas práticas em TI , incluindo um modelo de template para ser utilizado como plataforma de organização dos processos em TI:  https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/ )

Um processo necessita atender a alguns requisitos para ser efetivo de fato, são eles:

As atividades de TI devem ser suportadas através de processos formais que determinem claramente:

    • O que deve ser feito,
    • Porque deve ser feito,
    • Quem deve fazer,
    • Como deve ser documentado,
    • Como será monitorado ou mensurado,
    • Quais são os critérios de qualidade serão aplicados para a sua avaliação e promoção de melhorias.
    • Alguns motivadores para justificar a formalização e padronização através de processos:
      • Principio da geração de conduta, onde a regra escrita promove uma conduta ou resultado desejado a um determinado público,
      • Principio de Melhoria continua dos processos, através da repetitividade de execução e avaliação contínua dos resultados e identificação de melhorias,
      • Principio da previsibilidade das ações e dos resultados esperados,
      • Principio da materialização dos fatos, através de registros e evidencias produzida pelas ações realizadas.

Qualquer iniciativa em algum momento irá requerer a necessidade de execução repetitiva de alguma ação ou atividade com objetivo de produzir um determinado resultado: executar um conjunto de atividades, promover um controle, produzir uma evidência ou ainda, comunicar um fato ocorrido a uma determinada pessoa ou grupo de pessoas.

Realizar isto, sem que haja um guia formal indicando o que deve ser feito,  quem são os responsáveis, quando e como deverão ser executados,  para uma ou duas atividades, se combinarmos bem o que deve ser feito com os atores envolvidos,  até poderá se tornar possível, mas quando se tem necessidade de adotar um conjunto de práticas e com a necessidade de execução de 20 ou 30 processos, cada um contendo diversas atividades e atores distintos,  isto se torna  impraticável, correto?.

Para facilitar o entendimento: Os processos têm como componentes fundamentais: entradas, processamentos e saídas e, se alinharmos estes componentes de acordo com a lógica de construção de algum resultado esperado ou desejado, verá que isto possibilita ao gestor atingir efetivamente quaisquer resultados que seja por ele  proposto.

Quanto mais integrada e eficiente for uma equipe através dos processos, maiores serão as chances e possibilidades de reduzir e/ou economizar recursos, pois as equipes poderão ser dimensionadas sem que haja sobrecarga ou sobreposição de atividades, eliminar retrabalhos e conflitos desnecessários, reduzir a incidência de erros operacionais, eliminar a omissão de práticas requeridas pelo negócio ou pela legislação, e assim por diante.

Melhorias operacionais com base nas analises de processos existentes, proporcionam o dimensionamento dos custos envolvidos,  simplesmente comparando quanto custava um processo antes da aplicação da uma melhoria e qual será o valor  após a aplicação da mesma. Multiplicando o valor da diferença apurada pela quantidade de eventos executados em um mês,  e o produto deste cálculo,  multiplicado pelos 12 meses do ano, passamos a perceber quanto uma melhoria em algum processo pode impactar economicamente no orçamento da TI;

O tempo de implantação ou de adoção de melhores práticas pode ser reduzido em muitos meses de trabalho, quando se opta pela utilização de frameworks ou pacotes contendo modelos de processos já testados e validados.

É mais fácil, econômico e muito mais eficiente adaptar e integrar modelos existentes do que “costurar processos sob medida a partir do zero”, simplesmente com base na percepção de que empresa onde atuamos “é diferente” das demais.

Alertas:

  •  Nossa experiência nos diz que o índice de variação entre os processos de uma empresa e outra, somente em casos absolutamente raros ultrapassa a 30% (seja qual for o segmento, tamanho ou complexidade), no entanto,  a diferença de valores a serem dispendidos comparando uma situação com a outra, poderá variar entre 10 a 20 vezes mais e levar 10 vezes mais tempo e esforço, ficando ainda gap´s de integração por serem otimizados ou implementados posteriormente.
  • Nos casos onde as Organizações optam por “costurar” seus processos internamente. Nestes casos, há de ser verificado se os processos resultantes atendem de fato aos requisitos e objetivos propostos pelo padrão ou prática que se deseja adotar. É comum observar adaptações  “míopes”, onde o padrão é  “atendido” e mesmo com a evidência do  “processo formal”, depois de uma análise mais apurada,  de todos os detalhes existentes em comparação com a melhor prática, verificamos que a “idéia” não foi completamente atendida, ou está sendo “praticada”  na forma “híbrida” ou “não recomendada”, ou seja, a melhor prática define o que deve ser feito, adotá-la parcialmente com a retirada de itens importantes e incluindo itens das práticas atuais não proporciona “em tese” o completo status de Compliance a uma prática/recomendação.
    • Ex1: (Já observamos diversas vezes a ocorrência deste exemplo em empresas de todos os tamanhos e complexidades) –  “PMO”- (Escritórios de Projetos), onde o colaborador responsável apenas tinha a função de recolher e consolidar as informações dos projetos existentes e os apresentava regularmente a um comitê de representantes de Organização. Com base nestas atividades os projetos eram “declarados sob controle”,  quando na verdade, as práticas e atribuições recomendadas para um Escritório de projetos promover o controle dos projetos deveria incluir Atividades de Fomento as práticas de Gerenciamento de Projetos, o que poderíamos listar aqui a algumas atividades compreendidas nesta função: Definir padrões, métodos e controles de gerenciamento de projetos, promover a integração das equipes envolvidas, Formar e treinar continuamente pessoas em técnicas de GP e nos padrões internos definidos pelo PMO, cogerir projetos, apoiar os GP na identificação e superação de dificuldades apresentadas pelos projetos (Mentoring/Coaching) em questões de planejamento, execução e controle, apoiar tecnicamente as ações corretivas  e o uso de ferramentas de apoio, e construir na forma mais efetiva possível os resultados a serem obtidos pelos projetos, e ao final de cada período apresentá-los aos gestores da organização em companhia dos GP envolvidos, reportando os acertos,  erros cometidos e das ações corretivas que já estariam sendo aplicadas para corrigir  ou melhorar os resultados a serem obtidos no próximo período/avaliação.
    • Ex2: (Já presenciamos casos onde outra empresa, onde o PMO executava todas estas atividades e realizava a cogerência e apoio ao grupo de GP existentes, e ainda apresentando excelentes resultados, mesmo realizado tudo isto em ainda co-gerenciando mais de 30 projetos em TI sendo executados simultaneamente. Tudo isto possível apenas pelo uso de uma metodologia que promovia a integração dos projetos ao negócio e aos demais processos de TI).
  • Devemos lembrar que os processos de TI devem promover as integrações, distribuir as responsabilidades e distribuir as cargas de trabalho observando os demais processos existentes. Caso o processo não atenda a estes requisitos, poderá promover a existência de “falsos gargalos”, onde uma série de atividades é interrompida, pela falta de comunicação de um grupo ao outro, que a etapa foi concluída, promovendo atrasos e perda de tempo na execução de uma ação. Em primeira análise a segunda equipe foi ineficiente, pois causou o atraso, mas na realidade há uma falha de integração entre os dois processos.
  • Caso você vivencie este tipo de situação, antes de tomar qualquer iniciativa, observe se os processos envolvidos são de fato integrados e se as entradas requeridas em processo são claramente identificadas nas saídas dos processos que lhes são fornecedores, se as responsabilidades estão claras, e etc… Ao traduzirmos esta ineficiência em custos ou prejuízos causados desnecessariamente ao negócio, é bem possível que você tenha uma surpresa.

Uma situação mais grave ainda é quando não há processo algum, onde todos estes problemas deixam de ser exceções e passam a ser regras, onde é comum escutarmos frases do tipo “eu fiz a minha parte…” e não há nenhuma evidencia ou registro daquilo que todos reportam terem realizado. É bem possível que à origem real da frase “administração do caos” tenha surgido a partir deste tipo de situação.

2.4 – Avaliar e Gerenciar Riscos

Gerenciar riscos é uma atividade que requer o uso de uma boa carga de bom senso. Não é raro observarmos situações onde se realizam investimentos visando mitigar um risco com montante igual ou até mesmo maior que o próprio dano econômico causado na hipótese da sua ocorrência.

A situação mais comum na tomada de decisão para mitigação de um risco é avaliar apenas o custo da ação direta ou principal destinada a mitigar um risco, comparado ao valor do possível dano causado  sem levar em consideração os custos secundários “gatilhos” que são disparados em consequência das ações adotadas.

Como estes custos normalmente não são observados ou considerados parcialmente, infelizmente não é raro observar casos onde figurativamente falando “Paga-se mais pelo seguro do automóvel do que o seu valor de venda no mercado” porque faltaram ser computados no custo de mitigação um ou mais efeitos secundários na tomada de decisão para a mitigação dos riscos.

Um critério a ser adotado é a determinação do nível de risco que a companhia estaria disposta aceitar  e traduzir este nível de apetite ao risco a um valor ou percentual em relação a algum índice do negócio (Ex: tratar Riscos individuais cujo impacto seja maior que X%  do valor do patrimônio e o impacto aceitável dos riscos restantes e tratados, somados juntos, não podem ultrapassar a X% do Valor do patrimônio). A partir daí calcular os valores dos impactos de todas as situações de risco identificadas e avaliar se o mesmo está acima ou abaixo desta linha de base.

Esta prática, além de liberar a equipe para focar na mitigação dos riscos que realmente possam provocar danos graves ao negócio, reduz significativamente o montante de recursos a serem investidos na mitigação de riscos menores ou que causam baixo impacto no negócio, o que de fato teria algum sentido mitigar, se houvesse alguma possibilidade de que todos os riscos não mitigados pudessem vir a ocorrer simultaneamente, o que matematicamente poderíamos classificar como uma situação “possivelmente improvável” e mesmo que isto viesse a ocorrer estaria dentro do limite estabelecido de aceite dos riscos.

Uma situação que nos deparamos muito são os riscos que promovem algum tipo de dano a “imagem”, “marca”, “confiança”, ou qualquer outro tipo de variável que “teoricamente” seria intangível ou “difícil de estimar”. Infelizmente a matemática não nos oferece esta opção (Imagine o valor do Seguro do Museu do Louvre), e se “algo” não puder ser traduzido em números, este “algo” ou não existe ou não possui valor algum (é Zero), e, portanto o impacto causado por um risco, mesmo que o valor seja em tese “Intangível” ele deverá necessariamente ser “tangibilizado ou dimensionado” através da apuração de um valor, mesmo que este valor não seja exato, deverá ser calculado ou estimado de alguma forma.

Uma vez “definido” o valor do Impacto do risco, a analise de risco poderá seguir o seu caminho natural ate a mitigação do risco.

Continuaremos os demais objetivos através de um próximo artigo – Aqui tratamos itens relacionados ao PO – Planejamento e Organização do COBIT, agradecemos a sua visita e a leitura deste artigo.

—- Fim Conteúdo Artigo —-

———

Este artigo está disponível para download no formato de Documento (PDF) no seguinte endereço:  Http://www.aghatha.com   opção free whitepapers.

———

Outros Artigos Relacionados com este Assunto:

  • Como Formatar, Organizar, Estruturar documentação de Processos (Politicas, Normas e Procedimentos)

Em artigo anterior, descrevemos como formatar, organizar e estruturar a documentação de processos, contendo ainda o modelo de template destinado a descrição passo-a-passo dos processos disponível para download, vamos utilizar este modelo no próximo artigo para descrever um processo e em seguida utilizar o mesmo para desenhar o respectivo fluxograma:

https://aghatha.wordpress.com/2011/06/18/como_formatar_e_organizar_a_documentacao_de_processos_ti/

—–

  • Agradecimentos e Convites:

    Seu feedback é muito importante para nós,  caso você tenha alguma dúvida ou necessidade de informações adicionais para o seu entendimento ou aplicação, entre em contato conosco através do e-mail abaixo.

    Abraço e Felicidades a Todos,

    Eurico Haan de Oliveira

    http://www.aghatha.com/index.htm

  • consulting@aghatha.com

———

Compartilhe este post:

  • Declarações de Direitos de Copyright

    Declaração e Preservação de Direitos Autorais e de Propriedade:

    Todas as marcas, modelos, desenhos, nomes, incluindo o conteúdo integral deste artigo, são de propriedade de seus respectivos fabricantes, autores ou publicadores.

    O leitor está autorizado a fazer o uso interno e não comercial do conteúdo deste artigo, desde que mantidas as observações de direitos autorais e mantidas as referencias a suas origens e identificação dos respectivos autores e proprietários.

    Direitos de uso comerciais deste artigo são preservados e mantidos em nome exclusivo do autor e o leitor não está autorizado a utiliza-los, de forma integral ou parcial para usos e fins comercias e/ou em atividades que visem à obtenção de lucro ou benefício comercial próprio ou a terceiros.

    Licença Creative Commons This work is licensed under a Creative Commons Atribuição-Uso não-comercial-Vedada a criação de obras derivadas 3.0 Unported License.

    Para a confecção deste artigo foram citadas e/ou utilizados os seguintes nomes, marcas e publicações:

    • COBIT ® 4.1, que é de propriedade exclusiva ISACA – Information Systems Audit and Control Association (www.isaca.org ) e IT Governance Institute™ (www.itgi.org), sendo Todos os direitos autorais reservados.
    • Conteúdo Artigo – é de propriedade exclusiva do Autor e de AGHATHA (Website: http://www.aghatha.com/index.htm / Webstore: Http://www.aghatha.com ), sendo todos os direitos  autorais preservados, incluindo a sua utilização e exploração comercial.
    • COSO®, que é de propriedade exclusiva Committee of Sponsoring Organizations of the Treadway Commission (COSO)™ (www.coso.org/), sendo Todos os direitos autorais reservados.
    • ISO-IEC® Standard – São de propriedade exclusiva do  International Organization for Standardization (ISO®)   e International Electrotechnical Commission (IEC®) (www.iso.org), sendo Todos os direitos autorais reservados.
    • ITIL V-3 ® – IT Infrastructure Library®  (www.itil-officialsite.com) que é de propriedade e proteção exclusiva da Coroa Britanica (www.ogc.gov.uk) – Office of Government Commerce (OGC) – UK, sendo Todos os direitos autorais reservados.
    • PCAOB ® é  propriedade exclusiva do  Public Company Accounting Oversight Board  – (http://pcaobus.org/), sendo Todos os direitos autorais reservados.
    • PMI ®  / PMBOK ®   propriedade exclusiva do Project Management Institute ( www.pmi.org/),  sendo Todos os direitos autorais reservados

–———

Fim Declarações de Direitos de Copyright —

–———

Fim Artigo

Read Full Post »

Older Posts »

%d blogueiros gostam disto: