Upload
trinhkiet
View
215
Download
1
Embed Size (px)
Citation preview
Instituto de Educação Tecnológica
Paolo Bordoni Caldeira
GESTÃO DE RISCO:
Uma pesquisa exploratória em projetos de segurança da informação
com abordagem em PMEs.
Belo Horizonte2013
Paolo Bordoni Caldeira
GESTÃO DE RISCO:
Uma pesquisa exploratória em projetos de segurança da informação
com abordagem em PMEs.
Trabalho de conclusão de especialização apresentado ao
Curso de Projetos do Instituto de Educação Tecnológica,
turma Nº 12 parcial à obtenção do título de especialista em
Gestão de Projetos.
Orientação do Prof. João Carlos
Belo Horizonte
2013
EPÍGRAFE
“Não corrigir nossas faltas é o mesmo que cometer novos
erros.” (Confúcio)
RESUMO
O objetivo central deste trabalho é analisar quais os riscos que projetos de
segurança da informação estariam expostos quando não consideram o ambiente
tecnológico e informacional de pequenas e médias empresas, podendo impactar no
sucesso de projetos relacionados de segurança da informação. Os profissionais da
área de TI e os empresários estariam preparados garantir a segurança da
informação, sua e de seus pares e consequentemente executar ações para garanti-
la, estes foram procurados para que então pudessem dar sua contribuição e
compartilhar suas experiências profissionais. O trabalho que foi desenvolvido não
tem como enfoque principal a parte técnica específicas de segurança, mas sim na
parte gerencial e estratégica com foco em Gestão de Risco, portanto este trabalho é
voltado para estudantes e profissionais que planejam reestruturar a organização de
forma mais segura. As entrevistas, realizadas através de uma pesquisa exploratória,
permitiram responder aos questionamentos e abordar de forma mais abrangente o
tema proposto; com isto os objetivos da investigação científica puderam ser
alcançados graças aos dados coletados com as entrevistados, empresas e
profissionais da área de tecnologia. Foi possível concluir, portanto que tem muito a
se fazer para que empresas de pequeno e médio porte possam chegar a um nível
aceitável de segurança.
Palavras chaves: Gestão de Risco, Segurança da Informação, Vulnerabilidades
Digitais, PMEs.
ABSTRACT
The aim of this work is to analyze what risks to information security projects would be
exposed when they do not consider the technological and informational environment
of small and medium enterprises, which can impact the success of projects related to
information security. The IT professionals and business owners would be prepared to
ensure security of information, and their peers and consequently take actions to
guarantee it, they were so popular that they could make a contribution and share
their professional experiences. The work was developed has as its primary focus the
technical specific security, but at the managerial and strategic focusing on Risk
Management, so this work is aimed at students and professionals who plan to
restructure the organization more secure. The interviews, conducted through an
exploratory allowed to answer questions and address more comprehensively the
proposed theme, with the goals of this research could be achieved thanks to the data
collected from the respondents, companies and professionals in the field of
technology. It can be concluded therefore that has much to do for small and midsize
can reach an acceptable level of safety.
Keywords: Risk Management, Information Security, Vulnerabilities, SMB
.
SUMÁRIO
1 INTRODUÇÃO.....................................................................................................101.1 TEMA E PROBLEMA...............................................................................................10
1.2 OBJETIVOS...........................................................................................................11
1.2.1Geral.................................................................................................................11
1.2.2Específicos......................................................................................................11
1.3 JUSTIFICATIVA.......................................................................................................11
1.4 ESTRUTURA DO TRABALHO...................................................................................12
2 REFERENCIAL TEÓRICO..................................................................................132.1 TEORIA DA COMPLEXIDADE....................................................................................15
2.1.1Cynefin.............................................................................................................16
2.1.2Contexto Simples – Domínio das Melhores Práticas...................................17
2.1.3Contextos Complicados – Domínio dos Especialistas................................17
2.1.4Contexto Complexo – Domínio da Emergência............................................18
2.1.5Contexto Caótico – Resposta Rápida...........................................................18
2.2 ANÁLISE DE IMPACTO NO NEGÓCIO........................................................................18
2.3 IDENTIFICAÇÕES DOS RISCOS.................................................................................19
2.4 ANÁLISE QUALITATIVA...........................................................................................20
2.5 ANÁLISE QUANTITATIVA.........................................................................................21
2.6 PLANEJAMENTO DE RESPOSTA A RISCOS...............................................................24
2.7 MONITORAMENTO E CONTROLE DE RISCOS.............................................................26
3 TABELA DE TEMAS...........................................................................................28
4 GESTÃO DE RISCO EM PROJETOS DE SEGURANÇA DA INFORMAÇÃO...294.1 SISTEMAS DE INFORMAÇÃO...................................................................................29
4.2 SISTEMAS DE INFORMAÇÃO E AS ORGANIZAÇÕES..................................................31
4.3 ATIVO UNIVERSAL – A INFORMAÇÃO.....................................................................33
4.4 SEGURANÇA DA INFORMAÇÃO...............................................................................34
4.5 COMITÊ DE SEGURANÇA........................................................................................35
4.6 AMEAÇAS.............................................................................................................37
4.6.1Engenharia Social...........................................................................................37
4.6.2Malware............................................................................................................38
4.6.3Ataques à Rede...............................................................................................38
4.7 CONTRA MEDIDAS.................................................................................................39
5 PESQUISA...........................................................................................................425.1 CONTEXTO DA PESQUISA......................................................................................42
5.2 APRESENTAÇÃO, DISCUSSÃO E ANÁLISE DE DADOS..............................................42
6 CONSIDERAÇÕES FINAIS.................................................................................49
REFERÊNCIAS.........................................................................................................54
ANEXO 1 – ENGENHARIA SOCIAL........................................................................57
LISTA DE FIGURAS
Figura 1 – Cynefin.....................................................................................................17
LISTA DE TABELAS
Tabela 1 - Matriz de probabilidade e impacto............................................................20
Tabela 2 - Matriz de probabilidade e impacto............................................................20
Tabela 3 - Planejamento de Resposta aos Riscos....................................................24
Tabela 4 - Monitoramento e Controle dos Riscos......................................................27
Tabela 5 – Tabela de Sub Temas.............................................................................28
1 INTRODUÇÃO
1.1 Tema e Problema
Em dias cada vez mais competitivos, obtenção de informações importantes e em
tempo hábil, tornaram fatores cruciais para a sobrevivência das organizações. É
necessário que empresas inseridas neste novo contexto, além de possuírem
sistemas ágeis para obtenção de informação, tenham um ambiente seguro.
De acordo com Laudon (1999) houve três mudanças globais que tornaram o espaço
empresarial altamente competitivo. A primeira foi o surgimento e o fortalecimento da
economia global, onde trouxe as ameaças da globalização e da tecnologia da
informação; a segunda foi a transformação da economia e da sociedade industrial,
onde começou uma revolução da informação e do conhecimento; e a terceira a
transformação das empresas, onde a tecnologia torna as empresas mais
dependentes do conhecimento. Estas transformações são os efeitos da Terceira
Onda, que segundo Polloni (2000), de acordo com Alvin Toffler, se trata da onda dos
sistemas de informação.
Nos últimos anos nunca ouvimos falar tanto sobre segurança da informação e
tivemos notícias sobre exposição de dados sigilosos. Um exemplo que poderíamos
citar seria o site WikiLeaks e os ataques realizados pelo grupo de hackers intitulados
Anonymous contra os serviços online do governo brasileiro e contra as instituições
bancárias brasileiras, mas este trabalho não tem a pretensão de abortar a segurança
destas grandes corporações e sim das empresas pequenas e médias corporações
como escritórios de advocacia, contabilidade e transportadores, fornecedores em
geral que detém de alguma formar informações relevantes de grande corporações
de maior porte.
Logo o problema da pesquisa será responder: As empresas de pequeno e médio
porte estão conscientes do seu papel sobre manutenção segura das informações?
10
Como a falta de consciências destas empresas, quais os riscos que estas podem
trazer aos projetos de segurança da informação, quando seus ambientes não são
levantados corretamente?
1.2 Objetivos
1.2.1 Geral
Este projeto de conclusão de curso terá como objetivo geral realizar dentro da
metodologia de gestão de risco do PMBoK, como o ambiente destas empresas
poderiam impactar os projetos de segurança da informação.
1.2.2 Específicos
Identificar quais empresas tem consciência sobre gestão de risco.
Identificar se através dos questionários para quais ataques as empresas
estão mais suscetíveis.
Identificar quais empresas conseguem quantificar o valor do bem
informacional.
Identificar quais empresas apresentam evolução e melhoria contínua na área
de segurança.
Identificar quantas empresas estão preparadas e lidas com incidentes de
segurança.
1.3 Justificativa
O tema sobre segurança da informação vem sendo discutido nas organizações,
principalmente colocando a responsabilidade do papel da gestão de segurança sob
o setor de tecnologia, mas é importante lembrarmos que tecnologia e seu setor é
somente um pilar da gestão de segurança, segundo Edson Fontes (2008), os
11
processos de segurança devem envolver toda a empresa, pois independentemente
do setor, um dos fatores mais críticos é justamente a conscientização e a educação
das pessoas.
Por se tratar de um processo complexo e que esbarra em características culturais
das organizações, muitos empresários preferem delegar esta responsabilidade a
área de TI, talvez pelo fato que culturalmente os profissionais desta área já tenham
desenvolvido a consciência da importância sobre segurança, analisando como ponto
de partida é uma estratégia, mas este processo tem de que evoluir para além disto a
começar pela conscientização de pessoas com poder de gerência e diretoria.
Não é uma tarefa fácil conscientizar o funcionário não pode deixar o relatório sigiloso
em cima da mesa, mesmo que ele que ele não compartilhe sua senha como outros
usuários para acessarem a este relatório, assim sem a aprovação ou apoio das
pessoas de gerências não tem como cobrar a eficiência do processo de segurança.
E se as empresas não tem a real consciência para os dados internos, protegendo
sua própria informação, qual seria o real nível de segurança das informações de
clientes dentro destas organizações?
1.4 Estrutura do Trabalho
Nos tópicos seguintes seguem o referencial teórico, o processo metodológico, a
pesquisa organizacional e a conclusão do projeto; sendo o referencial teórico toda a
teoria envolvida para dar base ao projeto e sustentabilidade à conclusão; o processo
metodológico demonstra a técnica utilizada para o levantamento dos dados; a
pesquisa organizacional descreve o perfil da amostra que será feito o levantamento
dos dados e por último a conclusão que demonstrou o resultado alcançado pela
pesquisa sendo esta uma imagem da pesquisa organizacional.
12
2 REFERENCIAL TEÓRICO
Segundo o PMBoK (2008), risco é um evento ou condição incerta que, se ocorrer,
tem um efeito em pelos menos um objetivo do projeto. Base neste conceito,
podemos estendê-lo para efeito de toda organização.
Já a metodologia de gerenciamento de projetos PRINCE2® (2009), conceitua que
risco é a percepção da probabilidade de uma ameaça ou oportunidade.
O risco da organização e de projetos de segurança está relacionado sempre ao
futuro e elementos que este está exposto que podem trazer algum impacto ou
prejuízo. O objeto do processo de gerenciamento de risco é relacionar, identificar e
preparar tanto a organização quanto a um projeto a responder quando um fator de
risco se torna real.
Ao analisar os risco é importante ter em mente que os fatores podem ser tanto
positivos quanto negativos, é verdades que os fatores de risco são em sua maioria
negativos, entretanto existem risco positivos e devem ser relacionados, identificados
e ter plano de ações preparados.
O gerenciamento de Risco como uma das áreas de conhecimento do PMBoK (2008)
sua análise impacta diretamente:
Estrutura Analítica do Projeto (EAP).
Cronograma e sua linha base.
Custo e sua linha base.
Plano de Base.
Plano de Aquisições.
Plano de Recursos Humanos
Do mesmo modo que a análise de risco impacta na maioria das áreas de
conhecimento de um projeto ela também impacta em toda a organização,
13
principalmente quando o tema é gerenciamento de projetos em segurança da
informação.
Magalhães (2008) divide o Gerenciamento de Risco em cinco atividades, sendo:
Identificação: atividade que identificar os riscos que colocam o negócio em
risco.
Priorização: prioriza quais os riscos que serão trabalhados.
Plano de ação: atividade que define o plano de ação para mitigar os riscos.
Divulgação ou Atualização: geração de documentos de controle.
Monitoramento: Verificar se o risco está controlado.
Segundo o PRINCE2® (2009), para que esse Gerenciamento de Riscos seja
eficaz, pode ser dividido em somente três fases, onde precisam ser:
Identificados: levantar os riscos que comprometem o alcance dos objetivos
do projeto e registrá-lo para que esse risco seja de conhecimento de todos os
integrantes do projeto.
Avaliados: Classificar os riscos em probabilidade de ocorrência e impacto no
projeto.
Controlados: Identificar as respostas devidas aos riscos, identificar a quem
este risco está associado e executar, monitorar e controlar as respostas aos
riscos.
Segundo Dulaney (2011), avaliação de risco ou análise de risco é cálculo do
peso de uma potencial ameaça com base em sua probabilidade de ocorrer. O
autor considera os seguintes analises para a avaliação do risco:
Risco que a organização está exposta: esta análise baseia-se em
desenvolver e criar cenários hipotéticos que podem ser vistos como risco para
a organização.
Risco que precisam ser mapeados: este é o mapeamento de risco que
foram classificados como reais.
14
Coordenação do risco de acordo com a BIA (Business Impact Analysis): a BIA permite que a organização relacione, através de decisões inteligentes,
as repostas para os riscos analisados.
O PMBoK (2008) relaciona os seguintes processos quanto ao gerenciamento de
risco:
Planejar o gerenciamento de risco: define como será conduzido o
gerenciamento de risco no projeto.
Identificar o risco: define quais os riscos podem afetar os projeto e
documentá-los.
Realizar a análise quantitativa dos riscos: prioriza o risco conforme análise
probabilística e impacto.
Realizar a análise quantitativa: analisar o risco de forma numérica.
Planejar as respostas aos riscos: é a elaboração de um plano de ação aos
riscos.
Monitorar e controlar os riscos: é o processo de implementação das
respostas e verificação dos resultados, monitorando os riscos residuais.
Diógenes (2011) define como risco residual como o valor não coberto pela ação de
resposta ao risco, como por exemplo, a elaboração de uma seguro de R$
500.000,00 para um bem R$ 800.000,00, sendo o risco residual de R$ 300.000,00.
2.1 Teoria da complexidade
A complexidade é mais uma forma de pensar sobre o mundo do que um modelo matemático. Há um século, Frederick Wislow Taylor, o pai da ciência magnética, revolucionou a liderança. Hoje, com os avanços na ciência da complexidade, combinada com o conhecimento da ciência cognitiva, estão transformando o cenário novamente. A ciência da Complexidade está pronta para ajudar os líderes atuais e futuros no que diz respeito a tecnologias avançadas, globalização, mercados, diferenças culturais, entre outros. (SNOWDEN, 2007, p. 3).
Segundo o artigo de Snowden (2007) um sistema complexo possui as seguintes
características:
15
Envolve um grande número de elementos interagindo entre si.
As interações são não lineares e pequenas mudanças podem produzir
grandes consequências.
O sistema é dinâmico, o todo é maior que a soma das partes e soluções não
podem ser impostas, pelo contrário elas surgem das circunstâncias. Isto é
frequentemente referenciado como emergência.
O sistema tem uma história, e o passado é integrado com o presente, os
elementos evoluem na relação com outros elementos e com o ambiente e
esta evolução é irreversível.
Embora um sistema complexo possa parecer ordenado e previsível, não é
possível prever as ações porque as condições externas e sistemas estão em
constante mudança.
Ao contrário dos sistemas ordenados (onde o sistema restringe os agentes) e
os sistemas caóticos (onde não há restrição), no sistema complexo os
agentes quantos o sistema restringe uns aos outros, isto significa que não há
como prever ou predizer o que acontecerá.
2.1.1 Cynefin
Ao longo de 10 anos de estudos o governo americano com o auxilio de empresas
privadas desenvolveram o modelo Cynefim, que permitem executivos a ver novos
pontos de vista, assimilar conceitos complexos e identificar reais problemas e
oportunidades.
O modelo Cynefin define graus de complexidade que são divididos inicialmente em
quatro categorias, sendo que quinta, desordem, é o conjunto das outras quatro.
16
Figura 1 – Cynefin Fonte: Snowden (2007)
2.1.2 Contexto Simples – Domínio das Melhores Práticas
Este contexto é caracterizado por estabilidade e clareza da relação causa e efeito.
Muitas vezes, a resposta certa é evidente e incontestável. Contextos simples,
devidamente avaliados, requerem gestão e monitorização simples, neste contexto os
líderes categorizam e agem, todos os agentes envolvidos no processo conseguem,
no contexto simples, identificar o problema e resolvê-lo.
2.1.3 Contextos Complicados – Domínio dos Especialistas
Contextos complicados, ao contrário dos simples, podem conter múltiplas respostas
certas, e embora haja uma clara relação entre causa e efeito, nem todos podem vê-
lo. Enquanto líderes em um contexto simples devem sentir, categorizar, e responder
a uma situação, aqueles em complicado contexto deve sentir, analisar e responder.
17
Neste tipo de contexto são os especialistas que tendem a sugerir soluções para os
problemas e não os líderes, o perigo disto é que geralmente os especialistas não
aceitam opinião de outros que não são e com isto ideias se perdem. Outra barreira
que pode ocorrer neste tipo de contexto é “paralisia de análise” quando um grupo de
especialistas atinge um impasse devido à opinião individual ou disputa de ego.
2.1.4 Contexto Complexo – Domínio da Emergência
No contexto Complicado existe pelo menos uma solução correta já no contexto
Complexo a solução é obscura. Este é geralmente o contexto encontrado nas
situações de decisão das organizações. Neste contexto os líderes utilizam de
históricos passados e intuição e monitoram a resposta do ambiente, de forma
cautelosa. Líderes que tentam impor ordem neste tipo de contexto geralmente
falham.
2.1.5 Contexto Caótico – Resposta Rápida
Neste contexto a busca por resposta certas é inútil. As relações entre causa e efeito
são impossíveis de determinar porque elas mudam constantemente e nenhum
padrão gerenciável existe somente turbulência. Neste contexto o líder não deve se
preocupar com padrões, ele deverá agir primeiro para tentar eliminar ou reduzir os
efeitos. De acordo com a resposta do ambiente o líder deverá identificar quais os
pontos estão novamente estáveis e quais ainda estão em estado caótico, agindo e
monitorando até que o ambiente retorne ao contesto de complexidade.
2.2 Análise de impacto no negócio
Dulaney (2011), a Análise de Impacto no Negócio (BIA – Business Impact Anaysis) é
um dos dois componentes chaves classificados por Dulaney como crucial para a
continuidade do negócio.Análise de Impacto no Negócio é o processo de avaliação de todo sistema crítico em uma organização para determinar os impactos e os planos de recuperação. A BIA não preocupa com ameaças externas ou vulnerabilidades esta análise coca no impacto e perdas que poderiam haver na organização. (DULANEY, 2011, p. 457)
18
Os itens da Análise do Impacto no Negócio, segundo Dulaney (2011) são:
Identificar Funções Críticas: identificar quais são as funções necessárias
para continuidade do negócio.
Priorizar Funções Críticas do Negócio: classificar as funções, definindo
ordem de prioridade para as funções.
Calcular o Tempo de Parada para Perda de Sistemas Críticos: definir
quanto tempo o negócio pode sobreviver sem uma das funções críticas e qual
seria o tempo para restabelecer a função.
Estimar os Impactos Tangíveis e Intangíveis na Organização.
2.3 Identificações dos riscos
“Identificar os riscos é o processo de determinação dos riscos que podem afetar o
projeto e de documentação de suas características.” (PMBOK, 2008, p. 282).
Magalhães (2008) considera que para realizar a identificação do risco é necessário
considerar as perspectivas físicas e lógicas.
Análise lógica refere-se aos padrões mínimos de configuração dos serviços da
Tecnologia da Informação, analisando quais deste não essências para manutenção
dos serviços críticos para o negócio ou projeto. Esta análise deve conter rotinas de
seguranças, mecanismos de alta disponibilidade, entre outros.
A análise física refere-se aos acessos físicos e condições de infraestrutura e
localização.
Estas análises devem levar em consideração sempre a priorização dos ativos,
classificando-os por valor financeiro, custo ou valor perante a concorrência, e
estabelecer os calores dos ativos tendo por base o valor físico e comercial do ativo.
Algumas ferramentas sugeridas pelo PMBOK (2008) para auxílio da identificação do
risco são: Brainstorming, Técnica de Delphi, Análise de Causa-Raiz, Digrama de
Ishikawa.
19
Para identificar os riscos, o PRINCE2® (2009) recomenda ações como:
Verificar as oportunidades e ameaças identificadas no levantamento de
riscos.
Preparar indicadores de alerta, antes mesmo de o risco começar a se
consolidar, para monitorar as fases críticas do projeto e se informar das
principais fontes de risco.
Entender as visões dos stakeholders sobre os riscos específicos capturados.
2.4 Análise qualitativa
Um das formas de priorizar os riscos é através qualitativa, esta análise é realizada
através de uma avaliação entre probabilidade e impacto é possível definir o grau de
prioridade para o risco.
Para realizar podemos utilizar ferramentas como a matriz de probabilidade de e risco
proposto pelo PMBoK (2008) e demonstrado na Tabela 1 - Matriz de probabilidade e
impacto e semáforos proposto por Kezner (2006) e demonstrado na
Tabela 1 - Matriz de probabilidade e impactoFonte: PMBoK (2008)
Tabela 2 - Matriz de probabilidade e impacto Fonte: Kezner (2006)
Probabilidade0,90 0,05 0,09 0,18 0,36 0,72 0,72 0,36 0,18 0,09 0,050,70 0,04 0,07 0,14 0,28 0,56 0,56 0,28 0,14 0,07 0,040,50 0,03 0,05 0,10 0,20 0,40 0,40 0,20 0,10 0,05 0,030,30 0,02 0,03 0,06 0,12 0,24 0,24 0,12 0,06 0,03 0,020,10 0,01 0,01 0,02 0,04 0,08 0,08 0,04 0,02 0,01 0,01
0,05 0,10 0,20 0,40 0,80 0,80 0,40 0,20 0,10 0,05
Ameaças Oportunidades
Símbolo Probabilidade Impacto•••• Certa Ameaça o sucesso de todos o projeto•••◌ Alta Afeta os resultados, cronograma e/ou orçamento••◌◌ Média Pode afetar resultados, cronograma e/ou orçamento•◌◌◌ Baixa Com empenho, pode ser administrado sem afetar resultados, cronograma e/ou orçamento◌◌◌◌ Improvável Pequeno ou nenhum
20
2.5 Análise quantitativa
Todo esforço de gestão de risco das instituições parte do planejamento dessa
gestão, e finaliza com a implementação efetiva das ações para gerenciá-los, e seu
monitoramento e controle. O último estágio antes da definição e implementação das
ações citadas é a análise quantitativa dos riscos, a qual é dispendiosa e complexa,
por isso só é implementada após estudos e classificações preliminares.
Brito (2007) considera nove classes de riscos operacionais como sendo os mais
impactantes para as instituições:
Risco de Reputação: retrata o impacto negativo gerado pelo fluxo de
informações no mercado não alinhadas com as expectativas dos
stakeholders.
Risco de Liquidação: ocorre quando a instituição ou qualquer stakeholder
não recebe determinada receita devida em determinado momento.
Risco humano: segundo o autor gerado durante o processo decisório devido
ao estresse o excesso de autoconfiança
Risco de descontrole interno: efeito de falha nos sistemas internos de
controle do processo.
Risco de gestão inadequada do negócio: refere-se à insuficiência ou
inadequação das ferramentas/softwares usados para conduzir o negócio.
Risco sistêmico: falha no processo operacional com consequências que
direta ou indiretamente se retroalimenta, gerando o efeito bola de neve.
Risco legal: decorre de desalinhamento dos processos internos da instituição
com as práticas tidas como legalmente corretas, seja devido à desatualização
em relação às leis vigentes.
Risco a imagem: refere-se ao comprometimento da marca da instituição por
perdas acumuladas no market share.
Risco de fraude: tem origem no tratamento tributário inadequado
considerado irresponsável ou desonesto pelo stakeholder.
21
Padoveze e Bertolucci (2009, p. 7-8) classificam os riscos operacionais em:
Estratégico: São estruturais e definidos no planejamento estratégico da
instituição, normalmente ocasionados por uma avaliação macro equivocada
do mercado e cenários futuros.
De gestão: são gerados por planejamento tático inadequado e geram perdas
financeiras em médio prazo, normalmente relacionadas ao planejamento
tributário, contábil, financeiro, RH ou TI.
Operacionais: relacionados com falhas humanas em seu processo decisório,
ou mesmo ineficiência ou ineficácia na condução do negócio, roubo ou
fraude.
Estando definidas as classes e tendo sido feita a análise qualitativa dos riscos, a
análise quantitativa torna-se pertinente para os riscos mais significativos, e com
relevantes benefícios em relação a outras ferramentas de gestão de riscos.
Ding Tan (2002) considera que a análise quantitativa é uma ferramenta mais
poderosa para embasar qualquer proposta apresentada aos gestores, com
objetividade e projeção direta de custos e benefícios. Defende também que ela pode
ser personalizada às indústrias onde são usadas atendendo a condições
específicas, e é menos exposta a questionamentos que outras ferramentas porque
suas projeções normalmente são geradas a partir de dados irrefutáveis.
Brito (2007) defende o uso tratamento quantitativo dos riscos operacionais com o
uso de técnicas, métodos e modelos matemáticos e estatísticos para mensurar
possíveis futuras perdas esperadas e inesperadas de determinada instituição.
Considera que estas ferramentas dividem-se em dois tipos básicos: bottom-up e top-
down. A primeira usa bases de dados extensas e detalhadas, segregadas por
fatores de risco e alocadas simulando hipóteses consistentes, com aderência
aceitável a realidade operacional. As ferramentas da classe top-down interpretam os
indicadores agregados de desempenho da instituição e seu impacto no resultado,
oferecendo os benefícios da simplicidade e do baixo custo, transparência e
aplicabilidade da técnica, e com a desvantagem da aproximação grosseira e ênfase
no passado.
22
Com relação a riscos de perda de prazo, Galvão (2005) considera que a grande
diferença entre a análise quantitativa de riscos e as técnicas determinísticas
tradicionais como o CPM (Critical Path Method), é que a primeira permite um
tratamento probabilístico dos parâmetros de projeto para os quais existem incertezas
associadas, como por exemplo, estimativas de duração. Na análise quantitativa as
estimativas são representadas por distribuições estatísticas de probabilidade entre
os valores mínimo e máximo. Como resultado o cronograma também passa a ser
representado em termos probabilísticos, o que permite a análise de diversos
cenários possíveis para o projeto, com diferentes chances de ocorrência.
A metodologia defendida por Ding Tan (2002) considera que uma modelagem de
análise quantitativa de riscos processa os seguintes dados:
Fator de exposição: percentagem do ativo perdida devido a uma ameaça
conhecida. Varia de 0 a 100%.
Expectativa de perda individualizada: É o resultado da multiplicação do
valor do ativo pelo fator de exposição, o que gera um valor provável de perda.
Taxa de ocorrência anualizada: refere-se à frequência estimada de uma
ameaça ocorrer e é decomposta em um valor anualizado, portanto se
apresenta frequentemente como um número fracionário.
Expectativa de perda anualizada: É o resultado da multiplicação da taxa de
ocorrência anualizada pela expectativa de perda individualizada.
Análise de custo/benefício das medidas mitigatórias: é um número que
avalia a validade da implementação das medidas mitigatórias. É calculado
subtraindo-se da expectativa de perda anualizada em valor moeda antes da
implementação das medidas mitigatórias por esta mesma expectativa de
perda após a implementação das medidas. Deste valor final ainda é subtraído
o custo de implementação das medidas mitigatórias.
O uso da análise citada acima permite a avaliação da Taxa Interna de Retorno do
investimento na implementação de cada medida mitigatória. Sendo esta TIR positiva
diretamente se valida à implementação da medida mitigatória de forma
individualizada.
23
2.6 Planejamento de resposta a riscos
Ao identificar e analisar os riscos, é imprescindível que uma resposta seja proposta
e realizada. Segundo Dinsmore (2009) a fase do planejamento da resposta do risco
é a parte mais importante do processo, devido ao fato da equipe de projeto se
prepara para fazer a diferença em relação ao aparecimento dos riscos enfrentados
no projeto.
Segundo Possi (2006), o Planejamento de Resposta aos Riscos é o processo que
encontra as opções e sugere ações para que as oportunidades cresçam e que as
ameaças aos objetivos do projeto diminuam, incluindo a identificação dos
stakeholders para cada resposta ao risco planejada.
“Este processo assegura que os riscos identificados serão corretamente tratados. A
efetividade da resposta planejada determinará diretamente se o risco aumentou ou
diminuiu para o projeto”. (POSSI, 2006, p.23)
A Tabela 3 - Planejamento de Resposta aos Riscos demonstra as entradas,
ferramentas e técnicas e saídas para o planejamento de resposta aos riscos:
Planejamento de Resposta aos Riscos
Entradas Ferramentas e Técnicas Saídas
- Plano de gerenciamento de riscos.
- Registro de Riscos.
- Estratégia para riscos negativos ou ameaças.- Estratégia para riscos positivos ou oportunidades.- Estratégia para ameaças ou oportunidades.- Estratégia para respostas contingenciadas.
- Registro de riscos (Atualizações).- Plano de Gerenciamento de Projetos (Atualizações).- Acordos contratuais relacionados a riscos.
Tabela 3 - Planejamento de Resposta aos RiscosFonte: POSSI (2006)
24
Ainda segundo Possi (2006), normalmente são utilizadas três estratégias com riscos
que, caso consolidados, podem vir a resultar em um impacto negativo aos objetivos
do projeto:
Prevenir: A prevenção do risco se dá com a mudança do plano do projeto,
para que, assim, o risco deixe de ser uma ameaça e ter uma melhor chance
de se tornar uma oportunidade. Reduzir escopo, adicionar recursos e
prorrogar prazos são exemplos de prevenção às ameaças.
Transferir: A transferência de risco é a transferência das consequências do
risco a uma terceira parte, bem como a responsabilidade da resposta ao
risco. Porém, isso simplesmente coloca um terceiro como responsável do
gerenciamento do risco, mas não o elimina.
Mitigar: A mitigação busca reduzir as consequências ou probabilidade de
ocorrências das ameaças. Isso se dá por agir preventivamente ao risco. Em
alguns casos, cabe-se até uma alteração de escopo para que essa redução
aconteça.
De acordo com Daychoum (2005), são utilizadas quatro estratégias com riscos
que, caso consolidados, podem vir a resultar em um impacto positivo aos
objetivos do projeto:
Melhorar: Procurar aumentar a probabilidade de ocorrência ou os impactos
positivos ao projeto.
Compartilhar: Procurar transferir a responsabilidade e propriedade do risco a
terceiros que possam ter um melhor aproveitamento das oportunidades
geradas pelo risco.
Explorar: Verificar maneiras para que o risco (oportunidade) realmente se
concretize, eliminando a incerteza da ocorrência.
Aceitar: Não modificar o plano do projeto para lidar com o risco ou não ser
capaz de identificar e fazer um planejamento de resposta ao risco.
Já para Passos (2008), as respostas planejadas dependem da capacidade da
equipe de agir sobre os eventos. O desenvolvimento de resposta aos riscos
envolvem definições de passos para tratamento das oportunidades e
25
desenvolvimento das ações necessárias aos riscos de impacto negativo, e eles
podem ser do tipo:
Eliminação: trata-se de eliminar o risco através da eliminação de suas
causas. É impossível eliminar todos os riscos, mas certos riscos específicos
sempre podem ser eliminados.
Mitigação: trata-se de reduzir o valor monetário esperado de um evento de
risco reduzindo sua probabilidade de ocorrência ou reduzindo o valor
esperado do evento (valor do impacto) ou ambos.
Transferência: esta técnica não elimina o risco, mas trata de transferir a sua
consequência para uma terceira parte. Algumas vezes, significa dar-lhes a
responsabilidade pelo gerenciamento do agente causador do risco. Pode-se
ainda transferir a consequência financeira do risco firmando contratos de
seguros. Da mesma maneira que as pessoas fazem seguros de automóveis
contra colisões e outros sinistros como forma de dispor de reserva financeira
extra para tratamento desses riscos caso ocorram, também podem ser feitos
esses seguros para projetos ou suas partes dependendo da necessidade e do
grau de impacto.
Aceitação: nessa abordagem o risco será aceito, bem como suas
consequências. A aceitação pode ser ativa ou passiva. No caso da aceitação
ativa são desenvolvidos planos de contingência a serem executados caso o
risco venha acontecer.
2.7 Monitoramento e controle de riscos
Para Dinsmore (2009), a fase final do processo de risco tem a finalidade de
assegurar que as resposta planejadas tenham tido a solução do que foi esperado
para o seu desenvolvimento. É de suma importância o acompanhamento do
aparecimento de novos riscos, avaliando a eficácia total do processo de
gerenciamento de riscos. Para um melhor resultado, esses objetivos deverão passar
por uma reunião de revisão do risco, embora seja possível, em projetos menores,
rever o risco como parte de uma reunião de progresso regular do projeto.
Segundo Possi (2006), os objetivos do monitoramento dos Riscos são verificar se:
26
As respostas aos riscos estão sendo executadas de acordo com o planejado;
As ações de resposta aos riscos estão efetivas, conforme esperado;
As premissas do projeto ainda estão válidas;
O risco se modificou de acordo com seu estado anterior, verificando suas
tendências;
Um alerta de risco aconteceu;
Os procedimentos estão sendo seguidos;
Um novo risco está iminente.
Ainda segundo Possi (2006), o controle dos riscos pode se dar pela escolha de
estratégias alternativas, pela implementação de um plano de contingência, por
tomada de ações corretivas ou até mesmo pelo replanejamento do projeto.
Monitoramento e Controle dos Riscos
Entradas Ferramentas e Técnicas Saídas
- Plano de gerenciamento de riscos.- Registro de Riscos.- Solicitação de Mudanças aprovada.- Informações sobre o desempenho do Projeto.- Relatório de Desempenho.
- Reavaliação dos Riscos.- Auditoria de Riscos.- Análise das tendências e da variação.- Medição do Desempenho Técnico.- Análise de Reservas.- Reuniões de Andamento.
- Registro de riscos (Atualizações).- Mudanças Solicitadas.- Ações corretivas solicitadas.- Ações preventivas recomendadas.- Ativos de processos organizacionais (Atualizações).- Plano de Gerenciamento de Projetos (Atualizações).
Tabela 4 - Monitoramento e Controle dos RiscosFonte: POSSI (2006)
O gerenciamento de risco é um processo interativo cíclico, e segundo Dinsmore
(2009), esse processo não deverá ser executado apenas uma vez, o ideal, sempre
que possível, seja analisado no projeto. Isso devido a alta modificação dos riscos,
principalmente quando envolve eventos externos, como ações ou falta delas, tanto
da equipe, quanto de outras partes.
27
3 TABELA DE TEMAS
Nome do Aluno Tema Sub tema
Paolo Bordoni Caldeira Gestão De Risco: Uma
Pesquisa Exploratória
Em Projetos De
Segurança Da Informação
Com Abordagem Em
PMEs.
Priscila Brito Namorato Gestão De Risco: Uma
Pesquisa Exploratória
Na Aplicação Em
Empresas Da Construção
Civil
Rafael Lima Moreira Gestão De Risco: Uma
Pesquisa Exploratória
Na Gestão Dos Potenciais
Riscos De Um Projeto De
Manejo Da Arborização
Urbana Com Foco Na
Distribuição De Energia
Elétrica
Zoilo Pereira De Almeida Filho Gestão De Risco: Uma
Pesquisa Exploratória
Nos Mecanismos De
Gestão De Risco Em
Projetos De Capital De
Grandes Corporações
Tabela 5 – Tabela de Sub Temas Fonte: Grupo do Projeto
28
4 GESTÃO DE RISCO EM PROJETOS DE SEGURANÇA DA INFORMAÇÃO
4.1 Sistemas de Informação
Segundo Stair e Reynolds (2006), um sistema é um conjunto de elementos ou
componentes que interagem para atingirem objetivos. O sistema de informação,
assim como um sistema aberto, é uma serie de elementos ou componentes em
sinergia que coletam (entrada), manipulam e armazenam (processo), disseminam
(saída) os dados e informações e fornecem um mecanismo de feedback.
A organização é tratada como sistema, uma vez que ela é composta por um
conjunto de pessoas e elementos que interagem sinergicamente para conquistar
objetivos em comum. A base da nossa pesquisa é nos sistemas de informação
baseado em computador, que é o sistema composto por hardware, software, banco
de dados, telecomunicação, pessoas e procedimentos.
O Hardware é a parte física do sistema de informação baseado em computador
(CBIS – Computer Based Information System), estes equipamentos têm a função de
entrada, saída e processamento de dados. Nos hardwares de entrada estão:
teclados, scanners, entre outros. Os de processamentos estão na CPU (Unidade
Central de Processamento), memória, HD, enquanto os de saída são: vídeos,
impressoras, entre outros.
O software é a parte lógica dos sistemas de informação baseados em computador
(CBIS); são os programas (aplicativos, Sistemas Operacionais) e instruções
passados ao computador. Os Softwares são responsáveis em transformar as
intenções do usuário em linguagem de máquina. Desta forma os softwares permitem
o processamento da folha de pagamento, relatórios, faturamento, reduzindo custos e
maximizando o trabalho.
O banco de dados é a parte responsável pela centralização e armazenamento de
fatos e informações da empresa, nele pode conter informações sobre: clientes,
29
funcionários, estoque, vendas. É considerada a parte mais importante de um
sistema de informação baseado em computador.
As telecomunicações são ferramentas que permitem ligar os sistemas de
computadores em rede, permitindo que um sistema se comunique com outro
independente de sua posição geográfica.
As pessoas são os recursos humanos que trabalham com sistemas de informação.
São profissionais as pessoas que gerenciam, executam, programam, e mantêm o
sistema de computadores. Os usuários são os administradores, tomadores de
decisões, empregados e todos aqueles que utilizam os computadores e seus
benefícios.
Os procedimentos são as estratégias, políticas, métodos e regras a serem utilizadas
para operar o sistema de computador baseado em computador.
Todos os sistemas estão sujeitos a falhas, até mesmo os sistemas de informação
baseados em computador; a falha pode ocorrer em qualquer um dos elementos: do
hardware ao processamento. Existem os sistemas tolerantes a falhas, ou seja, pode
haver um mau funcionamento em um dos elementos que o sistema continua a
funcionar isto porque ele trabalha em duplicidade, um sistema fazendo o
gerenciamento do outro.
Dentro do sistema de informação baseado em computador, segundo Stair e
Reynolds (2006), temos:
Sistemas de Processamento de Transações: (SPT) este sistema era
utilizado com as primeiras gerações de computadores com o objetivo de
redução de custos com a automatização das rotinas. O sistema de
processamento de transações tem aplicabilidade em transações rotineiras.
Sistemas de Informação Gerenciais: (SIG) estes sistemas começaram a
serem desenvolvidos na década de 60 com o objetivo de se produzir
informações e relatórios gerenciais. Esta necessidade nasceu quando se viu
que o STP reduzia o custo com funcionários com a automatização das
30
rotinas, porem não gerava informação para os administradores; então estes
relatórios vieram para ajudar os administradores a executar suas funções.
Sistemas de Apoio de Decisão: (SAD) elaborado na década de 70 e 80,
quando os computadores já eram utilizados em larga escala em todas as
tarefas da empresa, detectou-se a necessidade de um sistema que apenas
gerasse relatórios. O SAD é um sistema mais complexo, onde ele sugere
possíveis soluções para um determinado tipo de problema, auxiliando o
executivo na sua tomada de decisão.
Inteligência Artificial e Sistemas Especializados: estes sistemas vieram a
serem utilizados na década de 80 e 90. São sistemas extremamente
complexos e que simulam a capacidade de raciocínio humano. A Inteligência
Artificial é um sistema que possui características da inteligência humana. O
sistema Especialista é um sub campo da Inteligência Artificial onde ele pode
fazer sugestões e chegar a conclusões bastante semelhantes a um
profissional especialista.
4.2 Sistemas de Informação e as Organizações
Segundo Laudon e Laudon (1999), os sistemas de informação baseados em
computador já é uma realidade nas organizações, sendo uma solução
organizacional e administrativa que tem como objetivo de adaptar as contingências
do ambiente.
Os Sistemas de Informação baseado em computador se tornaram vitais para a
sobrevivência das organizações. O acesso e a disponibilidade da informação em
tempo real é essencial para que a organização tome suas decisões as mais rápidas
possíveis procurando estar sempre a frente de seu concorrente, e sem os sistemas
de informações baseados em computador alguns processos poderiam se tornar
extremamente demorados e custosos para a organização.
Esta necessidade de informação, segundo Cébrian, se deu depois de Revolução
Industrial, com a Revolução Digital. Cébrian diz que, ao contrário das demais
revoluções, a Revolução Digital se dá através de cabos e fios e se faz ser lido,
31
ouvido e visto em vários canais de comunicação. As organizações, como qualquer
outro tipo de sistema, têm a necessidade estar se adaptando para não sucumbir.
O processo da Globalização, intensificado com velocidade com as informações
circulam na Internet, fez com as empresas começassem a se preocupar mais com a
obtenção e qualidade das informações que entram na organização de modo as
tornarem mais competitivas. Porém não existe competitividade com custos altos,
logo se tornou necessário baixar custos na obtenção das informações sem perder
sua qualidade.
Como foi dito no capítulo sobre softwares os Sistemas conseguiram sanar a primeira
necessidade que era a de baixar custos; porém não existem Sistemas Gerências
(SIG e SAD) sem Hardware, Sistemas Operacionais, Telecomunicação e Pessoas.
Não bastava apenas baixar os custos de pessoas automatizando os processos, era
preciso baixar os custos também no processo de implantação nos Sistemas de
Informação Baseados em Computadores (CBIS).
O planejamento de um Sistema de Informação baseados em Computadores deve
levar em consideração a real necessidade da organização, deve tomar cuidado para
que o para que o investimento não vire custo, implantando sistemas e hardwares
muito complexo para a função a ser desempenhada ou muito obsoletos. Outro ponto
que deve ser considerado é estar de acordo com a legislação, respeitando as
licenças dos softwares. Não adiantaria de nada implantar um Sistema de Informação
perfeito e levar a empresa à falência por usar softwares ilegais.
Os hardwares, assim como os softwares, também devem ser dimensionados de
acordo com os reais objetivos da organização. Não adiantaria de nada colocar um
servidor de última geração dentro da empresa se ela não vá utilizar nem 5% de sua
capacidade total.
Assim a organização concentra os investimentos na área de Tecnologia de
Informação esperando que a empresa alcance sua eficiência e eficácia
organizacional, consiga se tornar competitiva o suficiente para sobreviver e superar
32
a concorrência, melhorar o seu produto e seu relacionamento com fornecedores e
clientes.
A responsabilidade do setor de TI é muito grande, pois ela tem que possibilitar que a
organização alcance sua excelência e competitividade e ao mesmo tempo reduzir
custos de implantação dos Sistemas de Informação sem perder a qualidade do
serviço a da segurança.
4.3 Ativo Universal – A Informação
Segundo Sêmola (2003), apesar das condições mercadológicas, culturais e
econômicas, a informação sempre foi a base e o elemento mais importante na
gestão do negócio.
Verificando a evolução do ambiente corporativo, vemos uma dependência muita
grande nos equipamentos tecnológico: computadores, notebooks, tablets,
smartphones. Ter a informação em tempo hábil e compartilhá-la de forma simples e
ágil viraram práticas de gestão das empresas e empreendedores modernos, Sêmola
(2003).
As informações permeiam todas as etapas de todos os processos da organização,
auxiliando os gestores nas tomadas de decisões. É importante salientar que quando
nos referíamos as informações não é somente as que apresentam no ambiente
lógico, mas também as que estão disponíveis fisicamente. Os equipamentos
tecnológicos disponíveis no mercado podem facilmente mudar o meio em que a
informação se encontra transformando-a ao bel prazer da pessoa que queria obtê-la.
Informações podem facilmente ser passadas de ambientes lógicos para físicos com
impressão e o inverso pode ser facilmente conseguido com um simples smartphone
com uma câmera fotográfica.
A complexidade em promover a segurança da informação está no simples fato que o
meio em que a informação está disponível é extremamente volátil, não bastando
somente equipamentos tecnológicos para prevenir roubos, fraudes, acesso
indevidos às informações sigilosas ou estratégicas, é necessário montar um comitê
33
multidisciplinar de segurança, criar e promover processos, treinar pessoas, testar
sistemas, promover teste de segurança implantar segurança física.
Sêmola (2003), diz que independente de qual seja o meio, físico ou lógico, em a
informação se apresente ela terá 4 etapas, sendo:
Manuseio: é momento que a informação é manipulada seja ao digitar e abrir
o documento no computador ou abrir e folear os papeis de um manual.
Armazenamento: é o momento em que a informação é guardada seja em
uma datacenter, ou seja, dentro de um armário.
Transporte: é o momento em que a informação é transportada seja pelos
protocolos do TCP/IP seja pelos correios ou carros da empresa.
Descarte: é o momento que a informação é eliminada seja ela “deletada” seja
ela posta dentro do lixo da sala.
4.4 Segurança da Informação
Segundo Sêmola (2003, p.43), podemos definir Segurança da Informação como:
“uma área de conhecimento dedicada à proteção de ativos da informação contra
acessos não autorizados, alterações indevidas ou sua indisponibilidade”.
De forma mais ampla, podemos também considera-la como a prática de gestão de risco de incidentes que impliquem no comprometimento dos três principais conceitos da segurança: confidencialidade, integridade e disponibilidade da informação. (SÊMOLA, 2003, p. 43).
Segundo Diógenes e Mauser (2011, p.3), quando pensamos em segurança da
informação os primeiros conceitos que são lembrados são seus pilares:
Confidencialidade: Trata-se da prevenção do vazamento da informação para usuários ou sistemas que não estão autorizados a ter acesso a tal informação; Integridade: Trata-se da prevenção/manutenção do dado na sua forma íntegra, ou seja, sem sofre modificações através de fontes não autorizadas; Disponibilidade: Trata-se da manutenção da disponibilização da informação, ou seja, a informação precisa estar disponível quando se necessita.
Outros autores, como Sêmola (2003, p.46), defendem que além dos pilares acima a
segurança da informação está apoiada em outras duas características:
34
Legalidade: características das informações que possuem valor legal dentro de um processo de comunicação, onde todos os ativos estão de acordo com as clausulas contratuais pactuadas ou a legislação política institucional, nacional ou internacional vigentes; Autenticidade: garantia de que as entidades (informação, máquinas, usuários) identificadas em um processo de comunicação como remetentes ou autores sejam exatamente o que dizem ser e quer a mensagem ou informação não foi alterada após o seu envio ou validação.
4.5 Comitê de Segurança
Diferente do que normalmente muitos gestores aplicam, a segurança da informação
dentro de uma organização não deve ser gerida somente pelo setor de Tecnologia
da Informação e nem tão pouco por apenas um setores. Esta é uma das, senão a
mais complexa, atividade dentro da organização moderna, garantir segurança com
processos rígidos e burocratizados sem que a empresa perca flexibilidade e
agilidade para adaptar-se ao mercado e novas demandas com o objetivo de
maximizar os resultados nos negócios.
Este comitê deve ser composto por uma equipe multidisciplinar, composta por
membros do departamento jurídico, comercial, financeiro, pessoal, entre outros,
além do de tecnologia. Este grupo para execução de suas funções deve ser
posicionado como staff respondendo somente ao conselho administrativo ou
diretoria, para que não seja prejudicado as tomadas de decisão referente a
segurança por subordinação. A sua estrutura, objetivo e função devem ser
comunicadas e formalizadas a toda organização.
O grande desafio do comitê do segurança é, após identificar o ativo informacional,
quantificar o seu valor, identificar quais ameaças está sujeito o ativo, identificar os
riscos, identificar as expectativas do negócio e então criar os procedimentos e
normas de segurança para este ativo, sem perder o foco no negócio. Existirão casos
que ou valor do ativo é tão insignificante ou o custo de proteção é tão alto que será
preferível que a organização aceite o risco do que ficar procurando, ou
implementado mecanismos de segurança.
35
É importante que notemos que a segurança existe para proteger um ativo, no caso
da segurança da informação este ativo é a informação, esta por sua vez é
importante por é um dos elementos essenciais para continuidade do negócio, assim
o foco sempre será o negócio, não adianto medidas extremamente seguranças mas
que engessem o negócio.
Autores como Sêmola e Diógenes, citam metodologias para elaboração de
processos de segurança, como a teoria de perímetro. O objetivo deste método visa
criar níveis de segurança até o ativo que será protegido. Estes níveis são
importantes, pois quando um deles é alcançado, ser de parâmetro e alerta para os
demais, podendo o comitê ou responsável providenciar alguma medida de correção
ou prevenção.
Na gestão de segurança da informação são classificadas 6 tipos de barreiras de
segurança de acordo com seu papel, segundo Sêmola:
Desencorajar: é primeira barreira que tem por objetivo desencorajar a
ameaça.
Dificultar: são mecanismos que servem, caso aconteça à ameaça, dificulte
que tenha êxito no na obtenção do ativo.
Discriminar: são mecanismos que identificam os acessos e separem os
devidos dos indevidos.
Detectar: são mecanismos que detectam as situações de risco.
Deter: são mecanismos que detém a ameaça.
Diagnosticar: são ferramentas e métodos que permite levantar e analisar os
riscos.
Segundo Sêmola (2003), devido a uma visão distorcida do tema sobre segurança da
informação, adota-se uma postura míope sobre a situação e agem de forma a
comprometer o negócio. Segundo o autor são considerados como péssima prática:
Atribuir a segurança da informação exclusivamente a área de TI.
Posicionar o Comitê de segurança hierarquicamente abaixo da Diretoria de
TI.
36
Definir investimentos limitados e subestimados.
Elaborar planos reativos.
Tratar os planos somente como despesas e não como investimento.
Adoptar sempre medidas paliativas e pontuais.
Criar falsa sensação de seguranças por ações isoladas.
Não cultivar cultura de segurança de âmbito corporativo.
Tratar segurança como projeto e não como processo.
4.6 Ameaças
Quando nos referimos a informação e passamos a analisar as ameaças nos
deparamos em um ambiente extremamente hostil, pois as ameaças podem surgir de
qualquer lugar:
Pessoas.
Ambiente físico.
Processos.
Ambiente Lógico.
Equipamentos.
4.6.1 Engenharia Social
A engenharia social usa a influência e a persuasão para enganar as
pessoas e convence-las de que o engenheiro social é alguém que na
verdade ele não é, ou pela manipulação. Como resultado, o engenheiro
social pode aproveitar-se das pessoas para obter as informações como ou
sem o uso da tecnologia. (MITNICK, 2005).
Apesar da complexidade do assunto, segurança da informação, todos os autores
usados neste trabalho concordam, o fator humano é o elo fraco da segurança da
informação e é por este motivo que o método de engenharia social pode ser um
eficiente método para recolher informação.
Mitinick foi um dos hackers de maior renome e um engenheiro social nato, no anexo
1 segue a transcrição de um exemplo de ataque social descrito em seu livro.
37
4.6.2 Malware
“Software malicioso, normalmente conhecido como malware, é um software que
entra no sistema operacional sem o consentimento ou conhecimento do usuário”.
(DIÓGENES; MAUSER, 2010, p. 13).
Dentre as categorias de malware temos:
Vírus: Segundo Diógenes e Mauser (2010), é um programa que é anexado
por ele mesmo para disseminar. O vírus executa duas tarefas, primeiro ele
replica e depois ele executa o código malicioso.
Worms: O worm ao contrário do vírus ele não precisa ser anexado a um
arquivo para contaminar outros computadores e também não precisa ser
acionado pelo usuário como o vírus para acionar o código malicioso.
Cavalo de Troia: São programas que estão no computador mascarados por
outro programa, abrindo conexões para que o atacante acesse o computador
da vítima.
Botnet: Segundo DIOGENES (2010), “é o termo genérico para o conjunto de
software “robotizados”, apelidados de bots”.
Bomba Lógica: São softwares criado para serem executados em um
determinado tempo ou evento.
Spyware e Adware: são softwares que coletam informações do usuário e
violam sua privacidade.
4.6.3 Ataques à Rede
Os ataques à rede acontecem por vários modos, que vão desde a exploração de
vulnerabilidade do protocolo utilizado para conexão até a exploração de
vulnerabilidades da aplicação. Dentre este método temos:
SYN Flood – Segundo Diógenes e Mauser (2010), este ataque aproveita de
uma vulnerabilidade no processo de TCP Handshake, em a conexão não é
estabelecida por completo e a sessão e o ataque inunda a vítima com
pacotes SYN, causando a parada do equipamento.
38
Man in the Middle – este método o atacante desvia os pacotes de dados da(s)
vítima(s) para ele, se colocando literalmente entre as conexões.
ARP Poisoning – Diógenes e Mauser (2010) trata este ataque como um dos
mais devastadores para rede local, caso não sejam tomadas as devidas
medidas para mitigá-la. Este é um processo utilizado para que o seja usado o
Man in the Middle, pois envenenando a tabela ARP o atacante pode se
colocar no lugar do Gateway ou desviar todo tráfego da rede para um
dispositivo inexistente fazendo que ela pare.
DOS e DDOS - o ataque de negação de serviços, Denial of Service e
Distributed Denial of Service respectivamente, para Diógenes e Mauser
(2010), é o ataque mais temido, pois o atacante consegue indisponibilizar os
serviços do alvo, deixando-o fora do ar.
Rainbow Table – esta técnica consiste em gerar uma tabela de senhas
criptografas para que seja comparadas com hash conseguido por um
analisador de pacotes ou através de ataque de man in the middle. Assim o
atacante consegue obter uma terminada senha, como por exemplo a chave
de acesso de um rede wireless com WPA.
É importante ressaltar que estas são algumas das ameaças e que medidas de
segurança de acesso físico também devem ser tomadas pois um atacante consegue
facilmente obter privilégios máximos em um computador caso tenha um acesso
local.
4.7 Contra medidas
Dentre as contra medidas mais conhecidas estariam:
Uso de Firewall.
Uso de antivírus.
Atualização de Patch de correção de sistemas.
IDS (Intrusion Detection System) – Sistema de Detecção de Intrusão.
39
IPS (Intrusion Prevention System) – Sistema de Prevenção de Intrusão.
Controles de Acessos Físicos.
VLANs.
Acessos Criptografados.
Conscientização, treinamento dos stakeholders.
Processos de Segurança bem definidos.
Ocultamente de redes wireless.
Sistemas de Proteção de Acesso: com NAP da Microsoft e NAC da Cisco.
Métodos seguros de descarte.
Tendo por base, principalmente, as ameaças acima e começando pelo engenharia
social, de nada vale termos Processos de Segurança e o mais modernos dos
sistemas de segurança se não houver conscientização e treinamento do fator
humano envolvido. Esta conscientização deve estar arregrada a cultura da empresa,
acompanhando todo o processo de ciclo de vida dos stakeholders dentro da
empresa.
Imaginemos o seguinte cenário, sabemos que a empresa “A” possui fortes
mecanismos de segurança contra ameaças externas e possui funcionários
despreparados e mecanismos básicos de segurança para o ambiente interno.
Vamos supor que um agente mal intencionado queira obter informações que esta
empresa detém. Este agente poderia incorporar ao quadro de funcionário da
empresa e assim ter acesso a informação que quisesse.
Procedimentos técnicos de segurança como, ocultamento do SSID da rede wireless
e sua troca periódica dificuldade que o atacante consiga gerar uma Rainbow Table
válida que consiga comprar o hash e obter a chave, assim como uso de níveis mais
altos de criptografia também garantem maior segurança.
Voltando ao exemplo do funcionário infiltrado, caso a empresa tive a rede dividida
por VLANs o método de Man in the Middle seria limitado à sub-rede que ele estaria
inserido não propagando para toda rede, assim como uso de criptografia para
proteção das informações interna dificultaria a obtenção de informações sem
autorização.
40
A conscientização dos stakeholders é importante também pelo fato de que as
informações não são mantidas somente no meio digital elas também se apresentam
no meio físico, assim é necessário que estes se conscientizem da importância de
que, não se pode deixar papéis jogados na mesa ou da importância de usar meios
que impossibilitem a recuperação de informações descartadas como por exemplo
incinerar ou picotar em múltiplas direções documentos de papel antes de irem para o
lixo.
41
5 PESQUISA
5.1 Contexto da Pesquisa
Nesta seção, será apresentado uma caracterização geral do contexto mercadológico
no qual as empresas, de pequeno e médio porte, que possuem um setor de
tecnologia e informação da cidade de Belo Horizonte estão inseridas. O cenário que
estas empresas atuam é o alvo de exposição neste momento, pois esta pesquisa
tem como enfoque a percepção dos profissionais de T.I. e de seus empresários
referente a segurança da informação.
Minas Gerais ocupa as primeiras posições dos levantamentos estatísticos quanto ao
número de PMEs, e estas possuem relações diretas de troca de informações com
grandes empresas em diversos segmentos, da indústrias a serviços.
As empresas de Belo Horizonte, em particular, refletem as características do
mercado mineiro: fechado e conservador. Muitas vezes tradições familiares
prevalecem à evolução do mercado, com isto empresas de tecnologia mesmo que
tenham know how para acompanhar o movimento tecnológico, não existe a
consciência de que é necessário começar a preparar a organização para garantir a
integridade das informações, ou por falta de conhecimento, ou por falta de visão em
investir em segurança.
O desenvolvimento, da pesquisa exploratória a seguir, descreverá o cenário
geralmente encontrado em empresas de pequeno e médio porte.
5.2 Apresentação, Discussão e Análise de Dados
CED Contabilidade
A CED Contabilidade Edvar Dias Campos Ltda é uma empresa especializada em
serviços profissionais de contabilidade, consultoria, assessoria tributária, trabalhista
e previdenciária, prestando seus serviços para empresas dos mais diversos
42
segmentos do mercado. Suas atividades iniciaram em 1986, estando hoje
solidamente segmentada no mercado, sempre buscando novas tecnologias que
agilizem os trabalhos da equipe em prol dos melhores resultados para os clientes.
O entrevistado foi o Sr. Edvar Dias Campos, que respondeu os dois questionários o
administrativo e o técnico, sendo que o segundo teve auxílio de um prestados de
serviços terceirizado.
A empresa não possui área de TI interna, sendo esta função realizada por um
técnico terceirizado. Sua infraestrutura está bem organizada, possuindo níveis
básicos de acessos aos arquivos locais e ferramentas básicas para acessos
originados no meio externo. Internamente a preocupação maior é quanto ao acesso
de conteúdo indevido prejudicando a produtividade da empresa. Para isto a empresa
conta com auxílio de um Proxy e um Gateway de Instant Messenger (IM).
Na entrevista fica evidente a não preocupação com a segurança, quando o assunto
é acesso indevido, a preocupação maior é quanto a perda dela e acessos indevidos
dos usuários quanto o assunto é produtividade. O Sr. Edvar acredita que não há
segurança para proteger as informações de sua empresa, mas pondera que este
fator não é visto como diferencial pelos seus clientes, mesmo sabendo que o maior
ativo de sua empresa é justamente as informações dos clientes. A empresa não
possui meios de monitorar e passar o roubo de informação dentro de sua rede local
e o uso de uma dispositivo wireless doméstico este risco torna-se bem maior.
A entrevista administrativa, reforça justamente este cenário, cuja visibilidade da área
de TI na CED Contabilidade é de suporte e não estratégica. A empresa que faz a
manutenção da área de tecnologia, não é inserida nas estratégias do negócio e não
participa do planejamento, assim adaptações são realizadas de forma não
planejadas e os riscos não são mensurados.
Escritório SRGA. Advocacia e Consultoria Jurídica
O entrevistado do escritório de advocacia SRGA foi o Sr. Rodolfo, que apresentou
um cenário comum em escritórios de pequeno porte. Poucos usuários, poucos
43
computadores, sem área ou suporte de TI e informações descentralizadas, apesar
deste último ser minimizado por uma computador de mesa que serve como servidor.
Em entrevista Rodolfo nos informou que diversos tipos de informações transitam no
escritório, informações de grandes clientes e algumas vezes sigilosas, porém os
questionários e a própria estrutura apresentada mostra a fragilidade da organização
em proteger as informações.
Assim como alegado pelo Sr. Edvar, da CED Contabilidade, o cliente não vê como
diferencial se o escritório tem mecanismos ou não de proteção de suas informações,
nem mesmos os grandes clientes.
O cenário do escritório é de total desconhecimento dos riscos, como informou o Sr.
Rodolfo nos questionários, não existe nenhum plano de criação ou implantação
métodos ou procedimentos para manutenção da segurança das informações na
organização. Da mesma forma que acontece com o escritório de contabilidade, o
escritório de advocacia está vulnerável a violação e roubo de informação
principalmente dentro de sua rede local, o uso na rede de dispositivos wireless
permite que um atacante consiga acessar a rede local sem ao menos precisar entrar
nos escritório usando scanner de espectro, criando um rainbow table, injeção de
pacotes e man in the middle. É importante ressaltar que na SRGA, ao contrário do
que acontece na CED Contabilidade, não existe o mínimo de preocupação quanto
ao conteúdo acessado pelos usuários.
Mobiliadora Universal
Fundada em 25 de maio de 2000, inaugurou sua primeira loja em 13 de julho do
mesmo ano, situada à Av. Silviano Brandão, no coração da Floresta, em um ponto
estratégico e tradicional do ramo moveleiro de Belo Horizonte. Em busca de uma
constante atualização em seu segmento, a Mobiliadora Universal está sempre
presente em todos os acontecimentos do ramo que possam proporcioná-la
aprendizado e possível crescimento.
44
Das empresas entrevistadas, esta talvez seja a com maior possibilidade de
ambiente, pois além de suas lojas, ela possui áreas administrativas descentralizadas
e um centro de distribuição.
O entrevistado foi o Sr. Anderson, dono da empresa e assessorado pela empresa
terceirizada para preenchimento do relatório técnico. Esta empresa é responsável
por todas a estrutura tecnológica da empresa, tanto das lojas, administrativo e centro
de distribuição.
A Mobiliadora Universal realiza as conexões entre as lojas e seu centro de
distribuição através de sessões remotos e através de acesso direto ao banco sem
um canal criptografado. É procedimento da empresa não inserir a área de tecnologia
nos planos estratégicos, não possui planos de segurança traçados, apesar de deixar
como responsabilidade da empresas de TI que atende a empresa elaborar os
procedimentos de segurança.
O resultado estas responsabilidades parciais é:
Como a empresas não deixa claro para o quadro de funcionário quais são os
procedimentos, mas que existam eles não são seguidos.
Somente os procedimentos implantados por ferramentas tecnológicas e
gerenciadas pela empresa de tecnologia que são usadas, pois não dependem
da interação dos usuários
Como os usuários não estão inseridos no processo, falhas do tipo, exposição
de senhas e acessos indevidos são constantes.
O setor administrativo da empresa detém além das informações cadastrais de seus
clientes dados financeiros, xerox documentos, contracheques de clientes e
funcionários e outros tipos de informações que poderiam ser usadas para fraudes e
outros atos ilícitos.
É justamente ai que está o ponto crítico do processo desta empresa, como
respondido pelo Sr. Anderson, ele só tem noção dos riscos a partir dos relatos da
45
empresa da área de tecnologia, porém como a empresa terceirizadas não está
inserida no processo do negócio ela também não tem noção do que deve proteger.
Como respondidos pelas outras empresas, mesmo Sr. Anderson entender que não
está preparado para proteger as suas informações e principalmente a dos seus
clientes, como não é percebido pelos seus clientes e nem torna diferencial ser uma
empresa que promove segurança da informação, o plano de segurança não é
tratado como deveria.
As respostas do questionário técnico evidenciam a preocupação do departamento
técnico para minimizar os riscos e adotam medidas básicas para garantir o mínimo
de segurança como uso de firewall, vpn, ocultamento das redes wireless, políticas
de formação de senha e tentam conscientizar os usuários quanto ao sigilo de
determinadas informações.
As medidas adotadas pela empresa tem por plano que os ataques aconteceram
sempre do ambiente externo ao ambiente interno e assim como as outras empresas
a Mobiliadora Universal encontra-se vulnerável a ataques acontecem de dentro da
rede local.
Clube Atlético Mineiro
O Clube Atlético Mineiro é um dos maiores clubes de futebol do Brasil, fundado em
1908 possui na sua sede um centro de processamento de dados composto por dois
servidores e trinta e cinco estação de trabalho, o clube procura reduzir custo nesta
área devido aos problemas internos que este passa atualmente.
O entrevistado foi o gerente da área de tecnologia Admilson Rodrigues. Ele atua
nesta área a mais de 10 anos configurando, planejando e desenvolvendo soluções
para a área, possui grande domínio em Clipper onde desenvolveu vários softwares
de gestão empresarial.
O clube possui uma rede que integra o Centro de Treinamento, os clubes e a sede
administrativa, isto através de links dinâmicos e scripts de nos proxies de
46
comunicações que refazem a conexão em caso de queda. Todos os servidores
conectados na internet estão com firewall e regras que bloqueiam o acesso de
tentativas de acesso mal sucedidas.
Rádios wireless proveem conexão aos dispositivos móveis dentro das dependências
dos clubes, centro de treinamento e sede administrativa e que o uso de chaves de
acessos existem em todos os sites mas o nível varia para cada ponto, a senha de
acesso é de conhecimento de todos. Segundo ele existe uma preocupação muito
grande por parte da equipe de TI do mandar e segurança das informações, apesar
de não existir um comitê para criar e gerir procedimentos de segurança da
informação.
Na rede do centro de treinamento existe divisões de redes, separada o acesso do
futebol profissional dos de base, mas não existe nenhum monitoramento ou regras
de firewall entre elas. Nos demais site não existe divisões na rede, sendo que
fornecedores, repórteres e parceiros utilizam a mesma rede que o funcionários
trafegam os dados importante e alguns sigilosos.
Apesar da experiência incontestável do Sr. Admilson e já ter ouvido falar de métodos
como Man in the Middle, ele não sabia na prática como o ataque acontecia e
consequentemente não saberia criar contramedida. Apesar do clube ter mais
recursos que os escritórios anteriores e possuir uma rede de computadores bem
maior, ele também estaria vulnerável aos do mesmo modo que os outros.
Phoenix Engenharia de Software
A empresa conta com 17 anos de experiência no mercado de informática. Empresa
pioneira no desenvolvimento, manutenção e operação integrada de serviços na web,
oferece soluções inéditas e surpreendentes para atender com rigor e exatidão as
necessidades de pessoas e organizações.
O entrevistado foi seu diretor, Augusto Modesto, que dentre os entrevistados foi que
transmitiu maior conhecimento e consciência da importância sobre a gestão de
47
tecnologia da informação, muito provavelmente devido ao seguimento de seu
empresa.
Na entrevista e no questionário técnico foi mostrado um cenários incomum para um
empresa de pequeno porte, mas que é a tendência mundial, a locação dos
servidores em Data Centers. O produto desenvolvido pela empresa é todo web,
inclusive o ambiente de desenvolvimento, assim com foco na flexibilidade,
mobilidade, agilidade e segurança, o Sr. Augusto transferiu toda sua estrutura para
um Data Center, assim ele aumentou a disponibilidade do serviço, reduziu custos de
manutenção de infraestrutura e garantiu a segurança dos dados por um equipe
especializada. Neste cenário vemos outra coisa incomum para um empresa deste
tamanho, todos os equipamentos tem seus licenças legalizadas e
consequentemente os sistemas são devidamente atualizados, por não existir
restrições das licenças.
Por outro lado percebesse um descuido quanto à segurança na rede local cujo
acesso por ela é possível obter de forma obscura usuários e senhas dos acesos ao
Data Center e consequentemente acesso a fontes e modelos de banco de dados.
Por não existir um servidor na rede local relatórios e outros documentos são de
responsabilidade de manutenção dos usuários e não existe um controle de backup
destes dados. Na entrevista o Sr. Augusto aponta um brecha crítica de segurança, a
sua rede wireless, que além de não ter o SSID oculto e alterado, está com WEP. A
criptografia fraca permite acesso a rede local deixando a empresa suscetível, como
as outras empresas entrevistadas, a ataques de Man in the Middle.
Das empresas entrevistadas, a Phoenix foi a que melhor se mostrou preparada e
apta as mudanças e riscos dos ambientas, foi a única que mostrou preocupada em
garantir a segurança de seus dados e de seus clientes. A sua área de TI, apesar de
terceirizada, tem papel estratégico em seu negócio e é sempre consultada quando
existe uma necessidade de mudança e expansão no negócio.
O Sr. Augusto respondeu que a preocupação com a segurança é uma preocupação
primária e que existe dentro da empresa um comitê de segurança formado, com
papéis definidos e que ajudam nesta manutenção.
48
6 CONSIDERAÇÕES FINAIS
As entrevistas mostram a percepção das empresas e das áreas de tecnologia
quanto o assunto é segurança da informação e considerando os objetivos propostos
no primeiro capítulo deste trabalho:
Identificar quais empresas tem consciência sobre gestão de risco.
Identificar se através dos questionários para quais ataques as empresas
estão mais suscetíveis.
Identificar quais empresas conseguem quantificar o valor do bem
informacional.
Identificar quais empresas apresentam evolução e melhoria contínua na área
de segurança.
Conclui-se, que das empresas entrevistadas, segurança da informação é um
assunto tratado com diversas perspectivas e prioridades. Dos empresários
entrevistados, a maioria não entendem os riscos para o negócio e adoptam somente
práticas, procedimentos e ferramentas básicas para prevenir e promover o mínimo
de segurança, nenhuma das entrevistas possuem gestão de risco ou qualquer plano
de continuidade de negócio.
As empresas possuem uma preocupação, muito grande, somente em ter um meio
de voltar os dados em caso de perda, assim o primeiro ponto abordado pela maioria
foi o backup como procedimento primário e somente depois vem a preocupação de
prevenir o acesso à informação por meio externo. Somente a Phoenix, que tem a
preocupação em manter e desenvolver procedimentos que garantam a continuidade
do negócio e foi somente ela que trata a área de TI como uma área estratégica
enquanto todas as outras tratam como suporte.
A Análise de Impacto no Negócio (BIA) admite que a análise seja realizada somente
tendo em vista os stakeholders internos da empresa em não os externos, partindo
da premissa que empresas de grande porte adotam análise de risco e procuram
direcionar-se através das melhores práticas e que em um cenário globalizado
empresas de grande e pequeno porte podem compartilhar de informações sigilosas,
49
a omissão das empresas de porte menor sobre a importância de se fazer uma
análise de risco e principalmente adotar procedimentos seguros pode colocar em
risco todo o projeto de segurança realizado por grandes corporações. O inverso
também é verdadeiro quando pensamos que grandes corporações podem ignorar os
cenários encontrados em empresas de menor porte, pelo simples fato que
metodologia como a Análise de Impacto da Empresa (BIA) enumera que deve
centralizar a análise internamente.
Seguindo a linha de raciocínio que o elo fraco na gestão de segurança é o fator
humano e que nas empresas entrevistadas este fator não faz parte de decisões
quando adoptado algum método de segurança e que só foi possível ver o uso de
estratégias tecnológicas é possível concluir que as empresas de pequeno e médio
porte são o elo fraco dentro da cadeia de gestão de segurança da tecnologia da
informação. Sabendo deste fato e que a informação é volátil e que pode estar
disponível em vários lugares ao mesmo tempo, nos remete a um ambiente
interessante. Um projeto de segurança de uma grande empresa pode ter sérias
falhas de segurança se não for levado em consideração quais informações estarão
de posse de seus parceiros e quais os níveis de segurança de estes possuem.
Das empresas entrevistas todas elas possuem rede wireless visível e nunca
alteraram o SSID, os rádios usados são domésticos e fecham conexão em WPA/
WPA2, permitindo que o atacante gerasse uma Rainbow Table e acessasse a rede
local pela radio. Dentro da rede ele poderia executar o método Man In The Middle
para redirecionar os pacotes para seu computador e então obter informações como
senhas. O ataque de Man in The Middle também seria possível executá-lo associado
com técnicas de Engenharia Social se passando por fornecedores ou possíveis
clientes, tendo acesso as redes cabeadas ou wireless. Isto se dá porque nenhuma
das empresas possuem redes separadas de visitantes e permitem que visitantes
acessem a redes corporativa para usufruir da internet. Podemos concluir que todas
as empresas entrevistadas possuem redes locais vulneráveis.
Novamente somente a empresa Phoenix sabia o real valor da informação dentro de
sua organização e conseguia contabilizar isto, ao ponto de definir que era mais
prudente tirar de dentro as organização a gestão destas informações críticas e
50
deixá-las para gestão de uma equipe qualificada, esta estratégia vai além do valor
dado a sua informação esta vinculada a continuidade do negócio. As demais
empresas não tem mensurado o valor da informação e acreditam estar promovendo
continuidade TI através de simples estratégias de backup e não promovem
continuidade de negócio. Não existe continuidade de TI sem continuidade de
negócio e esta falsa sensação trazem grandes prejuízos a estas empresas quando
um incidente ocorre.
Alguns dos entrevistados conheciam os ataques e as possibilidades na teoria,
somente a empresa Phoenix possuía um comitê de segurança desenvolvido, as
demais deixavam por conta da área de TI ou não possuíam, assim concluo que a
Phoenix que estava preparada para responder de forma efetiva a algumas ameaças,
mas as demais tinham respostas somente reativas.
A reação reativa é algo que se percebe em vários cenários, mesmo quando o risco é
conhecido, esta atitude está atreladas a um fator cultura, seja da empresa ou da
região, não é comum vermos empreendedores brasileiro de pequeno e médio porte
adotando medias preventivas.
É um fato que empresas de menor porte não estão preparadas para garantir a
segurança de sua informação e principalmente de parceiros maiores. Isto acontece,
nem tanto pela tecnologia adotada, mas pela postura empresarial e consciência do
micro empreendedor em relação à importância dada à informação. Metodologias de
Gestão de Projetos, especificamente a Gestão de Risco, não fazem parte do
cotidiano e cultura do pequeno empreendedor e esta postura podem impactar
diretamente na eficácia dos resultados de projetos de segurança que não levam ou
levantam possibilidades nos cenários dos Stakeholders por onde as informações
iram transitar.
Neste contexto, as entrevistas demostram que as empresas de pequeno e médio
porte são vulneráveis quando o assunto é manter suas informações seguras, os
resultados corroboram com outras experiências empíricas vividas com outras
empresas visitadas ao longo da minha vida profissional e que não fizeram parte das
entrevistas.
51
A formação do comitê de segurança permite que todas as áreas, ou pelo menos as
mais importantes para o negócio, estejam presentes permitindo que o processo de
segurança seja desenhado sem engessar a organização e torná-la improdutiva.
A adoção de firewall, acesso por nível de usuário, antivírus, isto é mínimo que se
espera de qualquer empresa, mas pesquisas mostram que a maioria dos ataques
vem no ambiente interno, assim é necessário que as empresas quebrem a crença
de investimento em tecnologia é somente para grandes corporações porque não e
na verdade elas estão totalmente vulneráveis.
Empresas de grande porte, principalmente as do mercado financeiro e alta
tecnologia, possuem a cultura de sistematizar e implantar comitês de segurança
para gerir os acessos às informações sejam eles acessados de forma física quanto
de forma eletrônica, porém a mesma informação pode estar disponível em vários
formatos e em vários lugares ao mesmo tempo e é devido a esta característica, que
mapear os caminhos percorridos pela informação é uma tarefa extremamente difícil;
dando à gestão de risco e procedimentos de segurança um maior nível de
importância a estes planejamentos.
O estudo visto de um do ponto de vista da metodologia de gestão de projetos junto
com as metodologias de segurança da informação mostrou um caminho que Gestão
Risco remete a segurança. A gestão de risco, tanto em projetos quanto em
segurança da tecnologia da informação, visa trazer segurança ao bem, no caso de
projeto é na maior parte das vezes a conclusão dos pacotes de trabalho dentro do
escopo, prazo e custos planejados.
No auxílio à tomada de decisão o método do Cynefin torna-se uma ferramenta de
extrema utilidade auxiliando o gestor a classificar melhor o cenário. Desta forma a
estratégia de resposta e até mesmo as estratégias de gestão podem ser melhores
direcionadas. Um exemplo de uso do Cynefin seria classificar o ambiente das
empresas de menor porte colocando-os em cada quadrante, com isto o gestor tem
um embasamento teórico para dizer que determinadas empresas não tem uma
solução aparente a ser tomada, sendo estas as empresas classificadas nos
quadrantes da esquerda, complexo e caótico.
52
Neste sentido é importante que empresas de menor porte comecem a conscientizar
que as informações sigilosas e importantes de seus clientes e parceiros trafegam em
suas redes e segurança da informação vai além de equipamentos eletrônicos e
computadores, conhecer o bem informacional e seu valor é crucial para que se dê a
devida importância a sua gestão e consciência que na cadeia que a informação
percorre empresas deste porte tão importantes quantos as grandes corporações.
As grandes corporações por sua vez são convidadas e refletir em seus projetos
levando em consideração não somente o ambiente em que elas estão expostas,
mas também as que seus Stakeholders também estão. Seguindo o raciocínio que
Gestão de Risco em projetos promove a segurança no projeto deixando-o mais
preparado a responder as ameaças. Em projetos de segurança da informação o
ambiente no qual os stakeholders estão expostos é matéria de gestão por parte do
GP, sendo que neste tipo de projeto a exposição dos stakeholders pode interferir
diretamente em seu sucesso.
.
53
REFERÊNCIAS
BRITO, Osias Santana. Gestão de Riscos: Uma abordagem orientada a riscos
operacionais. São Paulo: Saraiva, 2007.
DAYCHOUM, Merhi. Gerência de Projetos: Programa Delegacia Legal. 1ªEd. Rio
de Janeiro: Brasport, 2005.
DINSMORE, Paul C. AMA: Manual de gerenciamento de projetos. 1ªEd. Rio de
Janeiro: Brasport, 2009.
DIÓGENES, Yuri ; MAUSER, Daniel, Certificação Security + Da Prática para o Exame SYO-301. Rio de Janeiro: Novaterra, 2011.
DULANEY, Emmet. Comptia Security + Study Guide. 5ª Ed. Canada: Wiley
Publishing, 2011.
GALVÃO, M. Análise Quantitativa de Riscos com Simulação de Monte Carlo.
Mundo PM. Curitiba, 2005. Disponível em: <http://www.mundopm.com.br/download/
montecarlo.pdf> Acesso em: 17 fev. 2013.
LAUDON, Kenneth C. e LAUDON, Jane Price. Gerenciando Sistemas de Informação. Rio de Janeiro: Ed. LTC, 1999.
KEZNER, Harold, Gestão de Projetos. 2ª Ed. Porto Alegre: Bookman, 2006.
MAGALHAES, Ivan Luizio e PINHEIRO, Walfrido Brito, Gerenciamento de Serviços de TI na Prática, São Paulo: Novatec, 2007.
54
MITNICK, Kevin D. e SIMON, Willian L. A Arte de Enganar. São Paulo: Ed. Makron
Books, 2005.
OFFICE GOVERNMENT COMMERCE. Managing Successful Projects with PRINCE2. 6ª Ed. United Kington: TSO, 2009.
PADOVEZE, Clóvis Luís; BERTOLUCCI, Ricardo Galinari. Gerenciamento do Risco Corporativo em Controladoria. 2ª Ed. São Paulo: Cengage Learning, 2009.
PASSOS, Maria Luiza Gomes de Souza. Gerenciamento de projetos para pequenas empresas: combinando boas práticas com simplicidade. 1ªEd. Rio de
Janeiro: Brasport, 2008.
POSSI, Marcus. Gerenciamento de Projetos: Guia do Profissional. Volume 3 - Fundamentos Técnicos. 1ªEd. Rio de Janeiro: Brasport, 2006.
PROJECT MANAGEMENT INSTITUTE. PMBoK: Um Guia do Conhecimento em
Gerenciamento de Projetos. 4ª Ed. EUA: Mix Paper, 2008.
SÊMOLA, Marcos. Gestão da Segurança da Informação: Uma Visão Executiva.
Rio de Janeiro: Ed. Campus, 2003.
SNOWDEN, David J.; BOONE, Mary E., A Leader's Framework for Decision Making,
Harvard Business Review, 2007.
STAIR, Ralph M.; REYNOLDS George W. Princípios de Sistemas de Informação: Uma Abordagem Gerencial. São Paulo: Ed. Pioneira Thompson Learning, 2006.
55
TAN, Ding, Quantitative Risk Analisys Step-By-Step. Versão 1.4b. SANS Institute,
2002. Disponível em: <http://www.sans.org/reading_room/whitepapers/auditing/
quantitative-risk-analysis-step-by-step_849> Acesso em: 15 fev. 2013
56
ANEXO 1 – ENGENHARIA SOCIAL
Certa vez esta em um restaurante com Henry e seu pai. Durante a conversa, Henry
respondeu seu pai por dar o número de seu cartão de crédito como quem dá o
número do telefone. ”É claro que tem que dar o número do seu cartão quando
compra alguma coisa.”, ele dizia. “Mas dá-lo em uma loja que arquiva o seu número
em seus arquivos – isso é burrice.”
“O único lugar em que faço isso é na Studio Vídeo”, disse o Sr. Conklin, referindo-se
a mesma cadeia de locadoras de vídeo. “mas verifico a minha fatura todos os
meses. Eu percebo se eles começaram aumentar a conta.”
“É claro”, salientou Henry, “mas depois que eles tem seu número, qualquer pessoas
pode roubá-lo.”
“Você se refere a um funcionário desonesto?”
“Não, qualquer pessoa e não apenas um funcionário.”
“Você está dizendo bobagens”, retrucou o Sr Coklin.
“Posso ligar agora mesmo e fazer com que eles me deem o número do seu cartão
Visa”, respondeu Henry.
“Não, você não pode”, afirmou o pai.
“Posso fazer isso em cinco minutos, bem na sua frente sem nem ter de sair da
mesa.”
O Sr. Coklin olhou firme, o olhar de alguém que se sentia seguro, mas que não
queria mostrar isso. ”Digo que você não saber do que está falando”, desafiou,
tirando do bolso a carteira e jogando uma nota de 50 dólares na mesa. ”Se fizer o
que está dizendo, o dinheiro é seu.”
“Não quero seu dinheiro pai”, disse Henry.
Ele pegou o telefone celular, perguntou ao pai qual era a loja e ligou para o Auxílio à
Lista pedindo o número de telefone e também o número da loja da região de
57
Sherman Oaks.
Em seguida, ligou para a loja de Sherman Oaks. (...) ele rapidamente conseguiu o
nome do gerente e o número da loja.
Ligou para a loja que seu pai tinha a conta. Ele usou o velho truque de se fazer
passar pelo gerente, deu o nome do gerente com o seu próprio e o número da loja
que havia obtido. Tornou a usar o mesmo truque: ”Os seus computadores estão
funcionando hoje? Os nossos às vezes funcionam, às vezes não. ”Ouviu a resposta
e continuou: ”Bem, tenho um dos seus clientes aqui comigo e ele quer alugar um
vídeo, mas os nossos computadores estão fora do ar agora. Preciso ver a conta do
cliente e ter certeza de que ele é um cliente da sua loja.”
Henry deu o nome do seu pai. Em seguida, usando apenas uma pequena variação
da técnica, pediu para elas ler as informações da conta: endereço, número de
telefone e a data em que a conta foi aberta. Depois disse: ”Ouça, estou com um fila
enorme de cliente aqui. Qual o número do cartão de crédito e a data de
vencimento?”
Henry segurou o celular no ouvido com uma das mãos e com a outra escreveu em
um guardanapo de papel. Ao terminar a ligação, ele colocou o guardanapo na frente
do pai, que ficou olhando para o número de boca aberta. O pobre senhor parecia
totalmente chocado, como se todo o seu sistema de confiança tivesse do por água
abaixo. (MITNICK, A Arte de Enganar, p. 36 – 37).
58