GR TIPS

Nas próximas semanas a ABNT - Associação Brasileira de Normas Técnicas - estará lançando uma nova norma que estabelece o processo, os princípios e a terminologia da Gestão de Continuidade de Negócios (GCN). Trata-se da norma ABNT NBR 15999-1.

O evento terá a forma de um seminário que apresentará a atual situação brasileira e os passos para adoção da ISO 31000 como norma brasileira além do lançamento propriamente dito da norma ABNT NBR 15999-1:2007 Parte 1 - Código de Prática.

O seminário será realizado no Rio de Janeiro, em Belo Horizonte e em São Paulo.

Maiores informações podem ser encontradas neste link e para se inscrever diretamente no seminário clique aqui.

No próximo dia 26 de maio será publicado pela ISO (International Organization for Standardization) um novo padrão para a Governança de TI. Trata-se da ISO/IEC 38500.

Alguns domínios relativos à Governança de TI já possuem padrões e/ou normas associados. Temos a ISO 20000 relativa ao Gerenciamento de Serviços de TI, a ISO 27001 sobre segurança e também a ISO 9000 relativa à qualidade de processos. Todavia, a organização internacional reconheceu a necessidade da definição de um novo padrão.

Baseado em um padrão australiano (AS8015) a ISO/IEC 38500 cobrirá os aspectos relacionados à Governança Corporativa de TI. O padrão AS8015 provê seis princípios orientadores para o estabelecimento de uma boa governança corporativa e também para o uso aceitável, eficiente e efetivo dos recursos de TI. São eles:

• Estabelecer responsabilidades facilmente compreensíveis para a TI;
• Planejar a TI para que ela ofereça o melhor suporte à organização;
• Validar as aquisições de TI;
• Garantir a melhor performance da TI sempre que necessário;
• Garantir a conformidade da TI junto às regras formais;
• Garantir que a utilização dos recursos de TI respeitem os fatores humanos.

No link abaixo você pode encontrar mais informações a respeito do padrão AS8015.

http://www.ramin.com.au/itgovernance/as8015.html

A McAfee publicou a poucos dias uma cartilha com orientações sobre segurança na Internet voltada para crianças e o público jovem.

De forma bem didática a cartilha apresenta dicas sobre as melhores formas de orientar nossos filhos em suas aventuras pelo espaço virtual. É uma leitura rápida, de fácil entendimento e com alguns conselhos bastante úteis. Vale a pena conferir.

Hoje me deparei com um artigo publicado na seção sobre o Mercado do site Computerworld classificado por mim no mínimo como instigante: novos dispositivos que possibilitam o acesso à internet como o Iphone e o Xbox seriam capazes de decretar o fim da Web 2.0?

Tal questionamento foi formulado por Jonathan Zittrain, um especialista em direito digital, professor de governança e regulamentação da internet na Universidade de Oxford e co-fundador do Centro Berkman para Internet e Sociedade, da Escola de Direito de Harvard. Ele apresenta esta pergunta em seu novo livro “The Future of the Internet and How to Stop It”.

Os argumentos do autor são que tais dispositivos, por restringirem alterações em suas funcionalidades por parte de seus  usuários , desincentivariam processos inovativos como os que nós presenciamos quase que diariamente no ambiente da Web nos dias atuais. Segundo ele, muitas das inovações existentes hoje somente foram possíveis graças ao aspecto aberto dos atuais dispositivos de acesso à internet: os computadores.

Zittrain atribui ainda à todos os responsáveis ou envolvidos com a cibersegurança um importante papel na tentativa de se evitar a concretização de sua indagação. Para ele, os problemas relativos à segurança, ou à falta dela, é que estariam direcionando os fabricantes destes novos dispositivos a torná-los cada vez mais fechados e restritivos.

Muitos dos argumentos apresentados pelo autor são válidos. Mas da minha leitura, concluo com uma argumentação inversa: Não seria justamente o caráter aberto, inovativo, democrático e colaborativo da Web 2.0 determinante para o sucesso ou fracasso de uma nova tecnologia que possibilite o acesso ao seu conteúdo?

Na minha opinião, existem nichos diferenciados para ocorrência simultânea destes dois cenários no mundo virtual.  Tomando como exemplo um dos dispositivos considerados por Zittrain: o Iphone. À despeito de seu restritivo custo, pelo menos para nós brasileiros, a inovadora interface, a facilidade de uso e a segurança do Iphone estariam mais orientados para o usuário que realmente não se preocupa muito com questões relativas à segurança. Ele deseja um dispositivo simples de manejar e que possibilite o acesso da forma mais básica possível aos aplicativos e funções de seu interesse. Se ele cumpre, com relativa facilidade, todas as tarefas a que se propõe então está mais do que adequado.

Agora, para aqueles aficionados por tecnologia, aqueles que realmente constroem e evoluem a internet, realmente nenhuma restrição é bem vinda. Tanto é assim, e graças em grande parte à este ambiente colaborativo, é que a maioria dos bloqueios do Iphone foram removidos. Hoje podemos utilizar o dispositivo com quase nenhuma restrição. E amanhã? Amanhã quem sabe novas inovações, funcionalidades ou até mesmo dispositivos não serão gerados graças à colaboração propiciada por este novo mundo? As questões relativas à segurança no ambiente mais aberto continuarão a existir sim. Mas com certeza, as mesmas mentes inovadoras criarão novas soluções para estes desafios.

Por isso, creio que não exista nada paradoxal entre segurança e evolução. O que deve existir sim, é uma grande interdependência entre estes dois conceitos para que a Web continue um ambiente aberto a qualquer um, sem restrição, sem medo e com muita inovação.

E você? O que acha?

“Petrobrás sofre roubo de dados sigilosos”

“Hannaford Data Breach Blamed On Malware - Roubo de 4.2 milhões de números de cartões de crédito e débito”

“HSBC perde disco com informações de 370 mil clientes”

“Casa civil investiga furto de dados em laptop”

Estes são apenas alguns exemplos recentes que colocam em cheque as práticas relativas à Gestão de Riscos. Vemos aqui organizações de diversos portes, algumas com investimentos da ordem de milhões de dólares em segurança da informação, que encontram-se em situações embaraçosas ao ver informações valiosíssimas nas mãos de terceiros.

Estudos também recentes demonstram que a era do amadorismo e das tentativas de invasões e roubo de informações por simples prazer já ficou para trás. Os objetivos, as ferramentas e as táticas atuais são mais profissionais. Espionagem industrial, motivações políticas e retorno financeiro ascenderam no ranking das razões pelas quais os indivíduos, bastante capacitados por sinal, procuram transgredir as boas regras e práticas vigentes.

Será que os gestores responsáveis pela segurança da informação estão se preparando com a mesma habilidade, competência e velocidade destes transgressores? E os processos? Foram bem definidos? Têm sua execução monitorada? Qual o elo mais fraco? Pessoas ou processos? Dê sua opinião.

Como uma última ilustração e referência, clique aqui e veja uma relação cronológica das principais falhas de segurança ocorridas somente nos Estados Unidos elaborada pelo site Privacy Rights.

No esforço de tentar clarificar e ampliar a consistência dos conceitos relativos ao Gerenciamento de Riscos em TI, a companhia de pesquisas Forrester, está desenvolvendo um framework voltado à esta disciplina. De acordo com um post publicado por Marc Othersen, o novo framework auxiliará as organizações na identificação das áreas de maior risco, no desenvolvimento de cenários relacionando os riscos e seus controles e também no estabelecimento de uma linguagem comum visando à uma comunicação mais efetiva com a alta administração.

Muitos princípios do framework COSO estão sendo considerados neste desenvolvimento. O framework está sendo baseado também por disciplinas/atividades como a identificação de eventos, avaliação de riscos, resposta a incidentes e atividades de controle. O contexto junto à TI é estabelecido pela utilização da disciplina de Entrega de Serviços da Biblioteca ITIL. Os serviços de TI são utilizados para identificar os eventos de risco. Cenários são então desenvolvidos para cada risco identificado esboçando desta forma as ações necessárias para compreender o risco. Controles são mapeados para cada cenário com o objetivo de detectar ou prevenir determinadas ações.

Depois de um breve, merecido e prazeroso período de descanso, estou de volta e às voltas com a leitura dos novos livros da versão 3 da Biblioteca ITIL. São muitos conceitos e focos novos, que exigem uma assimilação mais complexa e elaborada. Um dos novos conceitos que me chamou a atenção no primeiro livro - Service Strategy, ou Estratégia de Serviços - é o de “Gerenciamento da Demanda”.

No contexto da Tecnologia da Informação o Gerenciamento da Demanda é um processo que gerencia as complexas e estratégicas requisições de demandas originadas pelo negócio. Priorização, consolidação e escalonamento de requisições são algumas das atividades relativas a este processo. Ao executá-las de forma eficiente, amplia-se a colaboração entre os usuários do negócio e a área de TI, reduzem-se custos e acelera-se a resolução de problemas. Normalmente, esta é uma atividade pertencente ao Gerenciamento do Portifólio que é um processo que determina (e monitora) o quanto deve ser investido pela organização considerando as várias categorias de TI que suportam o negócio. Trata-se de um processo contínuo e iterativo que agrega demandas aos serviços de TI, descreve seus recursos necessários e também seus custos associados ao negócio e colabora para a otimização da distribuição dos recursos de TI ao longo do tempo. O Gerenciamento da Demanda é coberto normalmente pelas soluções de Gerenciamento de Portifólio ou de Gerenciamento de Requisições. Alguns exemplos destas soluções são Mercury ITG, Clarity (Niku) da CA, Compuware Changepoint e o Borland Tempo. Estas suítes enquadram-se mais na categoria de aplicações para PPM (Project and Portfolio Management) e seus fornecedores as associam ao Gerenciamento de Serviços de TI por diversas razões.

Na nova versão da biblioteca ITIL, o Gerenciamento da Demanda é parte da Estratégia de Serviços e apresenta um novo conceito. Nesta versão, os objetivos do Gerenciamento da Demanda é otimizar a utilização da capacidade produtiva através da transferência de determinadas cargas de trabalho para recursos (períodos de tempo, servidores, locais) menos utilizados. Este novo processo apresenta algumas características e conceitos:

• Gerenciamento da Demanda baseado na atividade - A análise e o registro dos padrões de atividade dos processos de negócio torna possível prever a demanda por ativos que suportam estes processos.
• No nível estratégico, o Gerenciamento da Demanda pode envolver a análise de “Padrões de Atividade de Negócios - Pattern of Business Activity (PBA)” e o perfil dos usuários. Cada perfil pode ser associado a um ou mais PBA.
• No nível tático ele pode envolver a utilização de cobrança diferenciada dos serviços, encorajando os clientes a utilizar os serviços de TI nos momentos de mais baixa carga.
• Pacotes de Serviços - Representam o valor que o cliente procura e para o qual está disposto a pagar.

Outros elementos chave, cujos conceitos ainda não estão bem claros para mim, no Gerenciamento de Demanda da ITIL V3 são:

o Core/supporting services

o Developing differentiated offerings

o Service Level Packages

o Advantage of core service packages

o Segmentation

Creio que novas leituras ainda serão necessárias para torná-los mais claros. Mas como todo bom blogueiro, aceito opiniões e comentários.

A Symantec publicou em 30 de janeiro o segundo volume de seu Relatório sobre Gerenciamento de Riscos de TI, entitulado “IT Risk Management – From Myth to Reality.” Neste relatório, são analisados os resultados de entrevistas com mais de 400 executivos de e profissionais de TI de todo o mundo durante o ano de 2007. Conforme já demonstra o próprio título, o relatório procura desmistificar alguns conceitos sobre o Gerenciamento de Riscos em TI.

Mito Um: Risco de TI = Risco de Segurança

Hoje, segurança é apenas um dos elementos quando se analisam os riscos associados à TI. São considerados ainda como fatores de risco, disponibilidade, conformidade e performance. E o relatório demonstra claramente que as pessoas realmente não acreditam mais neste mito. A maioria dos participantes (78 por cento) apontou que disponibilidade é hoje um dos aspectos mais importantes associado aos riscos de TI. Problemas de disponibilidade normalmente traduzem-se em graves problemas para os negócios da organização e também para seus parceiros. E neste sentido a adoção de melhores práticas (ITIL e COBIT por exemplo) tem auxiliado aos responsáveis pelos serviços de TI na compreensão do valor de sua contribuição ao negócio em uma visão mais ampla.

Mito Dois: O Gerenciamento de Riscos de TI é um Projeto

Um simples projeto não é capaz de endereçar todos os problemas relacionados ao gerenciamento de riscos. O gerenciamento de riscos de TI deve ser um processo contínuo. A ocorrência de incidentes não pode ser prevista, e os responsáveis pelos serviços de TI lidam com estes incidentes quase que diariamente. Uma visão mais holística nestes casos é necessária. De início, deve-se priorizar o que deve ser feito. Deve-se determinar quais riscos são aceitáveis. E isto passa pela compreensão de quais ativos e informações relativas à TI são importantes para o negócio. De acordo com o relatório, infelizmente, apenas 40 por cento das organizações demonstram considerar a classificação e o gerenciamento de ativos a sério.

Mito Três: A Tecnologia sozinha é capaz de mitigar os riscos de TI

De fato, o relatório demonstra que organizações que melhor gerenciam seus riscos são aquelas que conseguem balancear tecnologia com  processos e pessoas. O relatório aponta que em grande parte dos casos, incidentes de TI têm suas causas relacionadas a processos e não à uma determinada tecnologia. Conhecer onde suas informações e dados estão, de onde vêm e para onde devem ir é uma das formas de demonstrar conformidade e governança e também de se resguardar do vazamento de informações. De acordo com o relatório, atividades de treinamento por exemplo (fator pessoas) foram menos efetivamente implementadas (43 por cento) se comparadas ao resultado do Volume I (49 por cento). Tal conclusão não favorece uma mitigação efetiva de riscos, pois para isso é necessário o desenvolvimento de uma cultura de consciência destes (fatores processos e pessoas).

Mito Quatro: Gerenciamento de Riscos de TI é uma ciência

O relatório demonstra que, na realidade, lidamos com uma disciplina de desenvolvimento de negócios - baseada em experiências acumuladas e nas melhores práticas de todos os envolvidos - e não com uma ciência exata

E você? Concorda com as conclusões do relatório? Deixe seu comentário.

Segundo a Symantec o ataque já circula pela internet. Conforme boletim publicado em 22/01, foi identificado o primeiro caso real de ataque ‘drive-by pharming’.

O Pharming é uma técnica que utiliza o seqüestro ou a “contaminação” do DNS (Domain Name Server) para levar os usuários a um site falso, alterando o DNS do site de destino. O sistema também pode redirecionar os usuários para sites autênticos através de proxies controlados pelos phishers, que podem ser usados para monitorar e interceptar a digitação.

Os sites falsificados coletam números de cartões de crédito, nomes de contas, senhas e números de documentos. Isso é feito através da exibição de um pop-up para roubar a informação antes de levar o usuário ao site real. O programa mal-intencionado usa um certificado auto-assinado para fingir a autenticação e induzir o usuário a acreditar nele o bastante para inserir seus dados pessoais no site falsificado.

Outra forma de enganar o usuário é sobrepor a barra de endereço e status de navegador para induzi-lo a pensar que está no site legítimo e inserir suas informações.

A nova lista de dicas de artigos interessantes, abordando tópicos relacionados à Gestão de Riscos e Segurança, desta vez foi sugerida por meu amigo e colaborador Márcio D’Ávila (que por sinal também tem um excelente blog voltado a desenvolvedores). Comentários, críticas e sugestões de novos artigos são sempre bem vindos.

A seção sobre Governança no portal da Computerworld - IDG Brasil é uma boa leitura para quem se interessa pelo assunto: http://www.computerworld.com.br/governanca/
Indico também o download gratuito do Executive Briefing (Guia executivo para decisões estratégicas), em PDF - Chegou a Hora do ITIL 3.0:
http://computerworld.uol.com.br/governanca/2007/10/10/idglead.2007-10-10.3745400492/

As seções sobre Gestão e Infra-estrutura do portal também são úteis:
http://www.computerworld.com.br/gestao/
http://www.computerworld.com.br/infra_estrutura/

Por fim, outro portal da IDG Brasil com conteúdo relacionado
CIO - Estratégias de negócios e TI para líderes corporativos:
http://www.cio.com.br/