Incidentes e das Respostas

Transcrição

1 Universidade Católica Prtuguesa Faculdade de Engenharia Gestã d Cnheciment Incidentes e das Respstas Mdelaçã ds Francisc Manuel de Susa Canelas Lpes Dissertaçã para btençã de Grau de Mestre em Segurança em Sistemas de Infrmaçã Júri Prf. Dutr Rui Jrge Crreia Mendes Alves Pires (Presidente) Prfª. Dutra Helena Sfia Andrade Nunes Pereira Pint Prf. Dutr Tit Lívi ds Sants Silva (Orientadr) Nvembr de 2010

2

3 Universidade Católica Prtuguesa Faculdade de Engenharia Gestã d Cnheciment Incidentes e das Respstas Mdelaçã ds Francisc Manuel de Susa Canelas Lpes Dissertaçã para btençã de Grau de Mestre em Segurança em Sistemas de Infrmaçã Orientadr: Prf. Tit Sants Silva C-rientadr: Eng. Maria Raquel César Nvembr de 2010

4 ii

5 Resum Este trabalh pretende demnstrar que as plíticas de gestã de uma rganizaçã pdem ter influência directa na segurança de infrmaçã, nã bastand apenas recurs à tecnlgia para a sua eficaz prtecçã. Neste sentid a Gestã d Cnheciment pde cntribuir psitivamente, tend em cnta desenvlviment e a autnmia ds indivídus que integram e cnstituem a rganizaçã, estimuland a partilha da infrmaçã, a partilha d cnheciment e a aprendizagem. A cultura rganizacinal tem um papel determinante na partilha d cnheciment e na definiçã de pderes. É neste cntext que a Gestã de Incidentes pde cntribuir cm a detecçã, regist e investigaçã de incidentes que pdem auxiliar à mitigaçã de riscs, cntribuind para a inexistência de falhas parciais u mesm ttais. As plíticas de gestã cm incentivs u recriminações às ntificações de incidentes, assim cm a atribuiçã de recurss aprpriads às investigações destes, pdem ter resultads surpreendentes e prmissres espelhads neste trabalh, através d estud de variáveis cmprtamentais de gestã num mdel de simulaçã dinâmica. Palavras-chave: Segurança, Gestã de Incidentes, Infrmaçã, Risc, Sistemas Dinâmics iii

6 Abstract The purpse f this paper is t demnstrate that the plicies f management in an rganizatin can have a direct influence in the security f infrmatin, and that the technlgy by itself is nt enugh t prvide an efficient means f prtectin. In this sense, Knwledge Management can give a psitive cntributin, cnsidering the evlutin and the autnmy f the individuals that cnstitute the rganizatin, stimulating the sharing f infrmatin, the sharing f knwledge and learning. The rganizatinal culture has a decisive rle in sharing the knwledge and defining pwers. It is in this cntext that Incident Management can cntribute by detecting, registering and investigating incidents that might help minimizing risks and having a minimum f partial faults, r even ttal faults. Management plicies as incentives r recriminatins f incidents ntificatins, alng with the apprpriate attributin f adequate resurces when investigating them, can have surprising and prmising results, as we shw in this paper thrugh the study f management behaviral variables in a mdel f dynamic simulatin. Keywrds: Security, Incidents Management, Infrmatin, Risk, Dynamic Systems iv

7 Agradeciments À minha espsa Marina, pr td api dispnibilizad que permitiu uma dedicaçã incndicinal à elabraçã deste trabalh e as meus filhs Daniel e David que cmpreenderam a ausência d pai. As prfessres da FEUCP meu recnheciment, em especial as prfessres Raquel César e Tit Sants Silva, rientadres deste trabalh, e as clegas que cntribuíram cm seu cnheciment para meu enriqueciment técnic e human. A prfessr Finn Olav Sveen da Gjvik University Cllege da Nruega pr td suprte e api neste trabalh. v

8 vi

9 Índice 1. MOTIVAÇÃO, OBJECTIVOS E METODOLOGIA Mtivaçã Objectivs Metdlgia O ESTADO DA ARTE Nrmas e Bas Práticas Intrduçã CbiT ITIL Nrmas ISO e ISO Nrma ISO Cnclusã A Gestã de Incidentes na Industria Sectr Financeir Sectr alimentar O CERT Serviç de Respstas a Incidentes de Segurança Infrmática Sistemas Dinâmics Intrduçã Vantagens ds Sistemas Dinâmics Imprtância ds Sistemas Dinâmics Sftware de Sistemas Dinâmics Vensim PLE O Mdel Dinâmic de Gestã de Incidentes Intrduçã Os desafis rganizacinais Os sistemas de ntificaçã de incidentes de segurança cm um mdel de gestã de cnheciment segur Estrutura d mdel e pressupsts Aprendend cm s incidentes e events Mtivações para ntificar Investigaçã de incidentes e de events Validaçã d mdel O PROCESSO DE GESTÃO DE INCIDENTES Intrduçã Papéis e Respnsabilidades Fluxs de actividades Actividades d Prcess Detectar Incidente Classificar Incidente Analisar e Diagnsticar Reslver e Validar Fechar Incidente Mnitrizar, Cntrlar e Cmunicar Métricas de Qualidade de Serviç e Indicadres d Prcess Relaçã d Prcess cm Nrmas e Bas Práticas Mapeament d Prcess de Gestã de Incidentes cm Mdel Dinâmic EXECUÇÃO DA SIMULAÇÃO NO MODELO Descriçã d cenári Variáveis da simulaçã Apresentaçã e análise ds resultads Incentivs e Recriminações Recurss Inadequads...97 vii

10 Enfque da Gestã as Events (Management Fcus n Events) Efeits das Recriminações A Relaçã entre Incidentes e events Quantidade de Ntificaçã de Incidentes cm Indicadr de Incidentes Lições aprendidas CONCLUSÃO Trabalh Futur ANEXOS Anex I Detalhes ds prcesss CbiT v Anex II Estrutura d mdel CbiT Anex III - SGSI - Sistemas de Gestã da Segurança da Infrmaçã Anex IV Fluxs da Gestã de Incidentes Anex V Mdel de Gestã de Incidentes Anex VI Principais Fórmulas e Indicadres GLOSSÁRIO REFERÊNCIAS viii

11 Índice de Tabelas Tabela 1.1 Capítuls e cnteúds...4 Tabela 2.1 Tabela RACI...16 Tabela 2.2 Mdel de Maturidade d DS Tabela 2.3 Diferenças entre ISO e ISO Tabela Valres prpsts pr Basileia II...38 Tabela Papéis e Respnsabilidades...63 Tabela Métricas e Indicadres d Prcess...78 Tabela 3.3 Mapeament d Prcess cm Mdel Dinâmic...79 Tabela 4.1 Cenáris prpsts para a simulaçã...81 Tabela 4.2 Variáveis d cenári Reduçã das Recriminações...81 Tabela 4.3 Variáveis d cenári Increment ds Incentivs...82 Tabela 4.4 Variáveis d cenári Recurss Inadequads...82 Tabela 4.5 Variáveis d cenári Management Fcus Events...83 Tabela 4.6 Variáveis d cenári MFE Reduçã das Recriminações...83 Tabela 4.7 Variáveis d cenári MFE Increment ds Incentivs...84 ix

12 Índice de Figuras Figura Dmínis d CbiT...8 Figura 2.2 Inter-Relacinaments ds Cmpnentes de CbiT...9 Figura 2.3 Relaçã entre prcesss e cntrls n CbiT...10 Figura Interfaces e/u dependências d DS08 cm utrs prcesss...12 Figura 2.5 Requisits de negóci d Prcess DS Figura 2.6 Áreas de Fc d Prcess DS Figura 2.7- Service desk...22 Figura O cicl de vida d incidente...24 Figura Flux lógic d err à resluçã...25 Figura Hierarquizaçã ds capítuls da nrma ISO Figura Fluxs e tarefas da Gestã de Incidentes (ISO 18044)...34 Figura 2.12 Siti d CERT.PT na internet...44 Figura 2.13 Sftware de Sistemas Dinâmics Vensim PLE...46 Figura 2.14 Mdel d sistema de reprte de incidentes...52 Figura 2.15 Mdel d sistema de reprte de incidentes...52 Figura 2.16 Visã Glbal d Mdel d sistema de reprte de incidentes...53 Figura 3.1 Actividades de Input / Output d prcess...58 Figura Actividades Internas d Prcess...60 Figura Relaçã entre as actividades...60 Figura Relaçã ds papéis, respnsabilidades, actividades, inputs e utputs...65 Figura Simulaçã Fractin f Incidents...85 Figura Simulaçã Incident Rate...86 Figura Simulaçã Fractin f Reprted Incidents...87 Figura 4.4 Simulaçã Incident Reprting Rate...88 Figura 4.5 Simulaçã Reprting Recriminatins...89 Figura 4.6 Simulaçã Reprting Incentives...90 Figura 4.7 Simulaçã Quality f Investigatin...91 Figura 4.8 Simulaçã Average Quality f Investigatin...92 Figura 4.9 Simulaçã Fractin f Detected Events...93 Figura 4.10 Simulaçã Event Rate...94 Figura 4.11 Simulaçã Fractin f Reprted Events...95 Figura 4.12 Simulaçã Event Reprting Rate...96 Figura 6.1 Figura 6.2 Figura 6.3 Figura 6.4 Objectivs de cntrl e númer de actividade de cntrl d dmíni Planeament e Organizaçã (PO) Objectivs de cntrl e númer de actividades de cntrl d dmíni Aquisiçã e Implementaçã (AI) Objectivs de cntrl e númer de actividades de cntrl d dmíni Entrega e Suprte (DS) Objectivs de cntrl e númer de actividades de cntrl d dmíni Mnitrizaçã e Avaliaçã (ME) Figura Cub d CbiT (CbiT 4.1 Framewrk) Figura Mdel "Plan-D-Check-Act Figura 6.7 Fluxs da Gestã de Incidentes na Segurança da Infrmaçã Figura 6.8 Detalhe d Mdel de Gestã de Incidentes x

13 xi

14 Abreviaturas Abreviaturas Descriçã AC AG AI BSI CAA CERT CIA-NR CMDB CbiT COSO COSO ERM DS FCCN FEUCP IEC ISACA ISIRT ISO ITIL KGI KPI ME MIT NIST PDCA Cntrls Aplicacinais Anmalia Grave Aquisiçã e Implementaçã British Standards Institute Civil Aernautics Administratin-Taiwan Serviç de Respsta a Incidentes de Segurança Infrmática Cnfidencialidade, Integridade, Dispnibilidade e Nã-Repudi Change Management DataBase Cntrl Objectives fr Infrmatin and Related Technlgy Cmmittee f Spnsring Organizatins COSO Enterprise Risk Management Entrega e Suprte Fundaçã para a Cmputaçã Científica Nacinal Faculdade de Engenharia Universidade Católica Prtuguesa Cmissã Eletrtécnica Internacinal Infrmatin Systems Audit and Cntrl Assciatin Infrmatin Security Incident Respnse Team Organizaçã Internatinal de Nrmalizaçã Infrmatin Technlgy Infrastructure Library Key Gal Indicatr Key Perfrmance Indicatr Mnitrizaçã e Avaliaçã Massachusetts Institute f Technlgy Natinal Institute f Standards and Technlgy Plan-D-Check-Act xii

15 PC PO RACI RCTS RFC SEI SGSI SI Cntrls de Prcess Planeament e Organizaçã Matriz de Atribuiçã de Respnsabilidades (Respnsável, Autridade, Cnsultad, Infrmad) Rede Ciência, Tecnlgia e Sciedade Request Fr Change Sftware Engineering Institute Sistema de Gestã de Segurança da Infrmaçã Sistemas de Infrmaçã SLA Service Level Agreement Acrd de Nível de Serviç SOA SW-CMM TI TIC Statement f Applicability Capability Maturity Mdel fr Sftware Tecnlgia de Infrmaçã Tecnlgias de Infrmaçã e Cmunicaçã xiii

16 xiv

17 1. MOTIVAÇÃO, OBJECTIVOS E METODOLOGIA 1.1. Mtivaçã A elabraçã deste trabalh é mtivada pr uma questã que se clca e à qual irei apresentar uma respsta: Precisams de sistemas de aprendizagem de incidentes na segurança da infrmaçã? Muitas indústrias e empresas individuais têm implementad cm sucess sistemas de ntificaçã de incidentes de segurança. A Nrsk Hydr, uma das principais empresas nrueguesas de energia, fi uma das primeiras a intrduzir este tip de sistemas cm bns resultads (Jnes et al., 1999). Ns últims ans, a indústria ds cuidads de saúde viu uma invasã ds sistemas de ntificaçã de incidentes de segurança, embra cm resultads mists (James, 2003; Nyssen et al., 2004; Stanhpe et al., 1999). Mesm assim, nã há grandes dúvidas de que s sistemas de ntificaçã de incidentes de segurança têm cntribuíd significativamente para uma melhria da segurança. Será um sistema de ntificaçã que abrange tda uma rganizaçã, u mesm até tda uma indústria, necessári à implementaçã cm sucess da segurança da infrmaçã? Schneier (2000), numa frase apaixnada, cmpara a situaçã frustrante da ntificaçã de dads da ciber-segurança cm sucess ds sistemas de ntificaçã da segurança aérea. Gnzalez (2005) ferece mais arguments n sentid da necessidade de um tal sistema, dand enfque à ntificaçã de incidentes cm um prcess de melhria de qualidade. A necessidade da partilha de infrmaçã nã é alg de descnhecid na área da infrmaçã de segurança. A implementaçã ds Centrs de Análise e Partilha de Infrmaçã (ISACS) fi encrajada pel gvern american (Gal-Or e Ghse, 2005). N entant, existem bstáculs cm a tendência das rganizações para deixa-andar (Grdn et al,. 2003) e incentivs distrcids (Andersn, 2001), que surgem, entre utrs factres, da descntinuidade entre as necessidades d negóci e a segurança. Davenprt e Pruzak (1998) falam ds mercads de cnheciment. Eles vêem a empresa cm tend um mercad intern de cnheciment, que cnsiste em vendedres, cmpradres e intermediáris. A dispnibilidade de um vendedr em partilhar infrmaçã depende de três cndições: (1) Reciprcidade, u seja, a expectativa de vantagens futuras na partilhar a infrmaçã agra. (2) Ntriedade, u seja, trnar-se cnhecid cm alguém experiente, infrmad, e d estatut que iss implica. (3) Altruísm, u seja partilhar só pel desej de ajudar. A alargarms estes cnceits às interacções inter-rganizacinais, 1

18 pdems inferir que as cmpanhias nã irã partilhar seu cnheciment se nã virem vantagem niss. Além diss, é puc prvável que rganizações cmerciais partilhem seu cnheciment pr ntriedade u altruísm. O estad da segurança da infrmaçã é relativamente imatur quand cmparad cm estad da segurança nutras industrias. N camp da segurança da industria, existem numerss sistemas de ntificaçã, frequentemente mandatads pr lei, u se nã directamente pr lei, pr intensa pressã plítica. Talvez nã vejams sistemas de ntificaçã de incidentes cmpletamente funcinais antes de uma intervençã gvernamental, u de uma ameaça de intervençã gvernamental. Outra razã para uma adpçã relativamente lenta ds sistemas de ntificaçã de incidentes pderá ser enfque exclusivamente na segurança da infrmaçã cm uma questã técnica. Os clabradres nã-técnics sã, frequentemente, mantids cmpletamente fra d cicl e têm, pel cntrári, de usar um cnjunt de regras pré-estabelecidas. Tdavia, esta é uma abrdagem limitada à frmaçã ds utilizadres. a regulaçã d cmprtament depende de muits utrs aspects, que nã apenas da quantidade de frmaçã dada a utilizadr (Görling, 2006). Os utilizadres têm de ser mantids n cicl ; só aí será evidente a necessidade e utilidade n cumpriment das regras definidas pels especialistas da segurança da infrmaçã Objectivs Esta dissertaçã tem cm bjectiv estud d efeit de certas variáveis de gestã n desempenh das rganizações, a nível da segurança da infrmaçã, medid pela taxa de crrência de incidentes. Para essa análise utiliza-se mdel de events e incidentes de segurança da infrmaçã, que incrpra de frma quantitativa efeit das plíticas adptadas pela gestã. As variáveis de gestã analisadas reflectem plíticas de incentivs adptadas, empenh demnstrad pela gestã n tratament ds events de segurança de infrmaçã e a atribuiçã de recurss cmpetentes e cm cnheciments para investigar s events u incidentes. A nível das plíticas de incentivs, prcura-se avaliar s efeits prduzids pela adpçã de estratégias distintas n tratament da ntificaçã de incidentes, distinguind entre plíticas de recriminaçã de ntificaçã de incidentes versus plíticas de refrç psitiv. Neste sentid, usa-se um mdel dinâmic de gestã de incidentes que tem pr base as nrmas e bas práticas da segurança de infrmaçã. É analisad cmprtament deste mdel sb a acçã de variáveis exógenas que reflectem as variáveis de gestã em estud, 2

19 prcurand extrair cnclusões sbre principal impact que estas variações pdem gerar na segurança da infrmaçã Metdlgia A metdlgia deste trabalh abrda a descriçã de um prcess de gestã de incidentes, representad num mdel dinâmic, a qual vã ser adicinads cenáris cm variáveis que alteram s seus valres a lng d temp, apresentand n final gráfics cm cmprtament ds váris cenáris simulads. Esta simulaçã d mdel dinâmic será efectuada n sftware Vensim PLE, da Ventana Systems, INC. Inicialmente cenári irá ser fcad cm mair relevância pela gestã ns incidentes, cm uma reduçã em 75% nas recriminações as clabradres que ntificarem s incidentes, cm efeit após terceir mês, variand seguidamente para um increment em 75% ds incentivs de ntificaçã de incidentes, cm efeit após terceirs mês. Será ainda analisad cenári em que s recurss dedicads à investigaçã ds incidentes sã reduzids em 95% das necessidades de investigaçã. Na sequência, a simulaçã fcará a mesma imprtância dada pela Gestã entre s incidentes e s events, cm uma reduçã em 75% nas recriminações as clabradres que ntificarem s incidentes após terceir mês, variand seguidamente para um increment em 75% ds incentivs de ntificaçã de incidentes após terceirs mês. As variáveis exógenas que serã bject de variaçã para este mdel sã as seguintes: Reduçã das Recriminações ; Increment ds Incentivs ; Reduçã da Investigaçã. N final é efectuada uma análise entre s váris cenáris e s seus resultads, apresentand as principais cnclusões deste estud. Neste sentid este trabalh encntra-se rganizad em capítuls, apresentads na Tabela 1.1 cm a descriçã d seu cnteúd. 3

20 Capítul 1 Neste capítul é descrita a Mtivaçã, assim cm s Objectivs e a Metdlgia deste trabalh Capítul 2 Neste capítul é descrit Estad da Arte. Capítul 3 Neste capítul é descrit um Prcess de Gestã de Incidentes e crrespndente mapeament para Mdel Dinâmic. Capítul 4 Neste capítul sã apresentads s resultads das simulações n Mdel Dinâmic. Capítul 5 Neste capítul sã apresentadas as Cnclusões e Trabalh Futur. Capítul 6 Neste capítul sã apresentads s Anexs que suprtam este trabalh. Capítul 7 Neste capítul é apresentad Glssári que suprta este trabalh. Capítul 8 Neste capítul sã apresentadas as Referências que suprtam este trabalh. Tabela 1.1 Capítuls e cnteúds. 1 4

21 A reclha bibligráfica incidiu sbre um cnjunt de áreas que fram cnsideradas fundamentais para tratament e a cmpreensã d tema prpst, tend sid abrdad em primeir lugar as questões que dizem respeit a definições e clarificaçã ds cnceits usads e uma abrdagem das metdlgias existentes de frma a pder efectuar uma selecçã das mais relevantes. Numa segunda fase da reclha bibligráfica, esta incidiu sbre as questões relacinadas cm papel ds sistemas de infrmaçã nas rganizações e s aspects relacinads cm a necessidade de garantir alinhament entre negóci cm as TI/SI, maximizand s recurss e salvaguardand a infrmaçã da rganizaçã. 5

22 2. O ESTADO DA ARTE 2.1. Nrmas e Bas Práticas Intrduçã Este capitul descreve estad da arte n âmbit da gestã de incidentes, abrdand as nrmas e bas práticas (CbiT, ITIL, ISO 27001, ISO e ISO 18044), existentes e em us nas rganizações, fcand essencialmente sectr financeir, apesar da grande imprtância que a gestã de incidentes têm nutrs sectres, nmeadamente n sectr alimentar. Este capítul abrda ainda a dinâmica de sistemas cm ferramenta para a mdelaçã dinâmica de gestã de incidentes CbiT O Cntrl Objectives fr Infrmatin and related Technlgy (CbiT), fi desenvlvid ns Estads Unids da América em 1996 e tem cm bjectiv frnecer bas práticas através de um mdel de dmínis e prcesss, apresentand actividades numa estrutura lógica de gestã. As bas práticas d CbiT representam cnsens ds especialistas, estand frtemente fcadas mais ns cntrls e mens na execuçã. Estas práticas sã extremamente imprtantes pis sã um auxiliar para a ptimizaçã ds investiments em TI, garantid a entrega ds serviçs e auxiliand cm métricas para detectar s desvis. Para a área de TI ter sucess na entrega ds serviçs slicitads pel negóci, deve de implementar um sistema intern de cntrls u uma metdlgia, cm bjectiv de: Fazer uma ligaçã cm s requisits d negóci; Organizar as actividades de TI em um mdel de prcesss; Identificar s mais imprtantes recurss de TI; Definir s bjectivs de cntrl. 6

23 A rientaçã as negócis d CbiT cnsiste em bjectivs de negóci ligads a bjectivs de TI, frnecend métricas e mdels de maturidade para medir a sua eficácia e identificand as respnsabilidades relacinadas ds dns ds prcesss de negóci e de TI. O CbiT agrupa s prcesss de TI subdividids em quatr dmínis e 34 prcesss (Anex I), frnecend assim uma visã ttal da área de TI: Planeament e Organizaçã (PO), cm 10 prcesss; Aquisiçã e Implementaçã (AI), cm 7 prcesss; Entrega e Suprte (DS), cm 13 prcesss; Mnitrizaçã e Avaliaçã (ME), cm 4 prcesss; O mdel está representad na Figura 2.1, cm detalhe ds dmínis e s seus respectivs prcesss. 7

24 Planeament e Organizaçã PO.01 Definiçã d Plan Estratégic de TI PO.02 Definir Mdel de Arquitectura de Infrmaçã PO.03 Definiçã de Directrizes Tecnlógicas PO.04 Definiçã ds Prcesss, Organizaçã e Relacinaments de TI PO.05 Gestã de Investiment de TI PO.06 Cmunicaçã ds Objectivs e Directrizes da Gestã PO.07 Gestã de Recurss Humans PO.08 Gestã da Qualidade PO.09 Respsta a Risc PO.10 Gestã de Prjects Mnitrizaçã e Avaliaçã ME.01 Mnitrizaçã e Avaliaçã d Desempenh de TI ME.02 Mnitrizaçã e Avaliaçã d Cntrle Intern ME.03 Assegurar a Cnfrmidade cm s Requisits Externs ME.04 Gestã da Gvernaçã de TI Aquisiçã e Implementaçã AI.01 Identificaçã de Sluções Tecnlógicas AI.02 Aquisiçã e Manutençã de Sftware AI.03 Aquisiçã e Manutençã da Infra- -Estrutura Tecnlógica AI.04 Suprte à Operaçã e Utilizaçã AI.05 Cnrataçã de Recurss de TI AI.06 Gestã de Alterações AI.07 Instalaçã e Acreditaçã de Sluções e Alterações Entrega e Suprte DS.01 Definçã da Gestã de Niveis de Serviç DS.02 Gerir Serviçs de Entidades Externas DS.03 Gestã de Desempenh e Capacidade DS.04 Garantia da Cntinuidade de Negóci DS.05 Gestã da Segurança de TI DS.06 Definiçã e Imputaçã de Custs DS.07 Frmaçã e Trein de Utilizadres DS.08 Gestã de Service Desk e Incidentes DS.09 Gestã de Cnfigurações DS.10 Gestã de Prblemas DS.11 Gestã de Dads DS.12 Gestã de Instalações Fisicas DS.13 - Gestã de Operações Figura Dmínis d CbiT1(CbiT, 2007) 8

25 A avaliaçã d prcess de capacidade basead ns mdels de maturidade d CbiT é uma parte fundamental da implementaçã da gvernaçã de TI. Depis de identificar s prcesss e s cntrls crítics de TI, mdel de maturidade permite a identificaçã das deficiências em capacidade e a sua demnstraçã para s gestres. Plans de acçã pdem ser desenvlvids para elevar esses prcesss a desejad nível de capacidade. O CbiT suprta a gvernaçã de TI frnecend uma metdlgia para assegurar que: A área de TI esteja alinhada cm negóci; A área de TI habilite negóci e maximiza s benefícis; Os recurss de TI sejam usads respnsavelmente; Os riscs de TI sejam gerids aprpriadamente. A mediçã da perfrmance é essencial para a gvernaçã de TI, incluind a definiçã e a mnitrizaçã ds bjectivs de mediçã sbre s quais s prcesss de TI precisam de entregar (prcesss de saída) e cm entregam (prcess de capacidade e perfrmance). Muitas análises identificaram a falta de transparência ds custs, d valr e ds riscs de TI cm uma das mais imprtantes para a gvernaçã de TI. Tds s cmpnentes d CbiT sã interrelacinads, prprcinand suprte para as necessidades de gvernaçã, gestã, cntrl e avaliaçã cnfrme demnstrad na Figura 2.2. Objectiv de Negócis Requeriments Infrmações Objectivs de TI Prcesss de TI Dividid em Medid pr Auditad pr Cntrlad pr Actividades Chave Cntrl Resultad ds Testes Derivad de Objectiv ds Cntrls Feit pr Perfrmance Resultads Maturidade Auditad pr Implementad cm Tabelas de Respnsabilidade Indicadres de Perfrmance Resultads das Medições Mdels de Maturidade Cntrl ds Testes de Desenh Basead em Práticas de Cntrl Figura 2.2 Interrelacinaments ds Cmpnentes de CbiT2 9

26 Os benefícis de implementar CbiT cm um mdel de gvernaçã de TI incluem: Um melhr alinhament basead n fc d negóci; Uma visã clara para s gestres sbre a realidade de TI; Uma clara divisã das respnsabilidades baseada na rientaçã para prcesss; Aceitaçã geral pr terceirs e entidades reguladras; Cmpreensã pr parte de tdas as entidades envlvidas ns prcesss; Cumpriment ds requisits d COSO para cntrl d ambiente de TI; O CbiT rganiza-se pr quatr dmínis, 34 prcesss, 210 bjectivs de Cntrl e 990 práticas de cntrl de TI (Figura 2.3). Figura 2.3 Relaçã entre prcesss e cntrls n CbiT Critéris de Infrmaçã d CbiT Para atingir s bjectivs de negóci, as infrmações precisam de se adequar a certs critéris de cntrls, as quais CbiT denmina necessidades de infrmaçã da empresa. Basead em abrangentes requisits de qualidade, guarda e segurança, CbiT assenta em sete critéris de infrmaçã distints (Anex II): Efectividade Lida cm a infrmaçã relevante e pertinente para prcess de negóci, garantind a entrega atempada, de maneira crrecta, cnsistente e utilizável; Eficiência Relacina-se cm a entrega da infrmaçã através da ptimizaçã ds recurss; 10

27 Cnfidencialidade Está relacinada cm a prtecçã de infrmações cnfidenciais, para evitar a divulgaçã indevida; Integridade Relacina-se cm a fiabilidade e ttalidade da infrmaçã bem cm sua validade de acrd cm s valres de negóci e expectativas; Dispnibilidade Relacina-se cm a dispnibilidade da infrmaçã quand exigida pel prcess de negóci. Também está ligada à salvaguarda de recurss necessáris e capacidades assciadas; Cnfrmidade Lida cm a cnfrmidade legal, regulamentar e brigações cntratuais as quais s prcesss de negóci estã sujeits; Fiabilidade Relacina-se cm a entrega da infrmaçã aprpriada para s gestres gerirem a empresa; Recurss de TI Para satisfazer s requisits de negóci para TI, a empresa precisa de investir ns recurss necessáris para criar uma adequada capacidade técnica que satisfaça as necessidades de negóci, resultand n desejad retrn de negóci (increment das vendas, etc). Os recurss de TI identificads n CbiT sã definids da seguinte maneira: Aplicações sã sistemas autmatizads utilizads pels utilizadres, que prcessam s dads; Infrmaçã sã s dads em tdas as suas frmas, a entrada, prcessament e a saída frnecida pel sistema de infrmaçã, em qualquer frmat a ser utilizad pel negóci; Infra-estrutura refere-se à tecnlgia e as recurss (hardware, sistemas perativs, bases de dads, redes, etc), que pssibilitam prcessament das aplicações; Pessas sã s recurss necessárias para planear, rganizar, adquirir, implementar, entregar, suprtar, mnitrizar e avaliar s sistemas de infrmaçã e serviçs. Estes recurss pdem ser interns, externs u cntratads, cnfrme as necessidades; 11

28 Inputs e Outputs d Prcess Gerir Service Desk e s Incidentes As rientações de gestã frnecem, para cada prcess de TI, inputs e utputs que permitem perceber s relacinaments entre s prcesss. A Figura 2.4 mstra, s relacinaments d prcess DS.08 Gestã d Service Desk e Incidentes. Input de Outrs Prcesss para DS.08 AI.04 Manuais de utilizadr, peraçã, suprte, técnics e administraçã; AI.06 Autrizaçã de mudanças; AI.07 Itens de cnfiguraçã definids; DS.01 SLAs e OLAs; DS.04 Níveis de Incidentes/desastres; DS.05 Definiçã de Incidentes de Segurança; DS.09 Detalhes de Activs / Cnfiguraçã de TI; DS.10 Prblemas e errs cnhecids e sluções alternativas; DS.13 Chamadas de Incidentes; DS.08 Output d Prcess DS.08 para Slicitações de serviç / slicitações de mudanças AI.06; Relatóris de Incidentes Relatóris de desempenh de prcesss ME.01; DS.10; Relatóris sbre satisfaçã de utilizadres DS.07 e ME.01; Figura Interfaces e/u dependências d DS.08 cm utrs prcesss Prcess CbiT DS.08 Gerir Service Desk e s Incidentes O prcess CbiT DS.08 tem cm bjectivs primáris a Eficácia e a Eficiência (Figura 2.5). 12

29 Figura 2.5 Requisits de negóci d Prcess DS.08 5 A respsta efectiva e em temp adequad a dúvidas e a prblemas ds utilizadres de TI requer a existência de um service desk e um prcess de gestã de incidentes bem prjectads e implementads. Esse prcess inclui a implementaçã de uma central de serviçs cm capacidade para tratament de incidente, incluind regist, encaminhament, análise de tendências, análise de principais causas e resluçã. Os benefícis a negóci incluem aument de prdutividade pr mei de resluçã rápida das chamadas reprtadas pels utilizadres. Cmplementarmente, as áreas de negóci pdem tratar a rigem das situações através de relatóris para análise e divulgaçã Cntrl sbre Prcess de TI DS.08 - Gerir service desk e s incidentes Que satisfaça s seguintes requisits d negóci para a TI: Permitir us eficaz ds sistemas de TI através de análise e resluçã pr cnsultas, slicitações e incidentes Cm fc em: Prver um service desk prfissinal cm respstas rápidas, prcediments clars de escalnament, análise de tendências e resluçã (Figura 2.6). É alcançad pr: - Instalaçã e peraçã de uma área de service desk; - Mnitrizaçã e regist das tendências; 13

30 - Definiçã clara de critéris e prcediments de escalnament. E medid pr: - Satisfaçã d utilizadr cm primeir nível de atendiment; - Percentagem de incidentes reslvids n temp estipulad/aceitável; - Índice de desistência das situações reprtadas. Figura 2.6 Áreas de Fc d Prcess DS Objectivs de Cntrl Detalhads DS.08.1 Service Desk Estabelecer um Service Desk, que é a ligaçã entre utilizadr e as TI, para registar, cmunicar, analisar e reslver tds as situações, incidentes reprtads, slicitações de serviçs e prcura de infrmaçã. Devem existir prcediments de mnitrizaçã e encaminhament cm base em níveis de serviç acrdads relativs a SLA adequad que 14

31 permita a classificaçã e a priritizaçã de qualquer dúvida reprtada cm incidente, slicitaçã de serviç u slicitaçã de infrmaçã. Medir a satisfaçã ds utilizadres finais cm a qualidade d serviç prestad pel service desk e s serviçs de TI. DS.08.2 Regist de chamadas ds utilizadres Estabelecer uma funçã e um sistema que permita regist e acmpanhament das situações reprtadas, incidentes, slicitações de serviçs e necessidade de infrmações. Deve trabalhar de pert cm prcess de gestã de incidentes, prblemas, mudanças, capacidade e dispnibilidade. Os incidentes devem ser classificads de acrd cm as priridades de negóci e serviç e direccinads à equipa adequada de gestã de prblemas. Os clientes devem ser infrmads sbre estad d seu prblema. DS.08.3 Encaminhament de Incidentes Estabelecer s prcediments de service desk para que s incidentes que nã pdem ser reslvids imediatamente sejam adequadamente encaminhads, cnfrme s limites definids n Acrd de Níveis de Serviç, e sluções temprárias sejam implementadas, cas pssam ser feit. Assegurar que a prpriedade e a mnitrizaçã d cicl de vida d incidente permaneçam cm service desk, independentemente d grup de TI que esteja a trabalhar na resluçã. DS.08.4 Encerrament de Incidentes Estabelecer s prcediments para mnitrizaçã periódica d encerrament ds incidentes. Quand incidente fi reslvid, assegurar que service desk regista as sluções adptadas para a resluçã e cnfirma se as acções adptadas fram aceites pel cliente. Deve ainda registar e relatar s incidentes nã slucinads (errs já cnhecids e alternativas existentes) para frnecer infrmaçã visand adequad gestã de prblemas. DS.08.5 Relatóri e Analise de Tendências Gerar relatóris de actividades d service desk, permitind as gestres medir desempenh e temp de respsta ds serviçs e identificar tendências u prblemas recrrentes, para que serviç pssa ser melhrad sempre. 15

32 Respnsabilidades d Prcess DS.08 Gerir Service Desk e s Incidentes Na Tabela 2.1 sã apresentadas as funções ds intervenientes n prcess DS.08 e as actividades inerentes a estas, identificand quem é respnsável (R), respnsabilizad (A), cnsultad (C) e/u infrmad (I). Tabela 2.1 Tabela RACI2 16

33 Avaliaçã da maturidade d prcess DS.08 Mdel de Maturidade - DS.08 Gerir Service Desk e s Incidentes 0 - N Existe - Nã existe suprte para reslver prblemas e questões ds utilizadres. - Há uma cmpleta falta d prcess de gestã de incidentes. - A rganizaçã nã recnhece que há uma questã a ser tratada. 1 - Inicial - A gestã recnhece a necessidade de um prcess sustentad pr ferramentas e pessas para respnder a chamadas ds utilizadres e gerir a resluçã de incidentes. - Nã existe um prcess padrnizad e só é ferecid suprte reactiv. - A gestã nã mnitriza s prblemas, incidentes u tendências. - Nã existe um prcess de encaminhament que assegure que prblema será reslvid. - Existe uma cnsciencializaçã rganizacinal da necessidade de um Service Desk e de um prcess de gestã de incidentes. 2 - Repetitiv - A assistência está dispnível de maneira infrmal pr intermédi de elements que têm cnheciment. - Existem algumas ferramentas cmuns para auxiliar na resluçã de incidentes. - Nã existe frmaçã e trein frmal, nã há prcediments padrã e cmunicads e as respnsabilidades ficam a carg de cada pessa. 17

34 Mdel de Maturidade - DS.08 Gerir Service Desk e s Incidente - A necessidade de um Service Desk e de um prcess de gestã de incidentes é recnhecida e aceite. - Os prcediments fram padrnizads e dcumentads e crrem treins infrmais. - Fica a carg das pessas bter trein e seguir s padrões. 3 Definid - Cnslidaçã de perguntas frequentes (FAQs) e directrizes de utilizadres sã desenvlvidas, mas as pessas devem prcurá-las, mas pdem nã seguilas. - Chamadas e incidentes sã rastreads manualmente e mnitrizads individualmente, prém nã existe um sistema de reprte frmal. - A respsta em temp adequand as chamadas e incidentes nã é medida e s incidentes pdem cntinuar sem sluçã. - As utilizadres fi cmunicad sbre cm e nde registar s prblemas e incidentes. - Existe um cmplet entendiment ds benefícis d prcess de gestã de incidentes em tds s níveis da rganizaçã e a funçã de service desk fi estabelecida nas unidades rganizacinais adequadas. - As ferramentas e técnicas sã autmatizadas cm uma base de cnheciment centralizad. 4 Gerid - Os prfissinais de service desk interagem muit prximamente cm s prfissinais d prcess de gestã de prblemas. - As respnsabilidades sã claras e a efectividade é mnitrizada. - Os prcediments para cmunicaçã, escalnament e resluçã de incidentes sã estabelecids e cmunicads. - O pessal d service desk é treinad e s prcesss sã melhrads através d us de sftware específic. - A gestã desenvlve métricas para medir desempenh d service desk. 18

35 Mdel de Maturidade - DS.08 Gerir Service Desk e s Incidente - O service desk e prcess de gestã de incidentes sã estabelecids e bem rganizads, cm serviç vltad a cliente pr ter cnheciment, ter fc n cliente e ser útil. - Métricas sã sistematicamente medidas e reprtadas. - FAQs abrangentes e cmpletas sã parte integrante da base de cnheciment. 5 Optimizad - Há ferramentas que permitem s utilizadres fazerem diagnóstic e a resluçã de incidentes. - Os aviss sã cnsistentes, e s incidentes sã reslvids rapidamente dentr de um prcess de encaminhament estruturad. - A gestã utiliza uma ferramenta integrada para as estatísticas de desempenh d prcess de gestã de incidentes e service desk. - Os prcesss têm sid refinads a nível das melhres práticas da indústria, cm base ns resultads de análise de indicadres de perfrmance, melhrias cntínuas (benchmarking) cm utras rganizações. Tabela 2.2 Mdel de Maturidade d DS

36 ITIL O ITIL (Infrmatin Technlgy Infraestruture Library) é um cnjunt de bas práticas para frneciment de serviçs de TI cm qualidade e fcads n cliente. O ITIL fi desenvlvid n final ds ans 80 pela CCTA (Central Cmputer Telecmmunicatins Agency), mas actualmente é prmvid pela OGC (Office fr Gvernment Cmmerce) que é um rganism públic d Rein Unid. (Silva & Martins, 2008) O ITIL é actualmente uma referência na gestã ds serviçs de infrmática, reveland-se cm essencial as relações entre Prcesss, Pessas e Tecnlgias, estand subdividid pr disciplinas, que analisam especificamente uma dad tópic: Service Management Gestã Integrada entre a visã de negóci e da tecnlgia. Gere serviç em duas vertentes: Service Delivery Estabelece prcesss que asseguram frneciment a clientes ds serviçs adequads para suprte a negóci; Service Suprte Cbre s prcesss referentes a actividades diárias de manutençã e suprte assciadas a prvisões de serviçs de TI. Planning t Implement Service Management - Planeia, implementa e gere s prcesss de Gestã de Serviçs numa rganizaçã, relacinand-s cm a mudança cultural e rganizacinal; Security Management infrmaçã e ds serviçs prestads; Abrda tdas as questões relacinadas cm a segurança da ICT Infrastructure Management actividade da rganizaçã; Gere a infra-estrutura de TI, indispensáveis à Business Perspective de TI; Garante alinhament d negóci e a prestaçã de serviçs Applicatin Management negóci da rganizaçã. Garante a gestã das aplicações que dã suprte a 20

37 O referencial ITIL tem cm bjectiv a descriçã das práticas de Gestã de Serviçs de TI que garantam: A dispnibilidade de serviçs de TI que sirvam s bjectivs ds Clientes, cm características de qualidade bem definidas, nmeadamente em terms de estabilidade e fiabilidade; A criaçã de uma relaçã de cnfiança entre frnecedr de serviçs de TI e s seus clientes, interns u externs. A Gestã de Serviçs de TI visa assegurar que as necessidades de negóci da rganizaçã sã suprtadas pr serviçs de TI cm: A qualidade necessária aprpriada às necessidades d negóci e dcumentada bjectivamente em Acrds de Níveis de Serviç (SLA s); Cm um cust adequad negciad e acrdad cm cliente, sustentad pr prcesss de Gestã Financeira de TI que permitem a sua cntabilizaçã e cntrl; Valr acrescentad através de uma definiçã de funcinalidades e requisits em que frnecedr de serviçs de TI prcura activamente cnhecer cntext de negóci de cliente e encntrar a melhr frma de clcar a serviç das necessidades desse cliente as capacidades e recurss de que dispõe. Cm resultad de uma Gestã de Serviçs de TI alinhada cm ITIL é esperada uma melhria na qualidade e alinhament cm negóci ds serviçs de TI dispnibilizads, assim cm a reduçã d cust glbal (Figura 2.7). (Ruiv, 2010) 21

38 Figura 2.7- Service desk (Qualius) 7 N cntext deste trabalh, vams analisar detalhadamente Prcess de Gestã de Incidentes cm a abrdagem d ITIL Gestã de Incidentes vist pel ITIL Definiçã Um Incidente é qualquer event que nã faz parte d funcinament standard de um serviç e que prvca u pde prvcar uma interrupçã n serviç u uma reduçã na respectiva qualidade. (Macfarlane, Rudd, 2001) Objectivs Repr nrmal funcinament d serviç tã rapidamente pssível cm mínim de interrupçã d negóci, assegurand assim que s melhres níveis de dispnibilidade e serviç pretendid sã mantids. 22

39 A Gestã de Incidentes permite: Assegurar a melhr utilizaçã de recurss para apiar negóci; Desenvlver e manter regists significativs relativamente as Incidentes; Definir e aplicar uma abrdagem cnsistente a tds s Incidentes cmunicads. Exempls de Incidentes: Aplicaçã indispnível as clientes; Avaria u limitaçã na utilizaçã d equipament; Blquei cntinu da aplicaçã de negóci; Falha nas cmunicações de dads. Respnsabilidades da Gestã de Incidentes: Detecçã e regist de Incidentes; Classificaçã de tds s Incidentes e api inicial; Investigaçã e diagnóstic; Resluçã e recuperaçã; Eliminaçã d Incidente; Prpriedade, cntrl, rastrei e cmunicaçã d Incidente. A figura 2.8 apresenta flux d cicl de vida d incidente. 23

40 Figura O cicl de vida d incidente8 Factres de sucess fundamentais na Gestã de Incidentes: Existência de uma base de dads de Gestã de Cnfigurações (CMDB) actualizada; Existência de uma base de cnheciment cm regist ds dads ds prblemas e ds errs cnhecids, resluções e sluções; Dispnibilizaçã de ferramentas eficazes e autmatizadas; Relacinament estreit e efectiv cm a Gestã de Níveis de Serviç. A necessidade da Priritizaçã d Incidente A priridade para atribuiçã de recurss para resluçã de um incidente é baseada numa cmbinaçã de impact e urgência, em cnjunt cm utrs factres relevantes, tais cm a dispnibilidade de recurss. 24

41 Urgência é uma avaliaçã da rapidez cm a qual é necessári reslver um incidente e impact reflecte efeit prvável que incidente terá sbre s serviçs d negóci. Relaçã entre Incidentes, Prblemas e Errs Cnhecids Ns cass em que um incidente nã é identificável entã, se huver investigaçã é criad um regist de Prblema. Um prblema apresenta um err descnhecid num u mais itens da cnfiguraçã. Assim que a causa subjacente e uma crrecçã u sluçã temprária estiverem identificadas, através de um pedid de alteraçã (Request Fr Change), prblema trna-se um regist de err cnhecid (Figura 2.9). Os prmenres da relaçã entre incidentes, prblemas, errs cnhecids e pedids de alteraçã sã incluíds numa CMDB (Change Management Data Base). Err na Infra-Estrurura Incidente Prblema Err Cnhecid RFC Resluçã Estrutural Figura Flux lógic d err à resluçã9 Um prblema é a causa subjacente descnhecida de um u mais incidentes. O Prblema passa a err cnhecid quand fr descberta a causa raiz e fr identificada uma sluçã temprária u uma alternativa permanente. (Macfarlane, Rudd, 2001) Será efectuada uma crrespndência entre s incidentes gravads recentemente e s incidentes, prblemas e errs cnhecids, existentes na base de dads de cnheciment. Quand dispníveis, sluções temprárias serã aplicadas para permitir uma resluçã rápida ds incidentes. Os incidentes graves crrem quand impact ns utilizadres é muit frte u quand se verifica um interrupçã prlngada. A Gestã de Prblemas deve ser ntificada e marcar uma reuniã frmal cm s elements que pssam ajudar a reslver e a ultrapassar a situaçã, devlver a nrmal peraçã as sistemas. Cm a existência da Gestã de Incidentes pdems bter s seguintes benefícis: Reduçã d impact n negóci, graças a uma resluçã atempada ds incidentes; Identificaçã pró activa de melhrias vantajsas; 25

42 Dispnibilidade de Infrmações fcadas n negóci relacinadas cm Acrd de Nível de Serviç (SLA); Melhr cntrl d desempenh relativamente as SLAs; Melhr utilizaçã ds clabradres resultand numa mair eficiência; Eliminaçã de Incidentes e pedids de serviç perdids; Infrmaçã mais precisa na CMDB, permitind uma auditria cntinua durante regist de Incidentes; Melhr satisfaçã d Cliente e d Utilizadr; Menr Interrupçã para a equipa de suprte de TI e utilizadres Nrmas ISO e ISO Intrduçã A nrma ISO é um padrã recnhecid internacinalmente que apresenta s requisits para um Sistema de Gestã de Segurança da Infrmaçã SGSI (Infrmatin Secutrity Management System ISMS), utilizand mdel PDCA (Anex III). Esta fi a primeira nrma da série ISO 27000, a ser publicada pel Internatinal Organizatin fr Standardizatin (ISO), em Outubr de A nrma ISO é uma nrma standard de segurança da infrmaçã, dedicada nã só à segurança, mas também dedicada a aspects e as critéris específics de auditria peracinal, nã send uma nrma técnica, u um prdut u metdlgia. A nrma ISO é a base para a gestã da segurança de infrmaçã, que tds que têm respnsabilidades na segurança da infrmaçã deveriam usar História da ISO A ISO deriva d British Standards Institute (BSI) Infrmatin Security Management designada de nrma BS A BSI tem sid pró activa na evluçã da segurança da infrmaçã, respndend às prcuras da industria. Neste sentid ns ans 90 fi criad um grup de trabalh dedicad à Segurança da Infrmaçã, culminand cm um Códig de Bas Práticas de Gestã de Segurança da Infrmaçã em Este trabalh riginu a primeira versã da nrma BS 7799 em N final da década de 90, em respsta às exigências da indústria, a BSI frmu um prgrama de acreditaçã de empresas de auditria, u entidades certificadras cm cmpetências para 26

43 auditar a BS Simultaneamente fi cnstituíd um cmité de direcçã, culminand cm a actualizaçã e actualizaçã da BS 7799 em 1998, 1999, 2000 e finalmente em Enquant algumas rganizações utilizaram a nrma BS 7799, as necessidades fram aumentand, existind a necessidade de criar um padrã internacinalmente recnhecid de segurança da infrmaçã, levand à actualizaçã da BS , e à publicaçã da ISO em Outubr de 2005 (ISO, 2005; Carlsn, 2008) Prquê a ISO 27001? A segurança de infrmaçã tem sid tradicinalmente baseada nas melhres práticas e rientações, cntud, está sujeita a várias interpretações e aplicações, nem sempre cerentes e harmnisas, entre si. A ISO ferece s seguintes benefícis: Um sistema de gestã recnhecid internacinalmente que pde aumentar a interperabilidade da segurança da infrmaçã e cnfiança cm terceirs; Um critéri para avaliar a eficácia d Prgrama de Segurança da Infrmaçã; Um veícul para certificar váris regulaments de prtecçã de dads. (ISO, 2005; Carlsn, 2008) ISO versus ISO A Tabela 2.3 apresenta as principais diferenças entre a nrma ISO e a nrma ISO ISO ISO Uma nrma de auditria cm base em requisits auditáveis. Incide sbre s cntrls de gestã que interessam às rganizações. Usada para auditrias e para certificar Sistemas de Segurança de Infrmaçã em rganizações. Um guia de execuçã, cm base em sugestões de bas práticas. Lista de cntrls peracinais que uma rganizaçã deve cnsiderar. Usada cm mei de avaliaçã da abrangência ds Prgramas de Segurança Infrmática nas rganizações. Tabela 2.3 Diferenças entre ISO e ISO (ISO, 2005; Carlsn, 2008) 27

44 Áreas de cntrl da ISO A ISO define um sistema de gestã de segurança da infrmaçã de acrd cm a estrutura rganizacinal, cm as pliticas, cm as actividades de planeament, as respnsabilidades, as práticas, s prcediments, s prcesss e s recurss. Define ainda um ISMS cm parte d sistema glbal de gestã, basead numa abrdagem de risc, para estabelecer, implementar, perar, mnitrizar, rever, manter e melhrar a segurança da infrmaçã. Essa abrangência faz cm que esta nrma favreça a interacçã entre departaments da empresa e váris prgramas, tais cm: Recurss Humans; Jurídic; Auditria; Instalações físicas; Cntinuidade de Negócis; Operações Segurança física. Para cumprir este bjectiv, a nrma ISO identificu 5 áreas de cntrl, 12 bjectivs de cntrl e 78 cntrles. Cada um é definid cm um requisit sujeit a uma auditria Capítuls da Nrma ISO Nesta nrma existem cntrls que sã abrdads desde capítul 4 a 8 da nrma, para que s sistemas de segurança das rganizações estejam realmente em cnfrmidade cm a nrma ISO 27001, que serã apresentads de seguida, destacand s capítuls cm relevância. A nrma ISO é cnstituída pels seguintes capítuls: 0 - Intrduçã; 1 - Âmbit; 2 - Referência Nrmativas; 3 - Terms e Definições da nrma ISO 27001; 4 - Sistema de Gestã de Segurança da Infrmaçã. Este capítul abrda a necessidade de estabelecer, implementar, perar, mnitrizar, rever, manter e melhrar um SGSI dcumentad, incluind: 28

45 Criar e gerir ISMS Criaçã e gestã de risc de um prcess basead na: Definiçã d SGSI, incluind áreas de actuaçã e limites; Identificaçã de activs de risc e metdlgias de tratament; Quadr de gestã para definir mediçã ds bjectivs de cntrl; Verificaçã d desempenh d ISMS. (ISO, 2005; Carlsn, 2008) 5 - Respnsabilidade da Gestã. Este capítul abrda as necessidades atribuídas às respnsabilidades da gestã d ISMS, incluind: 5.1 Cmprmiss de Gestã Identificaçã da gestã e cmunicaçã de bjectivs de segurança de infrmaçã em terms de tlerância a risc. 5.2 Resurce Management Frneciment de recurss adequads para atender as bjectivs de cntrl definids e garantir a cmpetência na execuçã ds mesms. (ISO, 2005; Carlsn, 2008) 6 - Auditrias Internas de um ISMS. Este capítul abrda as necessidades de auditrias internas num ISMS, incluind um prcediment de auditria dcumentad, critéris de auditrias, frequência de actuações, metdlgia e respnsabilidades. (ISO, 2005; Carlsn, 2008) 7 - Gestã de revisã de ISMS. Este capítul abrda a necessidade de participaçã de gestã e api d ISMS, a saber: 7.1 Geral Revisões periódicas prgramadas e dcumentadas d desempenh d ISMS; 7.2 Revisã de entradas as diversas fntes e métricas necessárias para uma analise da gestã glbal; 7.3 Revisã de saída a gestã de váris critéris de revisã e decisã e a necessidade de cntrlar as alterações resultantes destas decisões de gestã. 29

46 (ISO, 2005; Carlsn, 2008) 8 - Melhrament d ISMS. Este capítul abrda a necessidade da existência de mecanisms para melhrar cntinuadamente ISMS, nmeadamente: 8.1 Melhria cntinua Ferramentas e técnicas para medir e vigiar desempenh d SGSI; 8.2 A acçã crrectiva Identificaçã reactiva e análise de causa de nã- -cnfrmidades existentes n ISMS, bem cm acmpanhament das sluções; 8.3 Acçã preventiva A identificaçã pró activa e análise de causa de ptenciais prblemas cm ISMS, bem cm acmpanhament das acções de alinhament. (ISO, 2005; Carlsn, 2008) A Nrma ISO A nrma ISO frnece bas práticas para implementar Sistema de Gestã de Segurança de Infrmaçã, send um dcument de acnselhament genéric que tem um âmbit alargad e requer adaptaçã a cada rganizaçã. Esta nrma está rganizada em 15 capítuls (Figura 2.10), indica 39 bjectivs de cntrl e cntrls a implementar. Figura Hierarquizaçã ds capítuls da nrma ISO

47 A nrma ISO é cnstituída pels seguintes capítuls: 1 - Intrduçã; 2 - Âmbit; 3 - Definições; 4 - Avaliaçã e Gestã de Risc; 5 - Plítica de Segurança; Plítica de segurança da Infrmaçã; 6 - Organizaçã de Segurança; 6.1- Organizaçã Interna; Segurança ns acesss de terceirs; 7 - Gestã de Activs; Respnsabilidade pels activs; Classificaçã de infrmaçã; 8 - Segurança de Recurss Humans; Definiçã de funções de segurança; Prcediments de admissã; Prcediments de saída u mudança de funções; 9 - Segurança Física; Áreas de segurança; Segurança d equipament; 10 - Gestã de Cmunicações e Operações; Prcediments peracinais e respnsabilidades; Gestã de serviçs prestads pr terceirs; Planeament de sistemas; Prtecçã cntra sftware malicis; Salvaguarda de dads e lgging; Gestã de redes; Manuseament e segurança de media; Trca de infrmaçã cm entidades externas; 11 - Cntrl de Acesss; 31

48 Requisits de negóci para cntrl de acesss; Gestã de acesss ds utilizadres; Respnsabilidades ds utilizadres; Cntrl de acesss à rede; Cntrl de acesss a sistema perativ; Cntrl de acesss a aplicações; Cmputadres móveis e tele-trabalh; 12 - Aquisiçã, Desenvlviment e Manutençã de SI; Requisits de segurança de sistemas; Segurança de aplicações; Cntrls criptgráfics; Segurança de ficheirs; Segurança ns prcediments de desenvlviment e suprte; 13 - Gestã de Incidentes de segurança da infrmaçã; Ntificaçã de events e vulnerabilidades de segurança da infrmaçã Ntificaçã de events de segurança da infrmaçã; Ntificaçã de vulnerabilidades de segurança da infrmaçã; Gestã e melhraments ds incidentes de segurança da infrmaçã Prcediments e respnsabilidades; Aquisiçã de cnheciment cm s incidentes de segurança da infrmaçã; Reclha de evidencias; 14 - Gestã de Cntinuidade de Negóci; Aspects de gestã da cntinuidade d negóci; 15 - Cnfrmidade Cnfrmidade cm a lei; Revisã da plítica de segurança; Auditabilidade ds sistemas. 32

49 Nrma ISO Intrduçã Nenhuma plitica de prtecçã u de segurança de infrmaçã pderá garantir a prtecçã ttal da infrmaçã, ds sistemas de infrmaçã, serviçs u redes. Depis da implementaçã de tdas as medidas de segurança, existe sempre um risc residual que permanece e que n decrrer d temp pde trnar ineficaz as medidas de prtecçã de infrmaçã e, assim, riginar incidentes de segurança de infrmaçã cm impacts directs u indirects para negóci da rganizaçã. Além diss, inevitavelmente, nvas ameaças nã identificadas anterirmente pderã surgir. A preparaçã insuficiente de uma rganizaçã para lidar cm tais incidentes fará cm que nã exista uma respsta eficaz e firme e, ptencialmente, vais aumentar grau de adversidades criand impact na rganizaçã e n negóci. Neste sentid é essencial para qualquer rganizaçã uma abrdagem estruturada e planeada n sentid de (Anex IV): Detectar, cmunicar e avaliar incidentes de segurança de infrmaçã; Respnder a incidentes de segurança de infrmaçã, nmeadamente através da activaçã de medidas adequadas de prtecçã, cm a reduçã e recuperaçã de impacts; Aprender cm s incidentes de segurança de infrmaçã, melhrand de frma cntínua a gestã de incidentes de segurança de infrmaçã. A Figura 2.11 apresenta s fluxs e as tarefas de cada actividade apresentada pela nrma ISO 18044, num prcess muit similar a cicl PDCA (Plan, D, Check; Act) (ISO, 2004) 33

50 Figura Fluxs e tarefas da Gestã de Incidentes (ISO 18044, 2004)11 34

51 A nrma ISO é uma nrma standard de Gestã de Incidentes de Segurança de Infrmaçã, estabelecend bas práticas na implementaçã da Gestã de Incidentes numa rganizaçã. A nrma ISO é cnstituída pels seguintes capítuls: 1 - Âmbit; 2 - Referências de nrmativs; 3 - Terms e definições; Plan de Cntinuidade de Negóci; Event de Segurança de Infrmaçã; Incidente de Segurança de Infrmaçã; ISIRT (Infrmatin Security Incident Respnse Team); Outrs terms e definições; 4 - Cnheciment; Objectivs; Prcesss; 5 - Benefícis e Questões Chave; Benefícis; Questões chave; 6 - Exempls de Incidentes de Segurança da Infrmaçã e suas causas; Negaçã de Serviç; Reclha nã autrizada de infrmaçã; Acess nã autrizad; 7 - Planear e Preparar; Visã Glbal; Plitica de Gestã de Incidentes de Infrmaçã; Prgrama de Gestã de Incidentes de Infrmaçã; Pliticas de Gestã de Risc de Segurança de Infrmaçã; Cnstituiçã d ISIRT (Infrmatin Security Incident Respnse Team); Suprte técnic e utrs; Cnscencializaçã e trein; 35

52 8 - Usar; Intrduçã; Visã Glbal ds Prcesss Chave; Detectar e Reprtar; Avaliaçã e Decisã de Events/Incidentes; Respstas; 9 - Rever; Intrduçã; Apiar a Analise Frense; Lições Aprendidas; Identificaçã de Melhrias de Segurança; Identificaçã de Melhrias de Esquemas; 10 - Melhrar; Intrduçã; Melhrias na analise e gestã de Riscs de Segurança; Efectuar melhrias de Segurança; Efectuar melhrias n Prgrama de Gestã de Incidentes; Outras melhrias Sumári Cnclusã Nas secções anterires fram apresentadas as nrmas e bas práticas cm áreas de relev na gestã de incidentes. Cntud em tdas elas existem sbrepsições nesta matéria, estand em curs investigaçã sbre prblema de cnciliar tdas essas nrmas e bas práticas, send um prblema em abert. 36

53 2.2. A Gestã de Incidentes na Industria Sectr Financeir O CbiT Cntrl Practices Guidance t Achieve Cntrl Objectives fr Successful IT Gvernance, cntém a infrmaçã necessária para que as rganizações adaptem a framewrk de gvernaçã e cntrl que CbiT prpõe. A avaliaçã d gap entre as bas práticas prpsta pel CbitT e as práticas de cntrl adptadas pela Organizaçã, depis de cnfirmada a cnfrmidade ds cntrls implementads, permite avaliar a sua maturidade. O Basileia II define maturidades bjectiv para as rganizações financeiras cnfrme s indicads na tabela 2.4: Dmíni Prcess PO AI Maturidade bjectiv para Basileia II PO1 3 PO2 4 PO3 3 PO4 4 PO5 3 PO6 4 PO7 3 PO8 3 PO9 4 PO10 3 AI1 4 AI2 4 AI3 4 AI4 3 AI5 3 AI6 4 AI7 4 37

54 DS1 3 DS2 3 DS3 4 DS4 4 DS5 4 DS6 3 DS ME DS7 4 DS8 4 DS9 3 DS10 4 DS11 4 DS12 4 DS13 4 ME1 3 ME2 4 ME3 4 ME4 3 Tabela Valres prpsts pr Basileia II5 Este últim valr é muit relevante para as rganizações d sectr financeir, pis existe uma relaçã directa entre a maturidade das TI e nível de reservas financeiras exigid pel Banc de Prtugal. Da análise ds resultads apresentads na Tabela 2.4, a Gestã reclhe infrmaçã que lhe permite decidir sbre quais s prcesss nde deve fazer um mair esfrç na melhria da maturidade. Este esfrç deve incidir ns prcesss nde seja mair a exigência de Basileia II e nde seja mair diferencial entre esse valr e valr médi btid na avaliaçã. O bjectiv d Acrd Basileia II é intrduzir práticas rbustas de gestã d risc de crédit e peracinal e frtalecer a ligaçã entre risc e cust d capital. Os seus regulaments frnecem um incentiv para as rganizações melhrarem a qualidade das suas framewrks de gestã de risc e ds sistemas, para reduzir capital exigid. Esta melhria frnece uma 38

55 vantagem cmpetitiva para as rganizações financeiras (Basel Cmmittee n Banking Supervisin, 2010). Pdems verificar a grande imprtância dada à Gestã de Incidentes para sectr financeir, uma vez que Basileia II define cm nível de maturidade bjectiv ds mais elevads de tds s prcesss CbiT (DS.8 Nível Objectiv de 4) Sectr alimentar Cabe à indústria deste sectr cumprir cm tds s requisits legais de frma as cnsumidres a dispnibilizaçã de prduts alimentares em perfeitas cndições de higiene, segurança, e qualidade. N entant, mesm quand sã tmadas as devidas precauções, pdem surgir falhas inadvertidamente, cuj as causas vã desde prblemas de fabric a errs na rtulagem que, na pir das hipóteses, pderã pôr em risc a saúde pública. Nesta situaçã a sluçã é actuar mais rápid pssível e respnder cm as acções crrectivas necessárias para prteger s cnsumidres e, a mesm temp, a reputaçã da empresa e/u das marcas. A Gestã de Incidentes e de crise faz, u tem de fazer, hje parte das estratégias de gestã de qualquer empresa d sectr alimentar, prque ninguém está imune a que alg acnteça, prque é brigatóri pensar impensável, prque nã é pssível ficar à mercê d imprvis quand se trata da credibilidade e sbrevivência das rganizações. E saber cmunicar uma crise quand ela acntece é também um imperativ, pis será a melhr frma de a cntrlar e de nã dar espaç a pssíveis especulações e pânics infundads, destacand n api da gestã de incidentes s seguintes prcesss: (Vargues, 2007) Sistemas de Respstas; Gestã de Equipas; Cmunicaçã Externa; Prevençã e Planeament. N cas de um incidente de segurança alimentar, s prdutres e distribuidres de prduts alimentares devem de actuar rapidamente de md a aperceberem-se da natureza d prblema e tmar acções crrectivas necessárias para prteger a saúde ds cnsumidres e a reputaçã da empresa u da marca. As acções a serem tmadas pdem ir desde a cessaçã das vendas, blquei ds prduts na cadeia de abasteciment u prceder a uma reclha pública ds prduts directamente d cnsumidr. Em qualquer ds cass devem ser 39

56 tmadas medidas cm vista a eliminar as causas d prblema e prevenir nvas crrências. Além diss, uma ba clabraçã entre autridades cmpetentes, a indústria e s meis de cmunicaçã é de particular relevância para prteger s interesses de tdas as partes envlvidas. Para a gestã de um sistema de incidentes é essencial ter implementad prcediments clars cm respnsabilidades bem definidas. Deve ser nmead um Cmité de Gestã de Incidentes multidisciplinar, de md que pssa tratar de grande variedade de ptenciais assunts. A primeira parte e mais difícil de qualquer incidente emergente é estabelecer a natureza e a extensã precisa d prblema. Os incidentes classificam-se cm: Incidente de Segurança Alimentar (a segurança d cnsumidr está em risc); Incidente Legal ( prdut nã cumpre cm um requisit legal, mas a segurança d cnsumidr nã está em cmprmetida); Incidentes de Qualidade (a segurança d cnsumidr nã está em risc, mas prdut está fra das especificações, nã crrespndend às expectativas deste). Dependend da classificaçã d incidente e da análise de risc, a acçã a ser tmada pde ir desde um blquei na distribuiçã d prdut a uma reclha pública deste a nível d cnsumidr (cm a respectiva crrecçã d prcess / prdut / rtulagem pel prdutr). As cmbinações típicas de classificaçã sã as seguintes: Um Incidente de Segurança de um prdut, cnduz a uma reclha d prdut, send requerida quand este tem muitas prbabilidades de causar séris prblemas para a saúde pública u até mesm a mrte; Um Incidente Legal cnduz a um blquei e / u reclha d prdut, send requerida quand defeit que este apresenta nã causar prblemas nem cnsequências para a saúde ds cnsumidr, mas vila a legislaçã; Um prblema de Qualidade cnduz a um blquei e / u reclha d prdut, send neste cas uma acçã vluntária para prteger uma marca u a reputaçã da empresa, quand este é distribuíd e nã está em cnfrmidade cm as especificações u cm as expectativas d cnsumidr, sem cntud apresentar qualquer risc de segurança para cnsumidr u vilaçã ds requisits legais. As acções tmadas (blquei u reclha pública u silencisa ) deverã estar em linha cm s pssíveis prejuízs causads. O alcance de qualquer acçã para blquear/reclher prdut pde ser efectuad a váris níveis: 40

57 Nível Intern: Os prduts a serem blqueads/reclhids estã ainda dentr d cntrl d prdutr, pssivelmente ainda na fábrica, em trânsit u ns armazéns da empresa, mas ainda nã estã n distribuidr u n retalh; Nível d mercad: O prdut em questã está n mercad retalhista, é entã blquead/reclhid ds armazéns e muitas vezes das prateleiras ds retalhistas, geralmente de uma frma silencisa. É um cas típic de um incidente legal u de qualidade; Nível Públic: A reclha é feita até a nível d cnsumidr, send requerida quand incidente se supõe ser um prblema de segurança e públic deve ser ntificad para prevenir cnsum u us d mesm. O Cmité de Gestã de Incidentes cnstituíd pr elements cm diferentes funções na empresa deve gerir qualquer prblema cm s prduts, de frma a assegurar um prcediment de blquei/reclha cntrlad. Tds s intervenientes devem de ser adequadamente treinads ns prcediments de gestã de incidentes e acções relacinadas. (Cruz, 2006) O CERT Serviç de Respstas a Incidentes de Segurança Infrmática Intrduçã As nvas tecnlgias de infrmaçã e cmunicaçã (TIC) trnaram-se numa infra-estrutura verdadeiramente crucial de suprte às actividades n nss qutidian. Tems vind a assistir a uma crescente dependência das TIC da parte ds váris sectres da nssa sciedade, de nde resulta que uma efectiva securizaçã desta infra-estrutura, à semelhança de utras já cnsideradas críticas cm as redes de distribuiçã de energia eléctrica u a rede telefónica pública, se revista da mair imprtância. Esta securizaçã apresenta desafis de variada rdem. A cmbinaçã entre a quantidade de infrmaçã ligada em rede e a crescente cmplexidade ds sistemas cmputacinais e das aplicações que a trata tem vind a trnar estes sistemas e a infrmaçã neles cntida em alvs extremamente vulneráveis a ataques. N dia 2 de Nvembr de 1988 a Internet fi alv de um sftware malicis d tip habitualmente designad pr wrm. Este prgrama infrmátic, criad pr Rbert Mrris cm prpósit de se aut-prpagar através da rede, fi respnsável pela cntaminaçã de mais de 60,000 cmputadres, afectand negativamente e durante váris dias diverss serviçs e a funcinalidade glbal da Internet. A rapidez de prpagaçã e cnsequente impact d agra designad Mrris Wrm apanhu a entã pequena cmunidade Internet 41

58 desprevenida. Da análise d incidente verificu-se que que mais prejudicu nrmal funcinament da rede e serviçs assciads nã fi temp necessári para encntrar um antídt eficaz, mas sim a inexistência de uma estrutura rganizada que permitisse infrmar a cmunidade da existência d incidente, efectuar uma eficaz distribuiçã d antídt e instruir s utilizadres sbre a sua aplicaçã. Cm cnsequência imediata fi entã criad um centr de crdenaçã de respsta a incidentes de segurança designad de CERT/CC. Outr exempl ilustrativ da capacidade de destruiçã e impact na vida ds cidadãs prvcad pr um incidente de segurança infrmática remnta a O wrm sapphire u SQL/Slammer, cnsiderad ainda cm mais rápid até a mment, atingiu 90% ds servidres SQL em td mund em cerca de 10min., prvcand a quebra ttal, entre utrs, das redes de cmunicaçã móvel na Creia d Sul, da rede de terminais ATM d Bank f America, de 5 rt servers DNS mundiais e d sistema de emissã de passagens aéreas da Cntinental Airlines. Em Prtugal, clientes ficaram privads, durante 12h, d serviç de Internet pr cab. Neste cas, a vulnerabilidade explrada era cnhecida há mais de 6 meses e a rápida aplicaçã d remend de sftware existente permitiu cntrlar a situaçã. Mais recentemente, entre Abril e Mai de 2007, váris servidres Internet gvernamentais, frnecedres de serviç Internet, servidres de banca electrónica, prtais de empresas de media e rede de pagaments electrónics na Estónia fram alv de uma sequência de ataques, mairitariamente d tip Distributed Denial f Service (DDS), cm resultads devastadres para a nrmal funcinament de um país pr muits cnsiderad cm um exempl de vanguarda tecnlógica. Estes e utrs incidentes de grande dimensã têm vind a demnstrar as fragilidades de uma infra-estrutura cnsiderada crítica n suprte a actividades que percrrem tds s sectres da sciedade. Pr utr lad, a tendência bservada ns últims ans indica que s grandes incidentes de segurança das redes e da infrmaçã sã suprtads em estruturas prfissinais (eg. RBNET, Intercage) que visam ganh financeir ds seus autres. Os serviçs de respsta a incidentes de segurança infrmática (CSIRTs) têm sid apntads cm essenciais na prevençã e reacçã a este tip de fenómen. Neste cntext, a FCCN, através d seu serviç CERT.PT, apresenta uma lnga experiência a nível nacinal e internacinal, quer n tratament e na crdenaçã da respsta a incidentes, quer na divulgaçã e utras frmas de prmçã d cnceit CSIRT dentr d territóri nacinal. A nível nacinal CERT.PT tem vind a prmver a criaçã de nvas CSIRT facilitand acções de frmaçã e dand api necessári a seu estabeleciment. Cm resultad a 42

59 FCCN tem vind a assinar prtcls de cperaçã cm s principais peradres de telecmunicações e utras entidades relevantes cm vista à criaçã de uma rede nacinal de CSIRTs e cperaçã efectiva nas áreas da segurança infrmática. A nível internacinal, serviç CERT.PT tem participad activamente ns principais fra relacinads cm as temáticas da segurança infrmática e da gestã de incidentes e fi a primeira equipa de respsta a incidentes de segurança infrmática nacinal a bter a acreditaçã internacinal d serviç Trusted Intrducer ainda em (CERT.PT, 2010) Missã O CERT.PT tem cm missã cntribuir para esfrç de cibersegurança nacinal nmeadamente n tratament e crdenaçã da respsta a incidentes, na prduçã de alertas e recmendações de segurança e na prmçã de uma cultura de segurança em Prtugal. Para esse efeit: Presta api a utilizadres de sistemas infrmátics na resluçã de incidentes de segurança, acnselhand prcediments, analisand artefacts e crdenand acções cm as entidades envlvidas; Reúne e dissemina infrmaçã relacinada cm nvas vulnerabilidades de segurança e prduz recmendações referentes a ptenciais riscs de segurança e actividades malicisas em curs n sentid de frmar uma cnsciência de segurança junt ds utilizadres de sistemas infrmátics; Prmve a criaçã de nvs CSIRT em Prtugal e a cperaçã entre estes. O CERT.PT respnde a incidentes de segurança infrmática n cntext da cmunidade utilizadra da RCTS - Rede Ciência, Tecnlgia e Sciedade (Figura 2.12). Adicinalmente presta serviç de crdenaçã da respsta a incidentes dentr d territóri nacinal e em particular para s CSIRT cm s quais tem acrds celebrads. 43

60 Figura 2.12 Síti d CERT.PT na internet Sistemas Dinâmics Intrduçã Os Sistemas Dinâmics surgiram cm uma metdlgia de simulaçã de variáveis da gestã, criada em 1958 pr Prfessr Dr. Jay W. Frrester, engenheir e investigadr d MIT Massachusetts Institute f Technlgy e cuj bjectiv era apiar prcess de tmada de decisã, verificand s desvis entre cmprtament da realidade e previst, pr mei de um prcess de aprendizagem sbre um determinad cntext, cm bjectiv de cmpreendê-l e permitir acçã sbre s mesm. Esta área d cnheciment deriva da escla d pensament sistémic e prpõe-se a apresentar s cntexts pela representaçã ds seus events. Este métd identifica as variáveis e s factres crítics d referid cntext, delineand padrões de cmprtament e representand a sua estrutura sistémica para que se pssam aplicar arquétips precncebids. Esses arquétips sã cmprtaments bservads sistematicamente definids em razã da cmplexidade d mapeament d cntext. A resultante d métd passa pela identificaçã de mdels mentais que pdem ser reavaliads para uma nva prjecçã d sistema. Frrester (1971) classifica s sistemas em dis tips de cicls: aberts e feedback u recursivs. N sistema de cicl abert, nã há recnheciment 44

61 e reacçã à sua própria perfrmance, além que a acçã passada nã cntrla a sua acçã futura. Estes sistemas sã caracterizads pr relações causa e efeit lineares, sem retr alimentaçã. O sistema de cicls de feedback u recursivs sfrem influência pel seu cmprtament passad, nde causa e efeit se cnfundem, send a sua estrutura que determina seu cmprtament. Gdman (1989) afirma que s cicls de feedback u recursivs pdem ser representads pr um cnjunt de causas interligadas, que em funçã de estruturas e actividades geram respstas e cmprtaments. Quand uma acçã uma variaçã n mesm sentid, rigina-se um feedback psitiv u de refrç, quand em sentid cntrári é prduzid um feedback negativ u de equilíbri. Quant à mdelaçã de sistemas, segund s cnceits ds Sistemas Dinâmics, pdem ser mdelads pr métds qualitativs u quantitativs. Hje existem diverss sftwares, cm Vensim, Stella, ithink e PwerSim que pdem ser utilizads em cmputadres pessais para a implementaçã de mdels de sistemas, também chamads de simuladres de v para as ciências em geral, numa analgia cm s simuladres de v tradicinais já amplamente utilizads ns cmputadres pessais e que ajudam a aprender a piltar aviões sem utilizar aernaves. O MIT-MA-USA, lcal de trabalh d Prf. Dr. Jay W. Frrester, tem sid grande pól geradr de grande parte das pesquisas cientificas na aplicaçã d Pensament Sistémic em tdas as áreas da ciência e das principais aplicações na educaçã cm prject System Dynamics and Learner Centered Learning in Kindergarten thrugh 12th Grade Educatin, que está a ser implementad em centenas de esclas ns Estads Unids da América. Prjects semelhantes estã a ser implementads na Dinamarca, Nruega, Suécia, Finlândia, Inglaterra, Hlanda e utrs países Vantagens ds Sistemas Dinâmics O us de simulaçã em sistemas dinâmics apresenta as seguintes vantagens: Cmbinam a teria, métds e filsfia para analisar cmprtament de sistemas em diversas áreas cm a engenharia, saúde, gestã, etc; Ajudar a cmpreender cm e prquê as alterações acntecem a lng d temp; Os primeirs artigs relativs a Sistemas Dinâmics aparecem na Harvard Business Review (Frrester, 1958); Sã utilizads para melhr cmpreender s meis sciais e ecnómics. Utilizam cnceit de camp de Cntrl de Feedback para rganizar infrmações na frma de mdels para simulaçã cmputacinal. 45

62 Imprtância ds Sistemas Dinâmics Os Sistemas Dinâmics sã imprtantes pelas seguintes razões: É uma metdlgia utilizada para entenderms cm s sistemas se mdificam a lng d temp; É uma ferramenta que permite a criaçã de labratóris de aprendizagem; Permite api d prcess de aprendizagem, permitind cnhecer melhr as rganizações. Os sistemas apresentam padrões circulares de causa e efeit, chamads cicls de re- -alimentaçã ( feedback ) de fácil representaçã; Mstram s relacinaments das variáveis d sistema, send melhr cmpreendids Sftware de Sistemas Dinâmics Vensim PLE Vensim PLE (Persnnel Learning Editin) - Vensim é uma ferramenta de mdelaçã visual que permite desenvlver, dcumentar, simular e analisar mdels de sistemas dinâmics. Criada pr Ventana Systems, Inc., fi delineada para trnar mais fácil a assimilaçã da Dinâmica de Sistemas (Figura 2.13). Este sftware frnece um md simples de cnstruir mdels de simulaçã a partir de diagramas causais u de diagramas de flux (cm s d STELLA). Há um editr de equações que auxilia a cmpletar mdel. Uma vez cmplet, pder-se-á explrar cmprtament d mdel. Figura 2.13 Sftware de Sistemas Dinâmics Vensim PLE13 46

63 Os váris resultads simulads pdem ser apresentads numa só janela permitind a sua bservaçã e interpretaçã mediante a alteraçã sistemática das várias variáveis, parametrizand tip de gráfic esclhid, assim cm as variáveis a apresentar n Output final O Mdel Dinâmic de Gestã de Incidentes Intrduçã O cnceit de gestã d cnheciment segur tem uma dupla natureza, que surge quand se analisam s prpósits de segurança e segurança da infrmaçã nas rganizações. Para este estud, nã se distingue s cnceits de cnheciment, dads, infrmaçã e sabedria. Iss nã se reflecte na imprtância dessa taxinmia, que fi abrdada pr muits utrs (Davenprt, 1997; Halal, 1998; Hlzapple e Jshi, 2004; O'Dell e Graysn,1998; Stewart, 1997; Sveiby, 1997). Em vez diss, é abrdada especificamente uma utra questã: será que estams a assegurar a segurança d cnheciment, da gestã da segurança da infrmaçã, u ambs? A primeira parte da dualidade, garantind a segurança d cnheciment enquant um activ, pde ser pensada cm um prcess em que se garante a sua crrecta e adequada utilizaçã n suprte à missã d prprietári (ISO / IEC, 2005). A mesm temp, garantir a segurança d cnheciment inclui também a prevençã d us indevid, seja ele intencinal u nã, de fntes tant internas cm externas (Haley et al., 2005). A cnfidencialidade da infrmaçã, a sua integridade, a sua dispnibilidade e nã-repudi (CIA-NR) sã uma pedra angular das perações seguras, e seu api tem sid a precupaçã tradicinal de grande parte da tecnlgia de segurança da infrmaçã: criptgrafia, firewalls, detecçã de intrusã, e um grande númer de utras ferramentas (nrma ISO / IEC, 2005; Natinal Institute f Standards e Tecnlgy, 2000). A estratégia da "defesa em prfundidade", nde a utilizaçã de várias tecnlgias em sbrepsiçã sã utilizadas para melhrar perfil de segurança da empresa, tem sid frtemente recmendada há já algum temp (Natinal Institute f Standards and Tecnlgy, 2001). A segunda parte da dualidade, a gestã da segurança d cnheciment, diz respeit à reclha, validaçã e aplicaçã de infrmações relacinadas à segurança em benefíci da empresa. Muitas das tecnlgias citadas acima prtegem e relatam as suas actividades. A capacidade de usar esse cnheciment de frma a mdificar e manter pró activamente um perfil de segurança frte, é crucial para um sucess cntinuad em face da rápida evluçã 47

64 das ameaças. Além diss, uma disseminaçã bem sucedida de lições aprendidas cm falhas de segurança crridas n passad e quase-acidentes é imprtante para desenvlviment de uma cnsciência de segurança dentr da cultura da empresa. Esta cnsciência pde ajudar a prevenir futurs imprevists e dar as clabradres um marc cerente de frma a estes julgarem e avaliarem suas acções. A cmplexidade da gestã da infrmaçã sbre segurança aumenta rapidamente, tal cm as ameaças à segurança. O aument de vlumes de ataques e a sfisticaçã destes tem vind a crescer (Grdn et al., 2004). Sluções frtuitas u unidimensinais que negligenciem estas mudanças nã ferecem prtecçã suficiente num ambiente em mudança (Campbell, 2006); pr utr lad, ferramentas adaptáveis para detecçã e mitigaçã de ataques e anmalias estã ainda numa fase embrinária de desenvlviment (Debar e Viinikka, 2005). Assim, a necessidade tant de uma gestã segura d cnheciment cm de uma gestã de infrmações de segurança deverá cntinuar a existir Os desafis rganizacinais Gld et al. (2001) identificam três dimensões-chave na capacidade da infra-estrutura de uma rganizaçã dar suprte a um prgrama de gestã tecnlógica, estrutural e cultural, cm questões nã-técnicas muitas vezes a determinarem resultad d prgrama (Damdaran e Olphert, 2000). O suprte estrutural a prgramas de gestã d cnheciment assume a frma de alcaçã de recurss de uma rganizaçã e a afirmaçã pública ds bjectivs desses sistemas (Debwski, 2006). A capacidade de uma rganizaçã para alterar s padrões de interacçã entre s seus clabradres, prcesss e tecnlgias para explrar s seus activs de cnheciment depende da cmpreensã de sua cultura rganizacinal (Bhatt, 2001). Essas abrdagens sbre s elements estruturais e culturais da gestã ds sistemas de cnheciment reflectem a realidade d cmprtament rganizacinal, que é puc racinal, mens que ideal em terms ecnómics e cnduzid, em grande parte, satisfazend as exigências cntraditórias ds múltipls intervenientes. Antes de uma vilaçã de segurança crrer, é difícil estimar s benefícis de assegurar a segurança da infrmaçã, em relaçã a utrs investiments. Após uma falha de segurança, as perdas ecnómicas, pr sua vez geram dúvidas acerca de decisões anterires (Grdn et al., 2004). Embra s mdels ecnómics existam para rientar as empresas nas suas decisões de alcaçã (Grdn e Leb, 2002), estas nem sempre recnhecem cmplet valr ecnómic ttal u estratégic da prevençã de errs (Repenning e Sterman, 2001). Um sistema para gerir a segurança d cnheciment em benefíci da empresa frnece um valr preventiv semelhante, mas a sua imprtância percepcinada pde nã ser clara na 48

65 ausência de falhas. Na verdade, sucess em evitar prblemas e dissuasã de eventuais invasres pdem criar cmplacência. Além diss, as percepções individuais da imprtância de segurança em relaçã a utras pressões na empresa pdem criar um precnceit cntra a elabraçã de relatóris incidentes. Embra a necessidade da frmaçã ds utilizadres, em prl de uma rganizaçã segura seja muitas vezes discutid, estes pdem cnsiderar as nrmas de segurança frtes cm intrusivas, puc práticas, u em desacrd cm as suas cntribuições para lucr. Estuds de aceitaçã da tecnlgia (Davis, 1989; Venkatesh e Davis, 2000) explicitamente cnsideram a utilidade percepcinada cm um imprtante factr de êxit. Se a reclha e difusã de cnheciments de segurança nã frem vists cm um factr que cntribui para a prssecuçã ds bjectivs da empresa rientads para a prduçã, serã desvalrizads. Pdems encntrar um paralel a ist na segurança industrial, nde frtes pressões ecnómicas n sentid de manter a prduçã pdem ter efeits prejudiciais para a segurança (Cke e Rhleder, 2006). A resistência à partilha d cnheciment também pde surgir quand as pressões cmpetitivas internas da empresa criam resistência as cntrls de segurança adequads (Mn e Park, 2002). Uma gestã d cnheciment segur bem sucedida deve ter em cnta s efeits da denúncia sbre indivídu e a empresa, dad que s desincentivs pdem ser difíceis de eliminar. N dmíni das ntificações de segurança, pr exempl, quand s relatóris de incidentes têm de subir na hierarquia até chegar as decisres que hã-de actuar, s intermediáris pdem blquear um relatóri que indica a sua respnsabilidade pr negligência u culpa (Jhnsn, 2003). As relações pessais dentr da empresa pdem limitar seu cumpriment. O sentid de lealdade de um clabradr para cm um clega de trabalh u um superir hierárquic pdem impedi-l de partilhar cnheciments que pdem ser prejudiciais à sua reputaçã u à sua carreira (Jhnsn, 2003; Phimister et al., 2003). Relatóris anónims u cnfidenciais registam maires taxas de sucess em terms de participaçã (Lee e Weitzel, 2005), embra a remver infrmações de identificaçã, detalhes imprtantes d prblema também pdem ser perdids, reduzind assim a eficácia d sistema. Há também regist de um cnheciment limitad da presença de prblemas de segurança u cmprtament de risc entre pessal fra da área de segurança. Existe uma adpçã generalizada de ferramentas simples de segurança cm firewalls e sftware antivírus. A mesm temp, prém, errs cmuns e "Higiene de segurança" limitada pdem ser atribuíds a alguma descnexã cgnitiva u scial entre as priridades d pessal de segurança e as priridades daqueles que prtegem, criand uma lacuna na cultura de segurança (Schneier, 2000; Winkler, 2005). 49

66 D pnt de vista da empresa, um cnjunt de falhas de segurança e events pdem, pr si só, trnar-se um imprtante alv para ataque. Tais cnheciments sensíveis pdem incluir relatóris de incidentes que demnstram a cnsciência de uma rganizaçã de uma situaçã ptencialmente perigsa que, se nã fr crrigida, pderia levar a um acidente. Fi bservad que um cnheciment antecipad de uma situaçã perigsa pde ter uma grande influência se s dans punitivs frem avaliads em litígi (Jhnsn, 2003). Pr fim, a ntificaçã de incidentes precisa ir além ds limites tradicinais da rganizaçã. O estud de ataques interns d USSS-CERT / CC nas instituições d sectr bancári e financeir cnstatu que 83% das vilações nas suas bases de dads fram pela primeira vez bservads pr indivídus fra da empresa-alv, e nã pr pessal intern (Randazz al., 2004). Nenhum destes prblemas é surpreendente, e nenhum é intranspnível. A implementaçã de sistemas que visam a gestã de infrmaçã segura requer mais d que sluções tecnlgicamente sólidas. Exige frtes incentivs ecnómics, api frmal e infrmal, uma ligaçã clara às necessidades d mdel de negóci, acmpanhament e execuçã para garantir cumpriment (Grdn e Leb, 2002; Haley et al., 2005; Stantn e Stam, 2006). Tds estes factres devem ter em cnta cm gestres, clabradres e técnics de infrmaçã vêem a segurança da infrmaçã através ds seus própris lhs, e criar uma síntese das necessidades e cmprmisss. Esta integraçã ds váris aspects rganizacinais d cnheciment segur pde trnar-se ns alicerces de uma pdersa cultura de segurança na empresa Os sistemas de ntificaçã de incidentes de segurança cm um mdel de gestã de cnheciment segur A base teórica surge das semelhanças entre s sistemas de ntificaçã de segurança industriais e s sistemas de segurança. Os sistemas de ntificaçã de segurança, sã particularmente aqueles ligads às precupações cm falhas catastróficas e s seus efeits na saúde e n ambiente, já sã usads há décadas. Uma das cnsequências das falhas de segurança é, frequentemente, recnheciment tardi das falhas de infrmaçã nã da tecnlgia de infrmaçã em si, mas ds prcesss humans que limitam a cdificaçã, disseminaçã u recnheciment de situações ptencialmente perigsas através da rganizaçã. Para gerir esta infrmaçã, indústrias e gverns desenvlveram múltipls sistemas que requerem a ntificaçã de falhas de segurança. Estes sistemas sã imperfeits e a sua eficácia é limitada pel vluntarism de individuais e da rganizaçã em identificar vulnerabilidades, events, u riscs ptenciais nas suas perações. 50

67 Os sistemas de ntificaçã de incidentes debruçam-se sbre um tip específic de dads sensíveis: errs, errs de avaliaçã e falhas nas práticas da rganizaçã que pssam afectar s resultads crrentes u futurs. Um incidente significativ pde expr a empresa à perda financeira, a um pssível escrutíni das entidades reguladras e perda de reputaçã e quta de mercad. Mesm aqueles events anómals que nã causam estrags de mair, pdem ser cuidadsamente escrutinads de frma a expr falhas n prcess u cnheciment. Tant s sistemas de ntificaçã de incidentes cm de gestã de cnheciment segur existem num cntext nde a tecnlgia, a ecnmia e teria rganizacinal se cmbinam. Os utilizadres destes sistemas de ntificaçã de incidentes enfrentam expsiçã de errs de curt-praz, errs de cálcul, falhas de visã e insuficiências próprias e ns seus ambientes de trabalh, criand cnflits que afectam s incentivs à sua participaçã. Ns ambientes de trabalh segurs, s utilizadres sã tentads a usar atalhs e a cntrnar as bas práticas de segurança. Um sistema de ntificaçã pderia expr estas decisões e criar cnflits idêntics entre as práticas desejadas e verdadeir cmprtament. Ist mtiva uma análise ds sistemas de ntificaçã de incidentes cm um exempl d que se pderia esperar aquand da criaçã de um sistema para a gestã d cnheciment segur. Apesar da lnga experiência em sistemas industriais de ntificaçã de incidentes, estes cntinuam a ser afectads pela falta de qualidade n relat de incidentes (Jhnsn, 2003). Uma bservaçã interessante é que mesm tip de prblemas crre recrrentemente em váris tips de indústrias. Ist indica que pderá existir uma estrutura dinâmica geral que é válida para muitas destas situações Estrutura d mdel e pressupsts O mdel apresentad (Sveen, Rich, Jager, 2007) nas Figura 2.14, 2.15 e 2.16 é uma síntese de muits cass de várias indústrias diferentes. O mdel fi criad usand a abrdagem de feedback de Sistemas Dinâmics, e implementad utilizand sftware Vensim (Sveen, Rich, Jager, 2007). Os Sistemas Dinâmics encaram s sistemas cm gvernads pr feedback, infrmações, atrass materiais, e acumulações. Prvidenciam uma cmpreensã de prblemas cmplexs através de uma análise de cm a estrutura de um sistema influencia seu cmprtament a lng d temp (Frrester, 1961; Richardsn e Pugh, 1981; Sterman, 2000). 51

68 Base Event Occurrence Rate + - Event Occurrence Rate + Incident Rate B1 - Learning frm Events - B2 - Learning frm Incidents Organizatinal Awareness and Cuntermeasures + R2 - Awareness breeds Awareness Evaluated and Disseminated Events & Incidents Detected Events & Incidents + Event & Incident Reprting Rate Reprted Events & Incidents + Figura 2.14 Mdel d sistema de reprte de incidentes14 (Aprendend cm s incidentes e events) Evaluated and Disseminated Events & Incidents + Event & Incident Reprting Rate + B3 - Repercussins Dissuade Reprting - Mtivatin t Reprt + + Reprted Events & Incidents + + Recriminatins - R3 - Ltteries and Trinket Giveaways + Incentives + Plicy fr Rewarding Reprters R1 - Keeping Staff 'In the Lp' Plicy fr Reducing Reprting Repercussins Figura 2.15 Mdel d sistema de reprte de incidentes15 (Incentivs, recriminações e feed-back da equipa) 52

69 A estrutura d mdel inclui cicls casuais que descrevem cm s events e incidentes sã ntificads e utilizads para a aprendizagem rganizacinal. É de ntar a distinçã entre incidentes e events. Aqui, um event é definid cm uma situaçã imprevista u quaseacidente, gerid pr um cust muit baix u nul n curt praz. Se um event nã é remediad, trna-se num incidente que tem um cust imediat u cnsequência, cm um dan. Os events sã reduzids de acrd cm uma curva de experiência segund a lei de ptência: cada vez que a quantidade de incidentes aprpriadamente investigads duplica, a taxa de crrência de incidentes e events é reduzida numa certa percentagem, reflectind uma aprendizagem gradual a partir da experiência sbre incidentes e events. O mdel apresentad aqui nã trata de cm s incidentes sã criads. A invés, mdel tenta explicar cm a aprendizagem pde crrer a partir da ntificaçã de incidentes e events, de frma a prevenir futurs incidentes. A rigem ds incidentes é, prtant, exterir a mdel e é mantida cnstante, Base Event Occurence Rate (Figura 2.14). Esta cnstante representa que númer de events e, prtant, ptencial para a crrência de incidentes teria sid sem nenhumas cntra medidas u cnsciência rganizacinal. Figura 2.16 Visã Glbal d Mdel d sistema de reprte de incidentes 16 53

70 Aprendend cm s incidentes e events Geralmente, bjectiv de um sistema de ntificaçã de events é partilhar infrmaçã sbre incidentes, de frma a evitar a sua recrrência u minimizar s dans. Quand um incidente crre, alguém tipicamente cm um peradr, uma enfermeira u um pilt, detecta- e faz a respectiva ntificaçã. Num ambiente de gestã de incidentes ideal, uma equipa de investigaçã entraria entã em camp, numa tentativa de descbrir a rigem sistémica desse incidente. Se tiver sucess, medidas pdem ser tmadas e pessal passará a ter cnheciment nã só d perig, mas igualmente d prblema que causu. Estas medidas ajudam a evitar futuras crrências d mesm incidente u, n cas de um event, prevenir a sua transfrmaçã num incidente. À medida que pessal ganha sensibilidade nas questões de segurança, trnam-se mais eficazes a detectar incidentes ptenciais e a quantidade de events e incidentes reprtads aumenta (Figura. 2.14, cicl R2). Na linguagem de Sistemas Dinâmics, B1-Learning frm Events e B2- Learning frm Incidents sã cicls de feedback em equilíbri, nde uma pressã exógena irá gerar ajustaments endógens de frma a cmpensar a pressã n sistema. Neste cas, s cicls B1-Learning frm Events e B2- Learning frm Incidents descrevem um aument na crrência de nvs events aumentand cnheciment, que incrementa grau de prntidã e reduz a crrência de events n futur. R2 Awareness breeds Awareness, descreve cm uma capacidade de detecçã melhrada aumentand a cnsciência da segurança, que cria pressões endógenas que ainda a refrçam mais; a ist chama-se um cicl de feedback de refrç. Os cicls de feedback em equilíbri pderss, que cntrariam efeit de R2 Awareness breeds Awareness, serã descrits psterirmente Mtivações para ntificar À medida que a equipa se apercebe que as ntificações feitas aumentam a segurança da rganizaçã, a sua mtivaçã para ntificar também aumenta (Figura 2.15, R1). De igual md, se a sua percepçã fr de que as suas ntificações nã levam a melhrias, a equipa pde-se sentir desencrajada a cntinuar. Jhnsn chamu a ist manter a equipa em cicl (Jhnsn, 2003). A questã pde nã ser só de feedback da equipa, mas igualmente de feedback das rganizações. Um exempl é us, em Taiwan, de elabraçã brigatória de relatóris relativs a incidentes de aviaçã à administraçã de aviaçã civil de Taiwan (CAA). Lee e Weitzel (2005) revelaram que a base de dads de incidentes de aviaçã da CAA cntém uma quantidade cnsiderável de dads de incidentes, mas devid a prblemas de financiament, esses dads nã fram usads em análise de tendências. Além diss, s dads fram trnads inacessíveis e, prtant, nã fram usads pelas transprtadras aéreas 54

71 de Taiwan, u pel Cnselh de Segurança Aérea de Taiwan (um grup de investigaçã de incidentes de aviaçã de Taiwan). Se aceder as dads fr difícil, s benefícis da ntificaçã parecerã limitads as ptenciais utilizadres. Muitas rganizações utilizam incentivs para aumentar grau de ntificaçã. Neste mdel, s incentivs sã aqueles que têm um efeit psitiv na ntificaçã. Se um incentiv tem um efeit pervers, cm pr exempl, se fr um dissuasr da ntificaçã, é cnsiderad cm nã tend efeit de td, u cm uma recriminaçã. Outr factr imprtante na mtivaçã à ntificaçã sã as repercussões negativas que existem dentr e fra das rganizações. Acções punitivas da gestã, clegas de trabalh que vejam aquele que ntifica cm send desleal, expsiçã as media, acções legais e cultura sã alguns ds factres que pdem dissuadir a ntificaçã (Andersn e Webster, 2001; Jhnsn, 2003; Lee e Weitzel, 2005; Phimister et al., 2003) Investigaçã de incidentes e de events A última parte d mdel diz respeit à qualidade das investigações. Se a qualidade fr muit baixa, cm pr exempl quand a rigem sistémica ds incidentes nã fr encntrada, grau de percepçã da rganizaçã nã aumentará e eventuais salvaguardas que sejam pstas em curs nã serã eficientes. Nas palavras de Jhnsn, s sistemas de ntificaçã de incidentes pdem prprcinar aviss imprtantes sbre s perigs ptenciais. Tdavia, em cass extrems estes aviss pdem parecer-se mais cm ladainhas repetitivas de prcediments de trein d que recmendações pró-activas de segurança. A lng d temp, a repetiçã cntinuada destes aviss ds sistemas de ntificaçã de incidentes é um sintma de prblemas mais prfunds ns sistemas que s utilizadres têm de usar (Jhnsn, 2003). Váris pressupsts simplificadres pdem ser aplicads nesta altura. N mdel, a qualidade da avaliaçã é simplificada cm uma funçã da quantidade de recurss dispníveis e carga de trabalh. Na realidade, nível de trein e grau de experiência d investigadr também têm uma palavra a dizer. Tds s events e incidentes têm mesm grau de severidade; n mund real, a investigaçã prvavelmente receberia recurss adicinais, cas incidentes séris crressem. Tdavia, cm mdel trabalha cm médias a lng d temp, mais d que cm events discrets, esta é uma simplificaçã razável Validaçã d mdel O mdel apresentad é explratóri, expandind um mdel dinâmic de sistemas de ntificaçã de segurança para a área da infrmática. Nã ns pdems fiar ns prcesss 55

72 estatístics que levam a suprte de validaçã de sistemas cmplexs (Frrester e Senge, 1981). Os pressupsts tácits das relações lineares e funções bem cmprtadas nã se aplicam as sistemas sciais nde atrass na infrmaçã e de feedback criam cmprtaments nã lineares fra d âmbit da inferência estatística. Cada um ds cicls e das ligações n mdel representa uma declaraçã de efeits pssíveis, justificada pr ligações à literatura, um primeir nível de validaçã. O mdel representa mdel mental, frmad pr uma pesquisa extensiva e pr intuiçã. A imprtância relativa ds cicls de feedback apenas pde ser examinada através de uma análise a lng d temp, através da simulaçã dinâmica. Quand as técnicas de mdelaçã permitem uma acumulaçã ds efeits a lng d temp, emergem interacções nã lineares que mudam cmprtament aparente d sistema. Os indivídus sã ntriamente incapazes de cmpreender tdas as cnsequências ds seus mdels (Frrester, 1994); pdem nã ser imparciais quand cnfrntads cm a incerteza (Kahnman e Tversky, 2000), e sã incapazes de prcessar muitas ideias simultaneamente (Kahnman, 1973). A mdelaçã e a simulaçã criam imperfeições que pdem ser usadas para dcumentar ideias, estimular debate e criar agendas de pesquisa. A abrdagem pragmática n sentid da validaçã de mdels cmplexs cnsiste em tentar desmntá-ls e reflectir ns resultads btids. De cada vez que um mdel passa uma tentativa cncertada de desafiar seu cnteúd, esse sucess aumenta a cnfiança nas suas cnclusões (Barlas, 1989, 1996; Frrester e Senge, 1980). Em traçs largs, cnsidera-se três categrias de testes: Limites d mdel e frmulaçã - O mdel é cnstruíd de frma a representar s efeits ds events de segurança n interir da rganizaçã. Cntém um cnjunt de frças plausíveis que afectariam as tendências gerais ds indivídus na empresa. Trnad clar estes pressupsts de tendências e fi efectuad teste verificand se s resultads d mdel mudam quand s pressupsts variam. Validade estrutural - A seguir cnsidera-se se mdel está cnstruíd de acrd cm a teria. O mdel é cnsistente cm as declarações descritivas sbre incentivs e desincentivs à ntificaçã de events a nível rganizacinal frnecids pela literatura de ntificaçã de segurança. Também fram efectuads testes de unidades, uma frma de análise dimensinal que é capaz de detectar incnsistências matemáticas na frmulaçã das equações. 56

73 Validade cmprtamental - Outra fnte de api surge da revisã ds resultads da simulaçã dinâmica à luz de uma série de pressupsts. Para este mdel, faltaram dads reais de definições de segurança, dad que esta infrmaçã raramente é partilhada fra das rganizações. A invés, examinu-se cmprtament d mdel em cndições variadas e medims s seus resultads. Pr exempl, examináms mdel em cndições de equilíbri e em cndições extremas, ambs artificiais, de frma a prcurar falhas de especificações escndidas. Tdavia, a falta de dads da indústria trna a validade externa d mdel limitada. O bjectiv é demnstrar uma estrutura plausível que gera um cmprtament em particular; neste cas, identificand a frma cm s gestres pdem interpretar mal a infrmaçã sbre a segurança das suas rganizações a fcar mais a atençã na quantidade de ntificações efectuadas d que n cnteúd e lições das mesmas. O bjectiv nã é fazer previsões sbre resultads numérics, dad que a existência de demasiada incerteza ns mecanisms subjacentes trnaria esse mesm bjectiv inválid (Sveen, Rich, Jager, 2007). 57

74 3. O PROCESSO DE GESTÃO DE INCIDENTES 3.1. Intrduçã Neste capítul é analisad um prcess de gestã de incidentes implementad numa empresa financeira em Prtugal. A gestã de incidentes tem pr bjectiv a repsiçã d serviç n mais curt espaç de temp e cm mínim impact para negóci, garantind que s melhres níveis pssíveis de qualidade sã assegurads, assim cm prcess agregadr de cnheciment, cm um prcess cntinu de aprendizagem para evitar que s mesms incidentes pssam cndicinar nvamente serviç prestad pela rganizaçã. A Figura 3.1, apresenta a visã macr das actividades que servem de input e utput à gestã de incidentes. Inputs Prcess Outputs Incidente detectad Alertas gerads pr ferramentas de mnitrizaçã Regist de Prblema Regist de Altera çã Knwledge Base de sluções Dcumentaçã d fabricante / frnecedr CMDB Fila de resluçã da 2ª Linha PAS / SLA d servi ç Lgs de sistema u aplicaçã Cntrats cm frnecedres Infrmaçã externa (ex.: Internet) Gestã de Incidentes Regist de Incidente, relacinad cm utrs regists, cm detalhe da execuçã, reslvid, validad e fechad Regist de Prblema Regist de Anmalia Grave Regist de Indispnibilidade Regist de LDC Sluçã utilizada Prpsta de wrkarund / sluçã definitiva para Knwledge Base RFC (pedid manuten çã crrectiva) Necessidade de manutençã evlutiva Classificaçã da satisfaçã Serviç repst Figura 3.1 Actividades de Input / Output d prcess17 Na Figura 3.2 detalham-se as actividades internas na Gestã de Incidentes. Numa análise prmenrizada, verifica-se que este prcess encntra-se implementad segund as nrmas e 58

75 bas práticas crrentes, existind uma precupaçã pela detecçã e classificaçã ds incidentes, pis a partir deste mment existe um acmpanhament cnstante cm bjectiv final de uma sluçã, assim cm regist numa base de dads de cnheciment de tdas as intervenções cm vista à sua resluçã, cntribuind assim para uma prevençã de recrrências ds mesms incidentes. Inputs Actividades Outputs Incidente detectad Alertas gerads pr ferramentas de mnitrizaçã Detectar Incidente Identificar Incidente Registar Incidente Incidente registad e/u actualizad cm detalhe d Cliente Inputs Incidente cm detalhe d Cliente Regist de Prblema Regist de Alteraçã Knwledge Base de sluções Dcumentaçã das aplicações CMDB Guias de Arquitectura Fila de resluçã de 2ª Linha PAS / SLA d servi ç Classificar Incidente Efectuar classificaçã inicial e e prestar api a Cliente u encaminhar Rever classificaçã e identificar sluçã pré-definida u encaminhar Outputs Incidente actualizad cm detalhe da Classificaçã e relacinad cm utrs regists Regist de prblema Regist de anmalia grave Regist de indispnibilidade Regist de LDC Incidente actualizad cm detalhe da classificaçã Regist de Prblema Regist de Alteraçã Knwledge Base de sluções Fila de resluçã da 2ª Linha Lgs de sistema u aplicaçã CMDB Dcumentaçã d fabricante / frnecedr Cntrats ds frnecedres Infrmaçã externa (ex.: Internet) Analisar e e Diagnsticar Investigar e criar nva sluçã u u encaminhar Efectuar diagnóstic avançad e identificar sluçã Incidente actualizad e relacinad cm utrs regists Sluçã a aplicar RFC (pedid de manutençã crrectiva) Necessidade de manutençã evlutiva Regist de LDC 59

76 Inputs Actividades Outputs Incidente actualizad Knwledge Base de sluções Reslver e Validar Reslver incidente Validar repsiçã d serviç Respsta a RFC (pedid de manutençã crrectiva u evlutiva) Sluçã utilizada Incidente validad pel Cliente Classificaçã da satisfaçã Incidente validad pel Cliente Knwledge Base de sluções Regists de Incidentes Fechar Incidente Actualizar dcumentaçã / infrmaçã assciada Fechar regists Mnitrizar, Cntrlar e Cmunicar Mnitrizar e crdenar incidentes Cmunicar cm Cliente Incidente fechad Prpsta de wrkarund / sluçã definitiva para Knwledge Base Dcumentaçã das aplicações / sistemas actualizada RFC para actualizaçã da CMDB Relatóris de gestã cm prgress e incidentes Relatóris / Cmunicaçã para Cliente Regist de prblema Regist de anmalia grave Figura Actividades Internas d Prcess18 Na Figura 3.3 apresenta uma visã geral das relações entre as várias actividades. Figura Relaçã entre as actividades19 60