USO DO MÉTODO DE ANÁLISE HIERÁRQUICA (AHP) PARA ESCOLHA DE FIREWALL CORPORATIVO

USO DO MÉTODO DE ANÁLISE HIERÁRQUICA (AHP) PARA ESCOLHA DE FIREWALL CORPORATIVO Renan Heiji Susuki Aluno de Especialização do IFMT, Campus Cuiabá. Aldo Antonio Vieira da Silva Professor Mestre do IFMT, Campus Cuiabá, orientador. Resumo O presente trabalho tem a finalidade de apresentar o uso de um método multicriterial para auxiliar na tomada de decisão da escolha de firewalls corporativos. Adotou-se o método de análise hierárquica denominado AHP (Analytic Hierarchy Process), devido a sua capacidade de lidar com aspectos qualitativos e quantitativos de um problema de decisão. Tal problema é decomposto em vários níveis de critérios, o que permite a estruturação de forma hierárquica ganhando melhor visibilidade e clareza nas decisões, graças à comparação par a par e atribuição de pesos entre eles. Foi utilizada a investigação exploratória, por meio de estudo de caso em uma instituição de ensino que pretende adquirir firewall corporativo que mais atenda às suas necessidades para a próxima sede que será construída. A modelagem do problema e a seleção dos critérios decisórios mais relevantes foram baseadas em questionários abertos e aplicados a diferentes especialistas do ramo que compõem cada nível de decisão, sendo: os gestores no nível estratégico e os técnicos no nível operacional. Dessa forma, foi possível extrair os principais critérios envolvidos na tomada de decisão nessa instituição, o que torna este passo fundamental no processo decisório. Foi escolhida a ferramenta de software livre chamada Open Decision Maker que implementa o algoritmo AHP e fornece mecanismos para a elaboração do problema e a geração do relatório da decisão. O resultado da solução escolhida por este método mostrou-se justificável baseado nas necessidades dos decisores, ou seja, dos gestores e dos técnicos da instituição. Além disso, o grau de inconsistência gerado pelo método AHP em cada decisão foi inferior à taxa de 10%, o que significa que as decisões foram feitas de forma conscientes e não apresentando sinais críticos de dúvidas. Sendo assim, a contribuição geral deste trabalho é auxiliar na tomada de decisão de forma racional e metodológica para futuras aquisições de firewalls, além de abrir possibilidades para novos estudos com outras técnicas e problemas diferentes. Palavras-chave: AHP. Firewall. Decisão. Multicriterial. 1

Introdução Nos dias atuais a concorrência entre os fornecedores de tecnologia está cada vez mais acirrada e cabe ao consumidor analisar as suas necessidades e investir no produto mais adequado a elas. Nessa circunstância, a constante expansão da Internet fez com que a indústria de segurança tenha crescido rapidamente e, desde então, vários produtos surgiram com diversas variações, entre eles o firewall. Isso acaba gerando muitas dúvidas na escolha de uma solução que melhor se enquadre às necessidades de segurança de cada organização. O melhor investimento é fundamental para o crescimento e sucesso das organizações, ainda mais quando se trata de equipamentos de segurança, já que é um dos principais responsáveis por cuidar e preservar as informações. Sendo assim, é justificada a investigação e o estudo mais aprofundado da melhor alternativa para aquisição de solução de firewall corporativo. No entanto, é preciso tomar muito cuidado, pois, segundo Mendonça et al. (2013), há uma diferença pequena entre acertar e errar na tomada de decisão na área da Tecnologia da Informação (TI). Isso acontece devido à complexidade causada por envolver múltiplos critérios (técnicos e estratégicos), e ainda por cima obter a transparência nas decisões. Portanto, este trabalho tem como objetivo principal auxiliar a tomada de decisão para escolha de equipamento de firewall corporativo utilizando um método multicriterial. Fundamentação Teórica Esta seção aborda os princípios teóricos acerca do tema trabalhado, ou seja, sobre firewalls e sobre a técnica multicriterial de apoio à decisão baseada no método de análise hierárquica AHP. i) Firewall Segundo Sheth e Thakker (2011, p. 1), os firewalls protegem uma rede confiável de uma rede não confiável, através de filtragem do tráfego. Um firewall é muitas vezes colocado entre a rede privada e a Internet. Sua função é inspecionar cada pacote que passa através da entrada ou saída e decidir se aceita ou não o pacote. De acordo com Caruso e Steffen (2006), o firewall se divide em dois componentes: o filtro de pacotes e o gateway de aplicação. O primeiro inspeciona cada pacote tanto de entrada quanto de saída e verifica se a origem e o destino de cada um tem permissão ou não de acesso. Já o segundo, em vez de apenas examinar os pacotes brutos, o gateway de 2

aplicação toma a decisão de transmitir ou descartar a mensagem através do tamanho da mensagem, do seu conteúdo (em busca de palavras-chave), e até mesmo da análise dos campos de cabeçalho. Caruso e Steffen (2006) explicam que por o firewall ser um equipamento estratégico para a segurança da informação, atualmente os fabricantes incluem diversas outras funcionalidades e recursos para aumentar ainda mais a segurança, porém em compensação o preço se eleva. Tal fato pode ser observado nos catálogos dos fabricantes como, por exemplo, a inclusão de IDS (sistema de detecção de intrusões), Antivírus, Antisspam e outros. Desta forma, um ponto importante a ser observado na escolha de um firewall é se o valor dos dados e informações supera o valor do investimento para protegê-los, já que quanto maior for o grau de segurança, maiores serão os custos. Os custos que geralmente envolvem a aquisição de firewall incluem: software, hardware, implantação, manutenção, treinamento e serviços complementares. No entanto, os custos relacionados à falta de proteção inclui a perda de informações e interrupção de serviços que muitas vezes gera prejuízos imensuráveis. ii) Método de análise hierárquica AHP De acordo com Marins et al. (2009, p.1779), o método AHP (Analytic Hierarchy Process) é um dos mais utilizados e conhecidos no apoio à tomada de decisão para múltiplos critérios, já que envolve tanto a análise qualitativa quanto quantitativa dos fatores decisórios. Foi desenvolvido no início da década de 1970 por Tomas L. Saaty e baseia-se em decompor o problema em vários níveis hierárquicos para facilitar os decisores no julgamento e na priorização das escolhas. Segundo Vieira (2006 apud Da Costa e Belderrain, 2009, p.2) esse modelo possui praticamente três princípios, são eles: a) Construção de hierarquias: é feita a decomposição do problema, representando no topo o objetivo, ou seja, o propósito geral da decisão e nos níveis abaixo representam os critérios, subcritérios e, por fim, as alternativas conforme mostra a Figura 1. 3

Figura 1 - Estrutura Hierárquica do AHP Fonte: Vieira (2006 apud Da Costa e Belderrain, 2009, p.2) b) Definição de prioridades: baseado na habilidade de percepção do ser humano de relacionar objetos e situações é possível fazer comparações paritárias sob um determinado foco ou critério, atribuindo prioridades. Essas comparações são feitas através de valores que variam entre 1 a 9, conforme apresentado na Tabela 1, e é denominada Escala Fundamental de Saaty. Segundo Da Costa e Belderrain (2009, p.3), há estudos na área de psicologia que afirma que o ser humano consegue julgar corretamente até nove pontos no máximo, denominados de limite psicológico. No método de Saaty usualmente é utilizado somente os números ímpares, pois os intervalos (números pares) são considerados julgamentos intermediários e usados em casos bem restritos. Tabela 1 Escala Fundamental de Saaty Escala verbal Escala numérica Igual preferência (Importância) 1 Preferência (Importância) fraca 3 Preferência (Importância) moderada 5 Preferência (Importância) forte 7 Preferência (Importância) absoluta 9 Julgamentos Intermediários 2, 4, 6 e 8 Fonte: Adaptado de Saaty (2000 apud Trevizano e Freitas, 2005) Sobre os julgamentos paritários, Marins et al. (2009, p.1779) explicam que [...] a quantidade de julgamentos necessários para a construção de uma matriz de julgamentos genérica é n (n-1)/2, onde n é o número de elementos pertencentes a esta matriz. Essa 4

matriz pode ser observada na Tabela 2, que representa a comparação par a par entre os critérios. A avaliação numérica é o valor da Escala Fundamental de Saaty escolhido pelo decisor. Tabela 2 Matriz de comparação Critério 1 Critério 2 Critério 1 1 Avaliação Numérica Critério 2 1 / Avaliação Numérica (Recíproco) 1 Fonte: Vargas (2010, p. 6) Vargas (2010, p. 5) faz uma importante observação ao dizer que: O AHP transforma as comparações, muitas vezes empíricas, em valores numéricos que são processados e comparados. O peso de cada um dos fatores permite a avaliação de cada um dos elementos dentro da hierarquia definida. Essa capacidade de conversão de dados empíricos em modelos matemáticos é o principal diferencial do AHP com relação a outras técnicas comparativas. c) Consistência lógica: De acordo com Da Costa e Belderrain (2009, p.3) [...] o método permite, por meio da proposição de índices, avaliar a consistência da definição de prioridades, ou seja, é capaz de verificar a consistência dos julgamentos. Sendo assim, Saaty (2000 apud Trevizano e Freitas, 2005, p. 2978), explica que tal recurso é denominado Grau de Inconsistência, e mede o quanto os julgamentos obtidos representam a realidade, tendo como indicador satisfatório um valor menor que 10%. Em geral o método AHP envolve várias e extensas operações matemáticas das quais este trabalho não contempla o passo a passo, porém pode ser visto com mais detalhes no trabalho dos autores Trevizano e Freitas (2005). Os cálculos matemáticos do método AHP, segundo Vargas (2010, p. 5), [...] podem parecer simples em um primeiro momento, no entanto, em casos mais complexos, as análises e cálculos tornam-se grandes e exaustivos e, usualmente, só são viáveis através do uso de softwares específicos de cálculo. Trabalhos Relacionados Na etapa de levantamento de materiais e conteúdos para subsidiar esta pesquisa foram encontradas os seguintes trabalhos: i) Vargas (2010), em seu trabalho, aplicou o método AHP na priorização e na seleção de projetos em um portfólio, o artigo também discute a importância e os possíveis 5

critérios para adotar neste contexto. ii) Na dissertação de mestrado da autora De Oliveira (2011) teve como objetivo geral aplicar o método AHP para tomada de decisão em Computação em Nuvem baseado em estudo de caso, no qual utilizou o software chamado "Web-Hipre". A análise dos dados foi realizada de forma comparativa e qualitativa. Os resultados constataram a importância da aplicação do método AHP na tomada de decisão para adoção da Computação em Nuvem. ii) No artigo dos autores Trevizano e Freitas (2005) mostram a aplicação do método AHP para contribuir na tomada de decisão na escolha de computadores, tendo em vista as configurações do processador utilizado. iv) No trabalho dos Marins et al. (2009) teve como objetivo demonstrar a aplicabilidade do método AHP em tomadas de decisões gerenciais no setor público, para isso utilizaram o software "Expert Choice". Os resultados apontam que o uso deste método, o AHP, provê a interação de várias pessoas, de diversas áreas, envolvidas na estratégia em questão para tomadas de decisões gerenciais. Apesar da busca ter sida realizada através da internet, foi feita de forma minuciosa para extrair apenas de fontes confiáveis e com caráter acadêmico. Não foi encontrado nenhum trabalho que utilizou algum método multicriterial para tomada de decisão em firewall. Metodologia Em relação aos procedimentos metodológicos, foi realizada uma pesquisa exploratória, por meio de estudo de caso em uma instituição de ensino, na qual se pretende adquirir uma solução de firewall corporativo que mais atenda às suas necessidades. Essa nova solução contemplará a proteção das informações que envolvem desde os dados dos alunos, dos funcionários até dos os professores da futura sede que será construída. Sendo assim o estudo de caso tem a finalidade de validar o uso do método de análise hierárquica AHP como ferramenta ao apoio à decisão para a escolha de firewall corporativo diante dos critérios envolvidos. Com o intuito de extrair as reais condições decisórias desta instituição específica, a construção das hierarquias, ou seja, a escolha dos critérios mais relevantes foi baseada em questionários abertos e aplicados a diferentes especialistas do ramo, dentro e fora da instituição, que compõem cada nível de decisão, sendo: os gestores (no nível estratégico) e 6

os técnicos (no nível operacional). Desta forma, foram entrevistados dois gestores da instituição: um coordenador de TI e um diretor financeiro no nível estratégico. Para compor o nível operacional foram entrevistados dois analistas de sistemas da instituição e dois consultores externos de segurança da informação. A aplicação desses questionários utilizou a troca de e-mails e entrevistas. Após finalizar a construção das hierarquias já com todos os critérios definidos, foi necessário buscar as soluções de firewalls corporativos e suas respectivas especificações para poder avaliá-las. Nesta etapa, fez-se o levantamento dos principais fabricantes do mercado na atualidade para obter as informações técnicas dos produtos. No entanto, foi preciso restringir essa busca nos firewalls que suportavam entre 40 a 50 mil conexões por segundo, já que se trata de um ambiente corporativo. Posteriormente, realizou-se a busca dos fornecedores para cada produto com a finalidade de obter informações comerciais, como, por exemplo, os assuntos relacionados ao custo. A troca de informações com os fornecedores foi realizada através do correio eletrônico e também foi utilizado o site ComprasNet do governo federal para obter atas de registros de preço dos pregões realizados. Foram coletadas três soluções denominadas como: Solução X, Solução Y e Solução Z. A não divulgação da marca e modelo dos produtos foi necessária, já que este trabalho não tem o intuito de promover ou inferiorizar os fabricantes e fornecedores. Ao final desta etapa, foi possível iniciar a priorização paritária dos critérios com os atores decisórios, ou seja, com os gestores e os técnicos da instituição. Para auxiliar nesse processo, foi preciso utilizar um software, já que envolve diversas e complexas operações matemáticas. Sendo assim, a ferramenta escolhida, que implementa o algoritmo AHP, foi o software livre chamado Open Decision Maker na versão 1.0.1 sob a licença da GPL (General Public License) versão 3. Esse programa fornece mecanismos para a elaboração do problema com facilidade e a geração de relatório de decisão, além de estar disponível em multiplataforma, já que é executado em máquina virtual Java. Na definição das prioridades, ou seja, a aplicação dos pesos entre os critérios foi utilizada o próprio software, em que o decisor (gestor ou técnico) escolhe o valor baseado na Escala Fundamental de Saaty. Dessa forma, os gestores compararam par a par todos os critérios do primeiro nível da hierarquia, ou seja, que tratam apenas de fatores estratégicos. Logo em seguida, os técnicos compararam os critérios e soluções nos demais níveis da hierarquia que se referem aos fatores operacionais. Ao final de todas as comparações, o 7

sistema mostra o resultado da solução mais adequada sob a perspectiva do método AHP, e também aponta todos os passos realizados e a geração do relatório final do processo decisório. Resultados e Discussões Após o levantamento, coleta e processamento dos dados colhidos, esta seção apresenta os resultados obtidos e as respectivas análises. Com a extração dos critérios concluída, a Tabela 3 apresenta o resultado das hierarquias, sendo que na primeira coluna estão os critérios para os gestores decidirem, as demais colunas são para os técnicos. Ainda na Tabela 3, é possível identificar os valores obtidos das soluções X, Y e Z. Tabela 3 Construção das hierarquias Critérios para Gestores Custo Recursos Desempenho Subcritérios para Técnicos Soluções de firewalls corporativos X Y Z Aquisição R$ 82.800 R$ 56.244 R$ 45.715 Suporte (R$/Hora) R$ 400,00 R$ 200,00 R$ 150,00 Treinamento R$ 8.000 R$ 4.500 R$ 11.000 Implantação R$ 10.000 R$ 20.000 R$ 22.500 Proxy Sim Sim Não Antivírus Sim Não Não Antisspam Sim Não Não IPS Sim Sim Sim Cluster Sim Sim Sim Usuários autenticados simultâneos 500 mil 2 milhões 1 milhão Conexões por segundo 40 mil 50 mil 50 mil Stateful Throughput 6 Gbps 8 Gbps 4 Gbps VPN Throughput 3 Gbps 200 Mbps 700 Mbps IPS Throughput 2 Gbps 1.5 Gbps 1.3 Gbps Fonte: Construção do autor. As telas representadas pelas Figuras 2 e 3 mostram, respectivamente, a fase de priorização dos critérios e das soluções, que foram realizadas no sistema Open Decision 8

Maker. Dessa forma, foi possível que os decisores escolhessem entre os valores de 1 a 9 conforme a Escala Fundamental de Saaty na comparação paritária entre os critérios (Figura 2) e entre as soluções (Figura 3). Figura 2 - Tela do software Open Decison Maker na priorização dos critérios Fonte: Construção do autor. Figura 3 - Tela do software Open Decison Maker na priorização das soluções. Fonte: Construção do autor. 9

Após todos os critérios e soluções serem priorizados, o sistema gera o resultado da melhor solução, como pode ser visto na Tabela 4, que nada mais é do que o ranking de classificação da melhor para pior alternativa de acordo com as necessidades da instituição. O resultado, portanto, foi a Solução X com 41,32%. A Tabela 5 representa o valor final dos pesos obtidos nas decisões dos gestores, ou seja, do nível estratégico. Analisando os resultados, percebe-se que a instituição se preocupou bastante em obter o máximo de recursos das soluções, haja vista que quanto mais recursos, mais ferramentas terão para proteger as informações. Tal fato é representado pela porcentagem de 73,06% de participação no peso da escolha das alternativas, seguido do custo com 18,84% e desempenho com 8,10%. É importante ressaltar que não houve nenhuma taxa de inconsistência maior que 10%, ou seja, mostra que as escolhas foram decididas de forma consciente e com pouca dúvida nas decisões. Tabela 4 Ranking final das soluções Soluções Valor X 41,32% Z 38,96% Y 19,72% Fonte: Construção do autor. Tabela 5 Valor das priorizações dos critérios no nível estratégico Critérios (Gestores) Valor Recursos 73,06% Custo 18,84% Desempenho 8,10% Fonte: Construção do autor. Considerações Finais Considerando a dificuldade encontrada normalmente em decisões que envolvem vários critérios, o método de análise hierárquico AHP, criado por Saaty, tem sido uma ferramenta fundamental para esses casos. Neste trabalho, além de aplicar esse método, utilizou-se a abordagem hierárquica para extrair e resolver o problema, ou seja, a participação dos atores decisórios do nível estratégico (gestores) e operacional (técnicos), o 10

que resultou na escolha da solução que mais se alinha às necessidades da instituição estudada diante da aquisição de um firewall corporativo. Sendo assim, os resultados mostraram-se satisfatórios, e implica que a decisão final será tomada com mais segurança e clareza. Como há outros métodos multicritérios em tomada de decisão, propõe-se para trabalhos futuros o estudo e comparação entre eles para saber se os resultados são afetados e de que maneira são impactados na escolha de uma solução de firewall corporativo ou até mesmo outros dispositivos. Referências CARUSO, Carlos Alberto Antônio; STEFFEN, Flávio Deny. Segurança em Informática e de Informações. 3ª Ed. rev. e ampl. São Paulo: Editora Senac São Paulo, 2006. DA COSTA, Thiago Cardoso; BELDERRAIN, Mischel Carmen Neyra. Decisão em Grupo em Métodos Multicritério de Apoio à Decisão. In: XV Encontro de Iniciação Científica e Pós-Graduação do ITA, 2009, São José dos Campos-SP. Anais do 15º Encontro de Iniciação Científica e Pós-Graduação do ITA XV ENCITA, 2009. Disponível em <http://www.bibl.ita.br/xvencita/mec20.pdf>. Acessado em 27/06/2013. DE OLIVEIRA, Adriane Araujo. Aplicação Do Método De Análise Hierárquica Na Tomada De Decisão Da Adoção De Computação Em Nuvem. 2011. 127 f. Dissertação (Mestrado em Engenharia de Produção) Universidade Federal do Rio Grande do Norte, Natal. 2011. MARINS, Cristiano Souza; SOUZA, Daniela de Oliveira; Barros, Álvaro Gonçalves de. O uso do método de Análise Hierárquica (AHP) na tomada de decisões gerenciais - um estudo de caso. In: XLI SBPO - Sociedade Brasileira de Pesquisa Operacional, 2009, Porto Seguro-BA. XLI SBPO, 2009. Disponível em <http://www.din.uem.br/sbpo/sbpo2009/artigos/55993.pdf>. Acessado em 27/06/2013. MENDONÇA, Cláudio Márcio Campos de; GUERRA, Lenin Cavalcanti Brito; NETO, Manoel Veras de Souza; ARAÚJO, Afrânio Galdino de. Governança de tecnologia da informação: um estudo do processo decisório em organizações públicas e privadas. Revista Administração Pública. 2013, vol.47, n.2 ISSN 0034-7612. Disponível em <http://www.scielo.br/scielo.php?script=sci_arttext&pid=s0034-76122013000200008&lng=pt&nrm=iso&tlng=en>. Acessado em 25/06/2013. SHETH, Chirag; THAKKER, Rajesh. Performance Evaluation and Comparative Analysis of Network Firewalls. In: International Conference on Devices and Communications (ICDeCom), 2011, Mesra, p. 1-5, ISBN 978-1-4244-9189-6. Disponível em <http://jmiller.uaa.alaska.edu/cse465-fall2011/papers/sheth2011.pdf>. Acessado em 25/06/2013. 11

TREVIZANO, Waldir Andrade; FREITAS, André Luís Policani. Emprego do Método da Análise Hierárquica (A.H.P.) na seleção de processadores. In: XXV ENEGEP - Encontro Nacional de Engenharia de Produção, 2005, Porto Alegre. Anais do XXV ENEGEP - Encontro Nacional de Engenharia de Produção, 2005. v.1. p. 2972-2979. VARGAS, Ricardo Viana. Utilizando a Programação Multicritério (Analytic Hierarchy Process - AHP) para Selecionar e Priorizar Projetos na Gestão de Portfólio. In: PMI Global Congress, 2010, Washington/EUA. Disponível em <http://www.ricardovargas.com/wpcontent/uploads/downloads/articles/ricardo_vargas_ahp_project_selection_en.pdf>. Acessado em 29/06/2013. 12