Belo Horizonte 2013 Paolo Bordoni Caldeira gestão de risco

1.2Objetivos

1.2.1Geral

Este projeto de conclusão de curso terá como objetivo geral realizar dentro da metodologia de gestão de risco do PMBoK, como o ambiente destas empresas poderiam impactar os projetos de segurança da informação.

1.2.2Específicos

• 
  Identificar quais empresas tem consciência sobre gestão de risco.
  

• 
  Identificar se através dos questionários para quais ataques as empresas estão mais suscetíveis.
  

• 
  Identificar quais empresas conseguem quantificar o valor do bem informacional.
  

• 
  Identificar quais empresas apresentam evolução e melhoria contínua na área de segurança.
  

• 
  Identificar quantas empresas estão preparadas e lidas com incidentes de segurança.
  

1.3Justificativa

O tema sobre segurança da informação vem sendo discutido nas organizações, principalmente colocando a responsabilidade do papel da gestão de segurança sob o setor de tecnologia, mas é importante lembrarmos que tecnologia e seu setor é somente um pilar da gestão de segurança, segundo Edson Fontes (2008), os processos de segurança devem envolver toda a empresa, pois independentemente do setor, um dos fatores mais críticos é justamente a conscientização e a educação das pessoas.

Por se tratar de um processo complexo e que esbarra em características culturais das organizações, muitos empresários preferem delegar esta responsabilidade a área de TI, talvez pelo fato que culturalmente os profissionais desta área já tenham desenvolvido a consciência da importância sobre segurança, analisando como ponto de partida é uma estratégia, mas este processo tem de que evoluir para além disto a começar pela conscientização de pessoas com poder de gerência e diretoria.
Não é uma tarefa fácil conscientizar o funcionário não pode deixar o relatório sigiloso em cima da mesa, mesmo que ele que ele não compartilhe sua senha como outros usuários para acessarem a este relatório, assim sem a aprovação ou apoio das pessoas de gerências não tem como cobrar a eficiência do processo de segurança.
E se as empresas não tem a real consciência para os dados internos, protegendo sua própria informação, qual seria o real nível de segurança das informações de clientes dentro destas organizações?

1.4Estrutura do Trabalho

Nos tópicos seguintes seguem o referencial teórico, o processo metodológico, a pesquisa organizacional e a conclusão do projeto; sendo o referencial teórico toda a teoria envolvida para dar base ao projeto e sustentabilidade à conclusão; o processo metodológico demonstra a técnica utilizada para o levantamento dos dados; a pesquisa organizacional descreve o perfil da amostra que será feito o levantamento dos dados e por último a conclusão que demonstrou o resultado alcançado pela pesquisa sendo esta uma imagem da pesquisa organizacional.

2REFERENCIAL TEÓRICO

Segundo o PMBoK (2008), risco é um evento ou condição incerta que, se ocorrer, tem um efeito em pelos menos um objetivo do projeto. Base neste conceito, podemos estendê-lo para efeito de toda organização.

Já a metodologia de gerenciamento de projetos PRINCE2® (2009), conceitua que risco é a percepção da probabilidade de uma ameaça ou oportunidade.
O risco da organização e de projetos de segurança está relacionado sempre ao futuro e elementos que este está exposto que podem trazer algum impacto ou prejuízo. O objeto do processo de gerenciamento de risco é relacionar, identificar e preparar tanto a organização quanto a um projeto a responder quando um fator de risco se torna real.
Ao analisar os risco é importante ter em mente que os fatores podem ser tanto positivos quanto negativos, é verdades que os fatores de risco são em sua maioria negativos, entretanto existem risco positivos e devem ser relacionados, identificados e ter plano de ações preparados.
O gerenciamento de Risco como uma das áreas de conhecimento do PMBoK (2008) sua análise impacta diretamente:

• 
  Estrutura Analítica do Projeto (EAP).
  
• 
  Cronograma e sua linha base.
  
• 
  Custo e sua linha base.
  
• 
  Plano de Base.
  
• 
  Plano de Aquisições.
  
• 
  Plano de Recursos Humanos
  

Do mesmo modo que a análise de risco impacta na maioria das áreas de conhecimento de um projeto ela também impacta em toda a organização, principalmente quando o tema é gerenciamento de projetos em segurança da informação.

Magalhães (2008) divide o Gerenciamento de Risco em cinco atividades, sendo:

• 
  Identificação: atividade que identificar os riscos que colocam o negócio em risco.
  
• 
  Priorização: prioriza quais os riscos que serão trabalhados.
  
• 
  Plano de ação: atividade que define o plano de ação para mitigar os riscos.
  
• 
  Divulgação ou Atualização: geração de documentos de controle.
  
• 
  Monitoramento: Verificar se o risco está controlado.
  

Segundo o PRINCE2® (2009), para que esse Gerenciamento de Riscos seja eficaz, pode ser dividido em somente três fases, onde precisam ser:

• 
  Identificados: levantar os riscos que comprometem o alcance dos objetivos do projeto e registrá-lo para que esse risco seja de conhecimento de todos os integrantes do projeto.
  
• 
  Avaliados: Classificar os riscos em probabilidade de ocorrência e impacto no projeto.
  
• 
  Controlados: Identificar as respostas devidas aos riscos, identificar a quem este risco está associado e executar, monitorar e controlar as respostas aos riscos.
  

Segundo Dulaney (2011), avaliação de risco ou análise de risco é cálculo do peso de uma potencial ameaça com base em sua probabilidade de ocorrer. O autor considera os seguintes analises para a avaliação do risco:

• 
  Risco que a organização está exposta: esta análise baseia-se em desenvolver e criar cenários hipotéticos que podem ser vistos como risco para a organização.
  
• 
  Risco que precisam ser mapeados: este é o mapeamento de risco que foram classificados como reais.
  
• 
  Coordenação do risco de acordo com a BIA (Business Impact Analysis): a BIA permite que a organização relacione, através de decisões inteligentes, as repostas para os riscos analisados.
  

O PMBoK (2008) relaciona os seguintes processos quanto ao gerenciamento de risco:

• 
  Planejar o gerenciamento de risco: define como será conduzido o gerenciamento de risco no projeto.
  
• 
  Identificar o risco: define quais os riscos podem afetar os projeto e documentá-los.
  
• 
  Realizar a análise quantitativa dos riscos: prioriza o risco conforme análise probabilística e impacto.
  
• 
  Realizar a análise quantitativa: analisar o risco de forma numérica.
  
• 
  Planejar as respostas aos riscos: é a elaboração de um plano de ação aos riscos.
  
• 
  Monitorar e controlar os riscos: é o processo de implementação das respostas e verificação dos resultados, monitorando os riscos residuais.
  

Diógenes (2011) define como risco residual como o valor não coberto pela ação de resposta ao risco, como por exemplo, a elaboração de uma seguro de R$ 500.000,00 para um bem R$ 800.000,00, sendo o risco residual de R$ 300.000,00.