Sistema de Gestão de Segurança da Informação - 2/3

Hoje será dado continuidade à definição dos controles da Norma ISO 27.001 que estabelece o SGSI... vamos em frente!

Sistema de Gestão de Segurança da Informação

A.9 - Segurança física e do ambiente

A.9.1 - Áreas seguras

Deve-se utilizar de perímetros de segurança (barreiras físicas como paredes, portões de entrada controlados por cartão ou balcões de recepção com circuito fechado de TV (CFTV), recepcionista e registro de visitantes) para proteger as áreas que contenham ativos de alto risco, devendo ser avaliado o acesso às áreas comuns e internas, e, incluída, áreas restritas como salas técnicas e o Data Center - nestas áreas deve-se implementar controles com registros de eventos de abertura de porta, por crachá ou biometria, assegurando a entrada de pessoas autorizadas e, até mesmo, de CFTV. Estas instalações devem possuir controles e alertas que garantam proteção física contra desastres naturais (incêndios, enchentes, terremotos, furacões, etc) ou causados pelo ser humano (perturbações da ordem pública, vandalismo, etc.) e possuir normas e diretrizes que balizem o trabalho dentro destas. Para pontos de acessos secundários (entradas de serviço) também devem ser implementados controles e, quando possível, ser isolados de ativos críticos, reduzindo o acesso não autorizado.

A.9.2 - Segurança de equipamentos

Deve-se instalar ativos críticos em locais de mais protegidos, longe de ameaças naturais ou humanas e dificultando o acesso por não autorizados. Os equipamentos que compõem os ativos críticos devem ter suas utilidades (energia, água, ar condicionado, etc.) redundantes e com testes de falha planejados e executados periodicamente. Para a infraestrutura de energia e dados, seus cabos devem ser protegidos contra ações de terceiros. Os ativos críticos devem estar assegurados por garantia e contratos de manutenção.

Deve-se implantar acesso por duplo fator, biometria e controles criptográficos aos ativos móveis (notebooks, tablets, discos removíveis, etc.) utilizados fora da instituição.

Deve-se estabelecer processos, procedimentos e/ou contratos que garantam que todos os equipamentos que armazenem dados sejam examinados antes do descarte, para assegurar que todos os dados sensíveis sejam efetivamente destruídos.

Deve-se implementar a monitoração física (segurança, vistorias aleatórias, detectores de metais, etc.) para se registrar a entrada e evitar a retirada de ativos da instituição sem a devida autorização.

A.10 - Gerenciamento das operações e comunicações

A.10.1 - Procedimentos e responsabilidades operacionais

Devem-se publicar (e-mail, painéis, site institucional) os procedimentos de operação atualizados, para acesso por todos os usuários.

Deve-se implementar Gestão de Mudanças para ativos críticos, com aprovação prévia, controle e documentação devida.

Deve-se implementar controles para mapeamento dos processos e identificação de funções e áreas de responsabilidade que devem ser partidas para se reduzir as oportunidades de modificação (intencional ou não) dos ativos da organização.

Deve-se implantar controle/barreira que garanta que informações utilizadas em recursos de desenvolvimento, teste, homologação e produção sejam adequadamente protegidas e isoladas uma das outras.

A.10.2 - Gerenciamento de serviços terceirizados

Deve-se implantar controles de segurança que garantam as definições de serviço e os níveis de entrega (SLAs), incluídos no acordo de entrega de serviços terceirizados, sejam implementados, executados e mantidos pelo terceiro.

Deve-se implantar processo de auditoria periódica de prestadores de serviços terceirizados, monitorando e analisando criticamente, verificando sua conformidade às políticas, avaliando seus serviços, relatórios e registros fornecidos.

Deve-se implantar processo que garanta que mudanças no provisionamento dos serviços, incluindo manutenção e melhoria da PSI, dos procedimentos e controles existentes, sejam gerenciadas, levando-se em conta a criticidade dos sistemas, processos de negócio envolvidos e a reanálise/reavaliação dos riscos.

A.10.3 - Planejamento e aceitação dos sistemas

Deve-se implantar processo para Gestão de Capacidade considerando a utilização dos recursos, monitoração e sincronização, com projeções para necessidades de capacidade futura, afim de garantir o desempenho requerido dos ativos geridos.

Deve-se implantar processo para homologação/aceitação de sistemas com critérios específicos novos sistemas e suas versões e garantir a prévia execução de seus testes.

A.10.4 - Proteção contra códigos maliciosos e códigos móveis

Deve-se implantar políticas, normas, processos e procedimentos formais para acompanhar os níveis de atualização e controle a códigos maliciosos, bem como processos de conscientização a todos que possam gerar riscos de malwares de qualquer tipo.

Deve-se implantar políticas e processos de controle e autorização para códigos móveis, bem como, implantar controles detectivos para códigos móveis (Mcafee SiteAdvisor).

A.10.5 - Cópias de segurança

Deve-se implantar a Políticas de Backup/Restauração, inclusive, com seus processos e procedimentos para efetuar testes regulares da restauração de informações e softwares.

A.10.6 - Gerenciamento da segurança em redes

Deve-se implantar processos e ferramentas que garantam controle e gerenciamento de redes (monitoração de performance, serviços e disponibilidade, auditorias de regras de firewall, IDS/IPS, analisadores de comportamento de tráfego e controle de acesso à rede) de forma a protegê-las contra ameaças e manter a segurança de sistemas e aplicações que utilizam estas redes, incluindo a informação em trânsito.

Deve-se implantar controles e processos que identifiquem e incluam em qualquer acordo de serviços de rede, características de segurança, níveis de serviço e requisitos de gerenciamento dos serviços de rede (providos internamente ou por terceiros).

A.10.7 - Manuseio de mídias

Deve-se implantar políticas, normas, processos e ferramentas para controle adequado do uso de mídias removíveis, para o descarte de mídias de forma segura e protegida quando não forem mais necessárias e, também, para o tratamento, armazenamento e proteção de informações contra seu uso indevido - atrelando a política e a norma formal de classificação da informação à plataforma de DLP da instituição.

Deve-se proteger a documentação dos sistemas com o uso de versionadores (código-fonte, documentos, modelos de dados, etc.) com acessos restritos e backups gerenciados.

A.10.8 - Troca de informações

Deve-se implantar políticas, procedimentos e controles formais para proteger a troca de informações em todos os tipos de recursos de comunicação como a monitoração de interfaces sistêmicas, processos automatizados de carga/exportação de dados, emails internos e externos à instituição, correspondências, rede wireless, impressoras, fax, etc.

Deve-se fazer uso de gateways seguros para interconexões, troca de informações, dados e/ou softwares com entidades externas. 

Deve-se proteger mídias transportadas externamente à instituição contendo informações sensíveis contra acesso não autorizado, fazendo uso de criptografia e/ou controles de acesso como biometria.

Deve-se realizar uma adequada implantação de políticas atreladas a norma formal de classificação da informação na plataforma de DLP da instituição, controlando e protegendo as informações que trafegam em mensagens eletrônicas e/ou com uso de criptografia.

A.10.9 - Serviços de comércio eletrônico (Sistemas transacionais On-Line)

Deve-se implantar processos seguros de autenticação com duplo fator de autenticação e controles criptográficos para os sistemas e informações envolvidas em transações eletrônicas transitando sobre a Internet, bem como de processos de verificação de vulnerabilidades sistêmicas e de infraestrutura devem ser implantados, controlados e performados com periodicidade mínima adequada, protegendo, tanto as transações quanto as informações nelas contidas, de acesso ou modificações não autorizadas.

A.10.10 - Monitoramento

Deve-se implementar processos, procedimentos e ferramentas para concentração e correlação de LOGs (SIEM), com a identificação de um período mínimo para retenção ativa dos LOGs e o período de retenção offline definido pelos requisitos legais aplicáveis à instituição. Os LOGs contendo o monitoramento do uso dos recursos de processamento da informação, atividades dos administradores e operadores de sistemas, falhas de softwares e sistemas, e os resultados destas atividades de monitoramento devem ser analisados criticamente, de forma regular, e com planos de ações apropriadas (considerar uma área de monitoração e um plano de resposta à incidentes de segurança). Para que os LOGs possam ser correlacionados é necessário que os relógios de todos os sistemas de processamento de informações relevantes, dentro da instituição ou do domínio de segurança, sejam sincronizados.

A.11 Controle de acessos

A.11.1 Requisitos de negócio para controle de acesso

Deve-se implantar uma política de controle de acesso, documentada e analisada criticamente de forma periódica, tomando-se como base os requisitos de acesso dos negócios e a SI, considerando os adequados níveis de aprovação para acesso aos sistemas e informações e, ainda, a gestão do ciclo de vida dos acessos e gestão de perfis.

A.11.2 - Gerenciamento de acesso do usuário

Deve-se implementar um processo formal que considere as aprovações necessárias para a concessão, alteração e revogação de acessos para garantir a ação em todos os sistemas de informação e serviços. Deve-se definir na PSI que a política de senhas deve ser aplicada em todos os sistemas e que o bloqueio das credenciais por erros sucessivos ou por falta de uso deve ser implantado. Um processo formal com intervalos regulares para a execução de análise crítica dos direitos de acesso dos usuários deve ser implantado.

A.11.3 - Responsabilidades dos usuários

Deve-se implantar processos de conscientização de usuários sobre a PSI e a política de uso de senhas. Deve-se implantar termos aditivos ao contrato de trabalho que considerem: a declaração de conhecimento e adesão à PSI; a monitoração do uso dos sistemas e informações; a política de mesa limpa de papéis e mídias de armazenamento removíveis; a política de tela limpa para os recursos de processamento da informação.

A.11.4 - Controle de acesso à rede

Deve-se implementar procedimento formal que considere as aprovações necessárias às liberações de acessos estritamente necessárias e o cancelamento de usuários para garantir e revogar acessos em todos os sistemas de informação e serviços.

Deve-se adotar sistemas adequados de autenticação para usuários remotos, como a autenticação com duplo fator.

Deve-se implementar soluções de controle de acesso à rede para acesso às redes wireless e para pontos de acesso à rede que sejam críticos, por exemplo, salas de reunião.

Deve-se implantar políticas adequadas para a solução de Host IPS e Personal Firewall nos notebooks, desktops e servidores da empresa.

Deve-se adotar arquitetura de rede segmentada por VLANs com adequada segregação de acesso por ACL, que garanta a segregação de redes críticas, redes de servidores, redes de gerências, redes de suporte e TI, com políticas e normas formalizadas para estes controles.

A.11.5 - Controle de acesso ao sistema operacional

Deve-se controlar o acesso aos sistemas operacionais por procedimento seguro de entrada no sistema (logon), com apresentação de disclaimer automático sobre a necessidade de conhecimento da PSI.

Deve-se eliminar credencias de amplo conhecimento (utilizadas por grupo de usuários) e implantar procedimentos de detecção deste tipo de compartilhamento de credenciais e sua devida remediação e ter implementado, em sistema de gerenciamento de senhas, as regras descritas na política de senhas.

Deve-se desenvolver e adotar um template baseline de segurança para a plataforma computacional, com sistemas adequados para monitoração e enforcement deste baseline.

Deve-se implantar normas formais e controles para: evitar uso de utilitários que sobreponham as normas implantadas; realizar bloqueio e desconexão de terminais por tempo de inatividade; realizar restrição de horário para logon relacionado a jornada formal de trabalho para todas as credenciais de rede e sistemas.

A.11.6 - Controle de acesso à aplicação e à informação

Deve-se criar normas e procedimentos formais para garantir que o acesso à informação e às funções dos sistemas de aplicações por usuários e pessoal de suporte seja restrito e de acordo com a política de controle de acesso, estabelecendo procedimentos de aprovação e revisão periódica.

Deve-se identificar os sistemas sensíveis de forma periódica com base em normativo com critérios pré-definidos e isolá-los de forma adequada.

A.11.7 - Computação móvel e trabalho remoto

Deve-se implantar uma política formal apropriada para a proteção contra os riscos do uso de recursos de computação e comunicação móveis, com soluções para controle e gestão de dispositivos móveis como tokens e criptografia, bem como implementar uma política para normatizar o trabalho remoto.

REFERÊNCIAS

Sistema de Gestão de Segurança da Informação - 1/3

ABNT

ISO 27.001

ISO 27.002

Abraços e até o próximo post (final) sobre o SGSI!

Sistema de Gestão de Segurança da Informação - 1/3

Nos próximos três posts (para não ficar muito longo e cansativo!) será apresentado um item importantíssimo e com bastante complexidade de implantação dentro da Governança de TI, o Sistema de Gestão de Segurança da Informação (SGSI), que está coberto pela Norma ISO 27.001 - com seus 133 controles normatizadores.

Sistema de Gestão de Segurança da Informação

Vamos iniciar com uma pequena transcrição da norma ABNT NBR ISO/IEC 27.001:

"Esta norma foi preparada para prover um modelo para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um Sistema de Gestão de Segurança da Informação".

Assim sendo, esta norma regula toda a parte de segurança da informação em uma instituição, desde o acesso às áreas críticas, passando por ativos físicos/lógicos (equipamentos e softwares críticos) para chegar até o mais importante, os dados/informações. Em consonância à norma ISO 27.001, esclarecendo detalhadamente a forma prática de atender a todos os seus controles, vem a ISO 27.002, a qual deve servir como excelente suporte nas implementações de um SGSI. Da série de normas de segurança para TI ainda existem outras muito importantes. Segue a relação:

• ISO/IEC 27000:2014 - Information security management systems - Overview and vocabulary
• ABNT NBR ISO/IEC 27001:2013 - Sistemas de gestão da segurança da informação - Requisitos
• ABNT NBR ISO/IEC 27002:2013 - Código de prática para controles de segurança da informação
• ABNT NBR ISO/IEC 27003:2011 - Diretrizes para implantação de um sistema de gestão da segurança da informação
• ABNT NBR ISO/IEC 27004:2010 - Gestão da segurança da informação - Medição
• ABNT NBR ISO/IEC 27005:2011 - Gestão de riscos de segurança da informação
• ABNT NBR ISO/IEC 27011:2009 - Diretrizes para gestão da segurança da informação para organizações de telecomunicações baseadas na ABNT NBR ISO/IEC 27002
• ABNT NBR ISO/IEC 27014:2013 - Governança de segurança da informação
• ABNT NBR ISO/IEC 27031:2015 - Diretrizes para a prontidão para a continuidade dos negócios da tecnologia da informação e comunicação
• ABNT NBR ISO/IEC 27037:2013 - Diretrizes para identificação, coleta, aquisição e preservação de evidência digital
• ABNT NBR ISO/IEC 27038:2014 - Especificação para redação digital

Como definido, a norma ISO 27.001 nos remete à implementação na instituição de um SGSI, que compreende um conjunto de políticas, processos, documentos e procedimentos, criados com base em normas e leis, para garantir a mínima segurança no uso de seus ativos de TI. Este SGSI deve atuar balizado por uma PSI (Política de Segurança da Informação), que conterá as práticas necessárias à Segurança da Informação adequadas ao cenário de cada instituição, isto é, quanto mais rígido e importante for a necessidade da Segurança da Informação na instituição, mais abrangente, reforçada e complexa será sua PSI.

Ao se estabelecer um SGSI é necessário definir seu escopo e limites (sua abrangência física, lógica e pessoal), de acordo com a necessidade do negócio e, também, sobre o que ficará fora do escopo do SGSI, com as devidas justificativas - além disto tudo, é claro, deve ser formalmente aprovado pela Alta Direção e publicado na Intranet da Instituição para conhecimento por todos.

O objetivo do Escopo da SGSI é definir o que você planeja proteger (dados/informações), independente de onde se encontra fisicamente (on-site ou off-site - site externo, cloud ou computação móvel), de que modo ocorre o acesso (local ou remotamente) e por quem os acessa: funcionários, diretores, fornecedores, parceiros, clientes, interfaces físicas (roteadores, portas de entrada, switches, etc.), interfaces lógicas (desenvolvimento SOA, interfaces de transferência de dados, APIs, etc.) e dependências externas (desenvolvimento de sistemas - que pode vir a causar incidentes de SI, serviços de terceiros - como limpeza e manutenção predial, etc.).

O objetivo do Fora do Escopo da SGSI é informar os ativos ou áreas que serão consideradas como externas à instituição, isto é, terão seus direitos de acesso restritos ao mínimo possível - ou até mesmo a nada! Podemos incluir no fora de escopo, por exemplo, redes apartadas (fora da rede corporativa), temporárias, para realização de uma capacitação off-site. A redução de escopo de atuação em uma institucional pode se tornar um problema, portanto, tenha cuidado - o normal é a Instituição estar contida no escopo de um SGSI.

Atenção: todas as políticas e diretrizes de segurança da informação devem ser implementadas em processos e, estes, devem ter suas execuções controladas e medidas para subsidiar uma evolução em uma revisão planejada, mantendo-os alinhados (foco) e adequados (eficazes e eficientes) aos objetivos da instituição (estratégia).

Política de Segurança da Informação

A.5 - Política de Segurança

A.5.1 - Política de Segurança da Informação

Uma vez definido o escopo e limites do SGSI, devemos atuar na criação da Política de Segurança da Informação (PSI), que é um conjunto de documentos abrangentes e integrados que direciona e/ou estabelece os princípios básicos relacionados à Segurança da Informação, tomando como base os ativos, os negócios a serem protegidos e a própria instituição.

O conjunto de documentos que compõem a política de Segurança da Informação devem ser aprovados pela direção, publicados em local acessível e comunicados/divulgados para todos os funcionários e, também, para as partes externas relevantes. A PSI deve ser analisada criticamente a intervalos planejados (máximo de 12 meses), além de ser analisada também quando ocorrerem mudanças significativas, para garantir sua evolução contínua de eficiência e eficácia.

Existem vários modelos de PSI disponibilizados na Internet. Alguns estão condensadas em um único documento com muitas páginas que facilitam sua manutenção, mas que dificulta a leitura pelos usuários, ficando perdido dentre os muitos itens que, apesar de complementares, não lhe dizem respeito diretamente, como por exemplo, "aquisição, desenvolvimento e manutenção de aplicações" ou "gestão de serviço de terceiros", outros modelos são compostos de documentos categorizados por assuntos (como os dois apresentados acima), mas integrados estruturalmente, sendo, este, o caso do modelo que será aqui apresentado.

A.6 - Organizando a SI

A.6.1 - Infraestrutura da Segurança da Informação

Deve-se desenvolver um normativo que descreva os papeis e responsabilidades da organização quanto à SI e a Direção deve apoiar ativamente a SI dentro da organização, por meio de claro direcionamento, demonstrando seu comprometimento e definindo atribuições de forma explícita. Esta demonstração de apoio deve ser feita através e-mail da gestão aos demais colaboradores, informes sistêmicos que refiram-se ao apoio, termos de adesão à PSI atestando formalmente seu apoio. Com relação à Coordenação da SI, este normativo deve descrever seus papeis e responsabilidades quanto à SI, descrevendo como as atividades de SI devem ser coordenadas por representantes de diferentes partes da organização, com funções e papeis relevantes e, para compor este controle, deverá existir a figura de comitês técnicos e executivos. Assim sendo, todos os papeis e responsabilidades da organização quanto à SI devem estar claramente definidas em um normativo.

Deve-se definir e implementar um processo de gestão de autorização e ativação para novos recursos de processamento da informação.

Deve-se existir termos de sigilo (NDA - Non Disclosure Agreement) entre a instituição, seus colaboradores, empresas prestadoras, e colaboradores terceirizados. Estes termos devem refletir as necessidades da organização para a SI, sendo detalhadamente analisados e atualizados, de forma periódica.

Deve-se instituir um controle da matriz de contatos com autoridades relevantes, internas e externas para acionamentos em possíveis necessidades (gestão de incidentes ou de riscos de SI).

Deve-se criar e manter contatos com grupos de interesses especiais, associações profissionais, fóruns ou outros grupos especializados em SI.

Deve-se analisar criticamente os controles de SI, de forma independente, a intervalos planejados ou quando ocorrerem mudanças significativas relativas à implementação da SI.

A.6.2 - Partes externas

Deve-se implantar processos de gestão, avaliação de riscos e controles, considerando-se riscos para os ativos, para os recursos de processamento da informação e para a informação da organização oriundos de processos do negócio que envolvam clientes, fornecedores ou qualquer outra parte externa. Estes riscos devem ser identificados e controles apropriados (NDA, Termo de Aceitação da PSI) devem ser implementados antes da concessão ao acesso.

A.7 - Gestão de ativos

A.7.1 - Responsabilidade pelos ativos

Deve-se implementar norma e controles que mantenham a norma de Gestão de Ativos, parte integrante da atual PSI, identificando todos os ativos importantes (hardware, software e dados/informação), os seus proprietários (responsáveis) e as regras que permitam o seu uso.

A.7.2 - Classificação da informação

Deve-se implementar norma e processos adequados para classificação da informação. As informações devem classificadas em termos do seu valor, requisitos legais, sensibilidade e criticidade para a instituição - recomenda-se, no mínimo, uma classificação por sigilo. Estes normativos e processos devem possuir um conjunto apropriado de procedimentos para rotular e tratar a informação, que devem ser implementados de acordo com o esquema de classificação adotado pela instituição. Recomenda-se uso de ferramentas de criptografia, Discovery, armazenamento controlado, rotulação e prevenção de perda de dados (DLP), para apoio nos controles descritos neste normativo.

A.8 - Segurança em recursos humanos

A.8.1 - Antes da contratação

Deve-se desenvolver e implantar normativo descrevendo os papéis e responsabilidades pela SI por funcionários, fornecedores e terceiros de acordo com a PSI. Deve-se fazer verificações de controle aos candidatos a emprego, aos fornecedores e a terceiros de acordo com a ética, as leis e regulações relevantes, e, também, de acordo com a classificação das informações a terem o acesso liberado. E, antes de conceder o acesso aos ativos necessários ao trabalho, deve-se obter o "de acordo" e assinatura dos termos (confidencialidade, conhece e seguirá a PSI) e condições de sua contratação para o trabalho, de suas responsabilidades e da instituição para a SI.

A.8.2 - Durante a contratação

Deve-se desenvolver um termo de aceitação da PSI anexo ao contrato de trabalho, que indique a Direção solicitando aos funcionários, fornecedores e terceiros que pratiquem a SI de acordo com o estabelecido na PSI da instituição. Deve-se implantar processos de conscientização para início de atividades (pós-contratação) e de reciclagem periódica planejada e, também, quando a SI sofrer mudanças de impacto - todos os funcionários da organização e, quando for pertinente, fornecedores e terceiros devem receber treinamento apropriado quanto à PSI. Para os funcionários que tenham cometido uma violação da SI, deve-se existir um processo disciplinar formal.

A.8.3 - Encerramento ou mudança da contratação

Deve-se desenvolver processos e diretrizes que definam as responsabilidades para realizar o encerramento ou a mudança de um trabalho. Para o encerramento de atividades, do contrato ou acordo de funcionários, fornecedores e terceiros, deve-se desenvolver processos e diretrizes que definam e garantam a devolução de todos os ativos da instituição e, ainda, processos e diretrizes que definam e garantam que os direitos de acesso à ativos concedidos a estes, sejam removidos ou adequados, após o encerramento de suas atividades.

REFERÊNCIAS

ABNT

ISO 27.001

ISO 27.002

Abraços e até a segunda parte do post sobre SGSI...

Checklist Perfil GovTI 2014

Checklist do Questionário Perfil GovTI 2014

Pessoal, hoje (finalmente) será apresentado o desmembramento do Questionário Perfil GovTI 2014, construindo, assim um checklist para mapeamento da evolução da maturidade em Governança, conforme falado anteriormente.

Foram várias horas para executar a análise de cada pergunta do questionário, resultando em 336 questões verificáveis atomicamente, divididas nas 6 áreas de avaliação, para medir e dar início à evolução da maturidade em Governança.

• Liderança da Alta Administração - 94 questões

• Estratégias e Planos - 24 questões

• Informações - 18 questões

• Pessoas - 32 questões

• Processos - 151 questões

• Resultados de TI - 17 questões

Como o documento final ficou extenso e post longo não é muito eficiente, resolvi armazenar e disponibilizar no Box - se tiverem problemas de acesso, por favor, informem.

REFERÊNCIAS

Como criar seu checklist de maturidade de Governança

Questionário Perfil GovTI 2014

Checklist de aderência ao Questionário Perfil GovTI 2014

Abraços!

PDTI - Plano Diretor de TI

Neste post o foco será o Plano Diretor de TI, muito conhecido por sua sigla, o PDTI é o principal produto criado a partir do alinhamento estratégico, derivado diretamente do Planejamento Estratégico Institucional.

6. A elaboração do Plano Diretor de TI

O PDTI é um instrumento de planejamento evolutivo e de administração dos ativos de TI, com foco na estratégia da instituição (PEI, PETI), tendo, assim, que estar completamente alinhado aos requisitos de negócio.

O PDTI visa atender às necessidades de informação e comunicação da instituição, independente de seu tamanho (pequena, média ou grande) e tipo (pública ou privada), dentro de um período definido (2 ou 3 anos), descrevendo a situação atual da TI e determinando a situação desejada como meta, definindo os responsáveis pelas ações e seus indicadores de sucesso.

De acordo com o Guia de Elaboração do PDTI, preparado pelo SISP, a elaboração do PDTI acontece em fases (Preparação, Diagnóstico e Planejamento) e com a participação de três papeis distintos:

• Autoridade Máxima (AM) - Nível mais alto da instituição, que atuará como apoiador, aprovador, tomador de decisões, publicador, definidor de diretrizes, etc, isto é, será o responsável pelo PDTI.

• Comitê Gestor de TI (CGTI) - Board da instituição com representantes de todas as áreas, aprovado pela AM, que atuará como priorizador de ações, monitorará o desempenho da TI e direcionará os investimentos para alcançar os objetivos estratégicos.

• Equipe de Elaboração (EqPDTI) - Grupo definido pelo CGTI, composto por pessoas de TI e de outras áreas da instituição, que será responsável pela obtenção, organização e compilação de informações que comporão o PDTI.

Processo de elaboração do PDTI - SISP - Fase Preparação

Na fase Preparação são realizadas as tarefas necessárias para a organização do projeto de elaboração do PDTI. Inicia-se com o CGTI definindo e formalizando a EqPDTI, a abrangência e o período do PDTI. Esta fase é composta dos seguintes processos:

• 1.1 Definir a abrangência e o período do PDTI
• Período para o qual o PDTI será válido

• 1.2 Definir a equipe de elaboração do PDTI
• Equipe responsável pela elaboração do PDTI.

• 1.3 Descrever a metodologia de elaboração do PDTI
• O método que será utilizado na elaboração poderá ser a referência do SISP, um outro modelo de mercado ou até mesmo um modelo próprio da instituição.

• 1.4 Identificar e reunir os documentos de referência
• Consiste na identificação e reunião em local único todos os arquivos e documentos relevantes ao contexto PDTI, como planejamentos e diretrizes estratégicas e orçamentárias, leis, normas, decretos, instituições normativas, etc

• 1.5 Identificar estratégias da Organização
• Identificar e consolidar os objetivos e as linhas de ação dentro dos documentos levantados na etapa anterior para, futuramente, apoiar a criação do inventário de necessidades e facilitar o direcionamento das ações de TI com o negócio da instituição

• 1.6 Identificar princípios e diretrizes
• Nos documentos levantados, identificar e listar as diretrizes. As necessidades e demandas referentes à TI encontradas integrarão o Inventário de Necessidades

• 1.7 Elaborar o plano de trabalho do PDTI (PT-PDTI)
• Este plano deve conter as informações para organizar as atividades a serem executadas durante a elaboração do PDTI e conter, dentro outras informações, o cronograma de conclusão do PDTI

• 1.8 Aprovar o plano de trabalho do PDTI (preliminar)
• nesta etapa o CGTI deve aprovar o Plano de Trabalho criado pela EqPDTI e, depois, o AM também deve aprová-lo

• 1.9 Aprovar o plano de trabalho do PDTI (final)
• O AM deve aprovar a versão final do Plano de Trabalho

Processo de elaboração do PDTI - SISP - Fase Diagnóstico

Na fase seguinte, Diagnóstico, deve ser identificada a situação atual da TI e todas as necessidades ou demandas que precisam ser atendidas. Esta fase é composta dos seguintes processos:

• 2.1 Avaliar os resultados do Planejamento de TI anterior
• Caso exista, o planejamento anterior deve ser estudado pela EqPDTI para entender o que foi alcançado e qual a razão de algo não ter sido alcançado, criando-se um relatório com esta análise para futura aprovação. A partir daí, deve-se analisar e integrar algumas necessidades ainda não atendidas ao Inventário de Necessidades

• 2.2 Aprovar o Relatório de Resultados do Planejamento de TI anterior
• A AM deve analisar e aprovar o Relatório de Resultados do Planejamento de TI anterior

• 2.3 Analisar o referencial Estratégico da área de TI
• Analisar junto à TI qual o nível de aderência à estratégia definida no PETI e sugerir melhoras, caso necessário, no Inventário de Necessidades

• 2.4 Analisar a Organização da TI
• Realizar uma análise hierárquica/funcional da TI na instituição buscando informações sobre necessidade de adequação ao organograma, à arquitetura corporativa de TI, aos processos e ao inventário de Ativos de TI, adicionando prováveis melhorias no Inventário de Necessidades

• 2.5 Realizar a Análise SWOT da TI
• Analisar os ambientes interno e externo da TI da instituição

• 2.6 Identificar Necessidades de Informação
• Identificar as necessidades de informação vinculadas aos processos de negócio da instituição, adicionando ao Inventário de Necessidades as melhorias e problemas pertinentes, caso existam

• 2.7 Identificar Necessidades de Serviços de TI
• Identificar as necessidades de serviços de TI para atender as necessidades de informação da instituição, adicionando ao Inventário de Necessidades as melhorias e problemas pertinentes, caso existam

• 2.8 Identificar Necessidades de Infraestrutura de TI
• Identificar as necessidades de infraestrutura de TI para atender as necessidades de informações e serviços de TI da instituição, adicionando ao Inventário de Necessidades as melhorias e problemas pertinentes, caso existam

• 2.9 Identificar Necessidades de Contratação de TI
• Identificar as necessidades de contratação/manutenção de soluções/serviços em TI para atender as necessidades de informações, serviços, infraestrutura e pessoal de TI da instituição, adicionando ao Inventário de Necessidades as melhorias e problemas pertinentes, caso existam

• 2.10 Identificar Necessidades de Pessoal de TI
• Identificar as necessidades de pessoal em processos de TI para atender às necessidades da TI, adicionando ao Inventário de Necessidades as melhorias e problemas pertinentes, caso existam

• 2.11 Consolidar o Inventário de Necessidades
• Organizar, agrupar, identificar redundâncias e dependências entre os itens identificados

• 2.12 Alinhar as Necessidades de TI às Estratégias da Organização
• Identificar dentro do Inventário de Necessidades as necessidades aderentes à Estratégia da Organização

• 2.13 Aprovar o Inventário de Necessidades
• O CGTI deve analisar e aprovar o Inventário de Necessidades que deve estar coerente com a Estratégia da Organização e, também, contribuir para atender aos objetivos da instituição

Processo de elaboração do PDTI - SISP - Fase Planejamento

Na última fase, Planejamento, os planos de ação são criados para guiar o alcance das metas estabelecidas. Esta fase é composta dos seguintes processos:

• 3.1 Atualizar critérios de priorização
• Com base nos princípios e diretrizes e necessidades identificadas, reavaliar os critérios de priorização

• 3.2 Priorizar as necessidades inventariadas
• Priorizar as necessidades inventariadas aplicando os critérios de priorização definidos pelo CGTI

• 3.3 Definir metas e ações
• Detalhar e desdobrar as necessidades inventariadas em ações com suas respectivas metas e responsáveis

• 3.4 Planejar a execução das ações
• Realizar a estimativa de prazos (início e esforço) e de recursos (humanos e financeiros) para a execução das ações

• 3.5 Planejar ações de pessoal
• Com o objetivo de alcançar as metas determinadas, planejar a evolução dos recursos humanos (quantitativo e qualitativo) para a execução das ações

• 3.6 Planejar investimentos e custeio
• Revisar as ações a serem executadas, incluindo estimativas de custo e consolidá-las em Plano de Investimentos e Custeio

• 3.7 Consolidar a Proposta Orçamentária da TI
• Elaborar a Proposta Orçamentária da TI, com base no Plano de Investimentos e Custeio

• 3.8 Aprovar os Planos Específicos
• O CGTI deve aprovar formalmente os planos elaborados pela EqPDTI: Metas e Ações; Gestão de RH; Gestão de Investimentos e Custeio e Proposta Orçamentária de TI

• 3.9 Atualizar critérios de aceitação de riscos
• Atualizar os critérios corporativos de aceitação de riscos com base nas ações planejadas e suas metas

• 3.10 Planejar o gerenciamento de riscos
• Rodar o processo de gerenciamento de risco composto de: Planejar o Gerenciamento dos Riscos (definir como serão conduzidas as atividades de gerenciamento dos riscos); Identificar os Riscos (brainstorm, revisões de documentações, técnicas de coleta de informações, análise de listas de verificação, análise de premissas, técnicas de diagramas, análise de SWOT, etc); Realizar a Análise Qualitativa dos Riscos (priorização de riscos para análise ou ação através da avaliação e combinação de sua probabilidade de ocorrência e impacto); Realizar a Análise Quantitativa dos Riscos (analisar financeiramente o efeito dos riscos); Planejar as Respostas aos Riscos (elaborar opções/ações para potencializar as oportunidades e minimizar as ameaças); Controlar os Riscos (desenvolver planos de respostas aos riscos, acompanhando-os e incluir riscos novos e secundários, avaliando a eficácia do processo de gerenciamento dos riscos)

• 3.11 Identificar os fatores críticos para a implantação do PDTI
• Identificar os requisitos chaves que devem ser atendidos para que o PDTI seja considerado um sucesso

• 3.12 Consolidar a minuta do PDTI
• Consolidar todas as análises executadas para compor o PDTI em um documento único, seguindo um modelo de referência, para futura aprovação

• 3.13 Aprovar a minuta do PDTI
• Avaliar e aprovar sua aderência com relação às definições realizadas previamente

• 3.14 Publicar o PDTI
• Publicar o PDTI formalmente aprovado

O Plano Diretor de TI é muito importante no contexto de planejamento das ações de TI da instituição, alinhadas ao negócio da mesma. Obtenha muito mais detalhes de como construí-lo na página do SISP e leia vários exemplos na Internet antes de começar o PDTI de sua instituição.

REFERÊNCIAS

Site do SISP

Guia de Elaboração de PDTI do SISP

Pesquisa PDTI no Google

Abraços e até o próximo post.

Produtos derivados da Governança

Neste post, foram enumerados alguns produtos (documentos, processos, normas, planos, controles, diretrizes, etc) que normalmente são criados a partir da implantação da Governança Corporativa e da Governança de TI e que devem ser mantidos e evoluídos de forma cíclica.


Importante: não se assuste com a quantidade de itens apontados, estes documentos são relacionados entre si (alguns possuem até mesmo dependência vital de outros) e serão criados conforme as necessidades demandarem.

Produtos da Governança

Foco Estratégico

1. Código de Ética
2. Comitê de Direção Estratégica
3. Processos críticos ao negócio
4. Plano Estratégico Institucional
5. Plano Estratégico de TI
6. BSC Corporativo
7. BSC de TI
8. Plano Diretor de TI

Foco Tático & Operacional

1. Matriz de Responsabilidade
2. Gestão de Governança
3. Gestão de Comunicação
4. Gestão de Portfólio
5. Gestão de Demandas
6. Gestão de Catálogo de Serviços
7. Gestão de Nível de Serviço (interno/externo)
8. Gestão de Nível de Operação (interno/externo)
9. Gestão de Riscos
10. Gestão de Continuidade do Negócio
11. Gestão de Disponibilidade
12. Gestão de Finanças de TI
13. Gestão de Segurança da Informação (Será desmembrado!)
14. Gestão de Controle de Acesso (à Informação, aos Recursos e Serviços de TI)
15. Gestão de Identidade
16. Gestão de Contratos de Fornecedores
17. Gestão de Licitações de TI (Bens ou Serviços)
18. Gestão de Capacidade de TI
19. Gestão de Mudança
20. Gestão de Configuração
21. Gestão de Ativos (hardware, software e informação)
22. Gestão de Liberação e Implantação
23. Gestão de Conhecimento
24. Gestão de Incidentes
25. Gestão de Problema
26. Gestão de Evento
27. Gestão de Cumprimento de Requisições de Serviços
28. Gestão de Escritório de Projeto
29. Gestão de Projeto
30. Gestão de Desenvolvimento de Sistema
31. Gestão de Produção
32. Gestão de Qualidade
33. Gestão de Capacitação

Foco no Cliente, Usuário ou Cidadão

1. Carta de Serviços ao Cidadão
2. Gestão do Cliente
3. Serviço de Atendimento ao Cidadão 
4. Ouvidoria
5. Pesquisa de Satisfação

Note que o item Gestão de Segurança da Informação será futuramente explorado, pois há muito que se falar sobre este assunto!

Abraços e até o próximo post!