Toda decisão de negócio envolve riscos.
Existe a possibilidade das coisas darem certo ou não
darem certo em função de algumas variáveis
que às vezes são até incontroláveis por parte da empresa e podem acabar
impulsionando uma iniciativa para um caminho que não era esperado.
Para tratar essas situações
surge a gestão de riscos,
a gestão de riscos.
Ela trata da identificação de fatores que podem acabar
influenciando uma iniciativa para um caminho que não se deseja.
Então a gente chama isso de identificação de riscos.
Numa segunda etapa, eu tenho as análises dos riscos e o entendimento.
Efetivamente, aquele risco, aquele fator de risco,
aquela variável, até onde ela pode influenciar
na nossa iniciativa, nos nossos resultados previstos.
Em seguida, eu tenho a priorização desse risco.
Ou seja, dentre vários riscos que eu tenho
para um projeto que eu estou fazendo, por exemplo,
quais riscos eu preciso tratar primeiro, segundo e terceiro lugar,
porque eu não tenho
fôlego para resolver de repente todos os riscos de uma vez só.
Então eu tenho que priorizar.
E como o quarto e último passo,
vem a estratégia de resolução do risco de mitigação, de minimização
da possibilidade de ele acontecer e virar um problema
e do impacto que esse risco pode causar.
Então eu posso atuar reduzindo tanto a chance de acontecer
quanto também caso aconteça, reduzir o impacto desse risco para a companhia.
Contando uma história para você.
Certa vez eu trabalhava numa indústria farmacêutica.
A indústria estava dobrando, fazendo um projeto.
Já tinha iniciado inclusive obras para dobrar a capacidade
fabril dela, dobrar a capacidade de produção.
E no terreno que ela tinha, então ela estava duplicando a área de fábrica dela.
Dentro dessa
nova fábrica, na parte industrial, foi pensado uma série de detalhes
relacionados a garantir altíssima disponibilidade
dessa fábrica para que ela rode 20 e 04h07 dias por semana.
Então, todos os robôs sistemas de supervisão da fábrica
que foram decididos e adquiridos pela área de gestão industrial,
todos esses sistemas e equipamentos eles tinham contingenciamento.
Dualização.
Então seria improvável, para não dizer impossível, que a fábrica
tivesse uma parada por alguma falha de algum equipamento específico ou sistema.
Porém,
na área de informática geral da empresa,
eu notei como gestor de TI, que a gente tinha um problema na parte de rede.
As redes de comunicação de dados da empresa,
não as externas que ligam a empresa
para o seu exterior, essas estavam todas do alisadas.
Na verdade, a gente tinha cinco canais de comunicação com operadoras diferentes.
Enfim, um da um tinha uma parada na comunicação externa.
Não aconteceria
tanto nos equipamentos internos de comunicação
quanto nos links de comunicação.
Não aconteceria.
Porém,
na parte de redes internas da empresa,
eu tinha um único caminho de fibra ótica para chegar até a fábrica.
Então, na época, foi feito todo
um desenho de uma dualização do anel ótico da empresa,
passando por partes diferentes do terreno da indústria,
de maneira a minimizar o impacto caso
houvesse o rompimento de uma fibra ótica
ou uma falha em algum equipamento de fibra.
Ao longo do uso
do dia a dia da fábrica e dos seus equipamentos e sistemas.
Interessante contar uma coisa agora
eu estava em férias
no litoral.
Ligou para mim o meu coordenar da área de redes.
Nessa época, a FAB.
A construção da fábrica de medicamentos estava acontecendo. Aí
ele ligou pra mim e falou assim Renato,
eu tenho uma coisa pra te contar.
Eu falei que e já tava até dando risada no telefone, eu imaginei
e falou assim Você lembra que certa vez,
quando você estava defendendo a ideia do projeto de dualização de fibras,
você falou para o dono da empresa que existia a chance
de, de repente uma broca de perfuração para colocar lá o alicerce da fábrica,
acabar perfurando em lugar errado e pegando as fibras da empresa
e destruindo a rede local.
Você lembra que você falou isso?
Eu falei lembra?
E falou Pois bem, Renato, aconteceu
hoje.
Levantou, levantaram a broca e todas as fibras óticas da empresa ali
subiram junto com a broca. Arrebentou tudo.
Eu falei o que aconteceu? Ele falou nada,
porque a gente tinha feito projeto de dualização antes.
Então eles arrebentaram um circuito, só que o outro manteve a fábrica
funcionando.
Olha só a importância disso.
Nós estamos falando de governança.
De atingir os objetivos maiores da organização e dos acionistas.
Você imagina uma paralisação da maior
empresa farmacêutica do Brasil?
Quanto tempo eu ia levar para repassar todas essas fibras óticas? Que
eu fizesse isso num tempo aceleradíssimo e que eu levasse uns dois dias.
Consegue imaginar dois dias de produção
da maior farmacêutica do Brasil parada?
Então, agora eu quero mostrar para você
alguns exemplos de como a gente faz para mitigar os riscos,
para tratar os riscos e reduzir os os impactos de um risco.
Eu preparei um painel para você entender três estratégias
que a gente pode usar frente aos riscos para tratar os riscos.
Uma delas é resolver definitivamente.
A segunda é transferir esse risco para terceiros.
Eu tiro do meu ombro e passo pra outra pessoa cuidar.
E a terceira estratégia é você monitorar a situação
continuamente e, caso vire um problema, você medir.
Você adota uma solução de remediação de correção.
Vamos dá uma olhadinha nos exemplos.
Bom, nesse painel aqui você observa o seguinte temos uma coluna
de fatores de risco,
uma de análise e uma de justificativa do nível de exposição,
que é o quanto o risco está expondo a empresa.
Depois eu tenho uma priorização,
que é a sequência de tratamento que foi sugerida, em seguida,
a estratégia de tratamento e qual é a ação que vai ser tomada.
Eu coloquei aqui supostamente um exemplo hipotético da Ultra News,
um grupo jornalístico que eu inventei aqui e aqui.
Pessoal, nós temos a seguinte situações
e todas essas são reais de um grupo jornalístico onde eu trabalhei.
Só que aqui eu não estou colocando o nome do grupo.
Aqui eu coloquei só riscos
infraestruturais, não coloquei riscos relacionados
a software mais relacionados à infraestrutura.
Eu tenho aqui um primeiro risco, que é a ocupação de disco rígido
com dados nos servidores de imagens do jornal ou do jornal coleta imagens.
Essas imagens são guardadas.
Isso ocupa muito espaço.
Foi identificado que existia uma uma exposição muito alta
com relação a isso, ou seja, grande chance de acontecer um colapso em função
do excesso de uso de disco, impactando profundamente o jornal.
Dado que tudo o que ele publica
envolve, de certa forma algum conteúdo em imagem,
está aqui a justificativa da exposição Por que a gente considerou alto.
A justificativa existe 75% de ocupação atual
e uma taxa de crescimento de 2% ao mês no uso de discos,
sendo que quando alcançar 80% de espaço ocupado, o computador vai parar.
Então nós estamos na iminência de uma parada,
uma parada que vai afetar todo o trabalho da redação do jornal.
Portanto, probabilidade, impacto, alta priorização.
Ele ganhou aqui o segundo lugar.
Depois a gente vai olhar os outros.
Estratégia o que foi adotado como estratégia de tratamento.
Vamos monitorar e remediar.
Ou seja, na medida que os discos vão bater em 80%,
chegando até lá, eu faço um trabalho de limpeza.
Então, batendo 80%, dispararem automaticamente
alguns programas, rotinas para limpeza dos bancos de dados
e a expectativa é que essa limpeza vai reduzir
até mais de 80% dos dados atualmente ocupados,
porque a gente tem 100 anos de existência do grupo jornalístico
guardados nos discos.
Então, se eu rodar, quando rodar essa rotina de limpeza pela primeira vez,
eu provavelmente vou derrubar os 80% de ocupação atuais
para algo próximo a 20% ou menos.
Próximo risco Incêndio no datacenter Principal
Nível de exposição médio alto.
Por quê?
Justificativa O datacenter fica acima do depósito de tintas do jornal,
onde ocorreram nove princípios de incêndio no último ano,
ou seja, é fato que pode ocorrer um incêndio.
Não é uma hipótese, porque já tivemos nove princípios de incêndio
e o datacenter está exposto porque ele está num andar superior,
o depósito de tintas, e todo mundo sabe que o fogo sobe, ele não desce.
Então nós temos aqui uma exposição média alta.
Então estamos na iminência de um incêndio,
não datacenter, mas existe uma chance, forte priorização.
Ele ganhou aqui o quarto lugar.
Depois nós vamos entender o porquê da priorização
e a estratégia foi transferir, transferir aqui.
Como?
Contratando um datacenter externo em nuvem e migrando
todos os equipamentos do jornal para esse datacenter,
sendo que esse datacenter será escolhido de forma a garantir um nível de atenção
de avaliação internacional de segurança. Ter
numa camada
elevada do tier tiro e uma gradação de segurança.
Então a gente no caso contratou um datacenter tier quatro,
que é o penúltimo nível de segurança máxima,
o nível máximo, esse cinco No Brasil não existe datacenter nível cinco.
E também contratar links duplicados de alta velocidade
de provedores diferentes para ligar a empresa ao novo datacenter.
Então veja, tem duas iniciativas aqui grandes para fazer
migrar todos equipamentos do grupo jornalístico por um datacenter,
fechar o contrato com o datacenter
e também contratar links de alta velocidade contingenciados.
Não é um trabalho simples, é um trabalho longo,
por isso ele ficou com priorização número quatro e ficou um pouquinho mais adiante,
porque ele envolvia aqui todo um estudo um pouco mais profundo, até financeiro.
Então vamos agora para o terceiro item, então intrusão por parte de internautas,
pessoas externas a nossa rede de computadores, análise de exposição alta.
Como que a gente chegou nessa conclusão de que a exposição é alta?
Qual a justificativa?
Um teste de equipamento detetor de intrusão apontou 3714
tentativas de acesso aos computadores do datacenter do jornal por minuto.
Bom, a priorização ficou em terceiro lugar.
Estratégia Eliminar esse risco.
Como?
Instalando definitivamente um ideal que é um tudo detection system
e configurar o firewall para bloquear
pacotes de origem de dados suspeitos.
O último risco acesso físico indevido ao datacenter
exposição baixa Justificativa dessa análise
O acesso ao datacenter já conta
com identificação por crachá, mais biometria da face.
Por raras vezes no ano,
a mola da porta que fecha o datacenter acaba
não travando após alguém entrar ou sair, mas isso raras vezes.
Então, o risco de alguém indevidamente acessar o datacenter é baixo.
A priorização colocada em primeiro lugar, apesar do risco baixo.
Por quê?
Porque é fácil de solucionar.
Vamos fazer já.
E o que fizemos? Eliminação Como?
Trocando o sistema de mola por uma mola mais forte.
Veja então a diversidade de tratamentos.
E perceba que é sempre muito importante quando você identificar
uma variável de risco, apontar o grau de exposição justificado.
Pense sempre que solucionar os riscos
pode sair de uma solução barata ou mais cara.
No exemplo que eu dei por na parte de migração de datacenter,
nós temos ali um custo que com certeza é altíssimo.
E foi nesse caso
que é você contratar um datacenter externo, levar todos
seus servidores para esse datacenter
e depois fazer os contratos de telecomunicações.
Essa conta custou algumas dezenas
de milhões de reais
por ano
para fazer isso aí funcionando num outro datacenter.
Tudo isso rodar em um outro datacenter
não é uma decisão que eu tomo agora.
É uma decisão que leva tempo.
Envolve área financeira, envolve com certeza os conselhos, os comitês,
envolve vários profissionais de TI internos e dos terceiros.
Então, na hora de priorizar, tem que levar em conta também isso.
Não basta você olhar só a questão de probabilidade
de impactos da ocorrência do risco, mas também os investimentos necessários
e o tempo para você solucionar cada uma das questões ou reduzir
o tamanho do problema que esse risco pode gerar no futuro.
Utilizando o método que eu estou te mostrando aqui
na sua empresa, seguindo esses passos, você vai ter uma chance de sucesso
para avaliação dos seus riscos e para proposição de soluções
de uma forma muito mais interessante.
Com alta chance de você conseguir implementar as suas ideias e.