A importância da gestão de riscos em TI aumenta à medida que as empresas e seus negócios tornam-se cada vez mais dependentes da tecnologia da informação.

Em outras palavras, uma boa gestão de riscos em TI é cada vez mais determinante para a competitividade das empresas no mercado.

Mas o que significa gerenciar riscos em TI? Qual é a abrangência dessa atividade? Como se faz essa gestão?

Nas próximas linhas você terá uma visão geral sobre essa cada vez mais crítica necessidade das empresas.

Onde estão os riscos em TI?

Uma consequência imediata da ampliação do uso da tecnologia dentro das empresas é a correspondente ampliação dos riscos que são inerentes a ela.

Conforme veremos mais adiante, uma das etapas da gestão de riscos em TI é justamente a identificação das possíveis fontes de risco para a empresa.

Listamos a seguir algumas dessas possíveis fontes, apenas para ilustrar qual deve ser a abrangência da gestão de riscos.

Estrutura física do ambiente

Itens como sistema de alarme, câmeras de vigilância, identificadores biométricos, extintores de incêndio e saídas de emergência são essenciais para a preservação física de colaboradores e equipamentos.

Hardware e software

Versões desatualizadas ou mesmo obsoletas normalmente implicam em riscos para a eficiência dos processos.

Eventualmente, podem representar até mesmo riscos para a segurança dos processos. Versões atualizadas tendem a trazer soluções mais evoluídas.

Antivírus e firewall

Mecanismos que controlam a interação entre o ambiente digital interno da empresa e o ambiente digital externo, antivírus e firewall não podem, de forma alguma, estar desatualizados ou mal configurados.

Treinamento de colaboradores

Por mais que hardware, software e dependências físicas sejam adequados, cabe ainda ao fator humano a responsabilidade de fazer o uso correto de toda essa estrutura.

Desastres naturais

Embora sejam eventos raros, é preciso considerar que não há como controlá-los.

Assim, podem comprometer toda a infraestrutura de TI da empresa, caso ela não tenha um plano de contingência para tais situações.

Espionagem

Colaboradores da própria empresa podem levar informações confidenciais para terceiros, inclusive concorrentes ou hackers.

Como aplicar a gestão de riscos em TI

Podemos entender a gestão de riscos em TI a partir de uma sucessão de etapas, conforme descrita a seguir.

Identificação dos riscos e de seu contexto

Os riscos em TI podem ter origem interna ou externa à empresa.

Essa definição é particularmente importante para que se tenha clareza quanto ao fato de a empresa ter ou não a possibilidade de intervir diretamente nas causas que geram o risco.

São exemplos de riscos de origem interna:

• Problemas de governança;
• Falhas nas estruturas hierárquicas;
• Falta de recursos;
• Falta de conhecimento;
• Outros.

Por outro lado, os riscos externos envolvem a conjuntura política, econômica e social em que a empresa se encontra inserida.

Análise dos riscos

Para cada risco encontrado, deve ser feita uma avaliação de suas causas, das probabilidades de que ele venha a ocorrer e do quanto ele pode trazer de impacto para o negócio.

As probabilidades de ocorrência podem ser classificadas em:

• Rara,
• Baixa,
• Média,
• Alta ou
• Altíssima.

Por outro lado, o impacto provocado pode ser definido entre:

• Nulo,
• Leve,
• Médio,
• Grave ou
• Gravíssimo.

Como resultado do cruzamento dessas classificações, podemos definir o risco como:

• Baixo;
• Moderado;
• Elevado ou
• Extremo.

Definição de ações a serem tomadas

As ações podem incidir diretamente sobre as causas do problema, se estiverem ao alcance da empresa, ou agir na mitigação ou redução dos seus efeitos para os negócios.

São processos típicos da gestão de riscos em TI:

• Prevenção contra roubo de informações;
• Prevenção contra ataques virtuais;
• Backup de dados críticos;
• Análises de riscos;
• Definição de indicadores e métricas para avaliação dos riscos;
• Garantias de funcionamento dos sistemas;
• Mitigação de problemas.

Monitoramento e melhoria contínua

Uma vez que tenham sido  identificados, os riscos devem passar a ser monitorados constantemente. A ideia é transformar o processo em um ciclo de melhoria contínua.

Benefícios da gestão de riscos em TI

De fato, a gestão de riscos em TI traz benefícios para a empresa, mas vale lembrar que ela não é uma medida adicional a ser opcionalmente considerada, mas sim medida obrigatória dentro de uma boa prática de governança de TI.

Assim, entre os benefícios proporcionados pela gestão de riscos em TI, destacam-se:

• Redução da ocorrência de ataques cibernéticos e dos transtornos provocados a partir deles;
• Prevenção e combate efetivo contra o vazamento e o roubo de informações da empresa;
• Proteção contra desastres naturais, acidentes ou ações criminosas;
• Controle do acesso aos dados;
• Combate ao desperdício de recursos;
• Contribuição para tornar os processos mais efetivos;
• Outros.

Além disso, a gestão de riscos em TI também possibilita:

• A identificação de oportunidades de melhorias;
• A implantação de uma cultura de proteção aos ativos de TI da empresa;
• Um controle sobre a prática do BYOD (Bring Your Own Device), o hábito cada vez mais comum de colaboradores que fazem uso de seus próprios equipamentos pessoais no local de trabalho.

Medidas para uma gestão de riscos mais efetiva

A saber, algumas medidas complementares podem dar maior eficiência à gestão de riscos em TI:

• Promover treinamentos frequentes, como forma de disseminar o conhecimento sobre as ameaças e como lidar com elas;
• Definir e divulgar um manual de boas práticas em relação ao uso dos recursos de TI;
• Manter rotinas de backup e recuperação de dados;
• Manter rígido controle de softwares utilizados;
• Promover atualização de hardware;
• Monitorar todos os recursos de TI;
• Elaborar planos de contingência em caso de confirmação de ameaças;
• Priorizar a resolução das situações que envolvem maiores riscos;
• Promover testes para identificar falhas de forma antecipada;
• Manter uma comunicação interna eficiente, um trabalho de equipe eficiente e um planejamento eficiente.

Conclusão

Conforme vimos, já não é mais possível para uma empresa manter-se sem uma boa estrutura de TI.

Por outro lado, essa estrutura não pode existir sem uma gestão de riscos a acompanhá-la constantemente.

Assim, com ambientes cada vez mais interconectados e sujeitos a ataques criminosos, a gestão de riscos em TI passa a ser a principal garantia para uma utilização segura dessas plataformas.