Será que seus projetos estão seguros? (Parte 3 de 3 - Epílogo)

                      

Parte 1 (prólogo) -  Parte 2 (trama) - Parte 3  (epílogo)

No prólogo de nossa história, o CCDGSIAE (CSO, CISO, Diretor, Gerente de Segurança da Informação, Analista, ou Estagiário) estava prestes a ser promovido, com aprovação do conselho e tudo, quando a secretária do presidente da empresa interrompeu a reunião com um assunto urgente.

Depois de ter feito um bom trabalho executando os planos daquele ano para Segurança da Informação, a consistência dos projetos implementados pelo CCDGIAE passou por um teste real. 

Um funcionário demitido no início do ano provocou um desastre e, “felizmente”, todo os planos elaborados na Gestão de Continuidade de Negócios funcionaram e foram capazes de retornar tudo para o normal, com muito pouco impacto para os negócios. Nada que fosse inaceitável… os resultados positivos do trabalho do CCDGSIE iriam até aumentar a sua importãncia na empresa. Iria ganhar sala e orçamento próprio! Até que...

Até o fornecedor bater na porta e interromper a reunião do conselho…

A trama, continuou com a paralização emergencial da reunião do conselho e a imediata convocação do Comitê de Crise: Todo o trabalho do fornecedor havia sido perdido.

Na segunda parte, eu trouxe para vocês uma série de estatísticas sobre como as pessoas vem se comportando diante das evoluções tecnológicas, tendências de “servicialização” da tecnologia, e, em muitos casos, a mercantilização dos serviços de maneiras nunca antes testadas ou regradas. 

Vimos que 70% dos executivos, no mundo, estão adotando alguma forma de armazenamento de dados na nuvem. Porém, 54% dos tomadores de decisão, não confiam plenamente em terceiros.

Também vimos, através do estudo feito pela Symantec, que...

...a necessidade de mobilidade nos negócios, atendida pelo “mundo dos celulares inteligentes e seus aplicativos”, traz à reboque uma série de riscos e ameaças, antigas, novas ou com outras vestimentas.

Foi o que aconteceu com nossa empresa fictícia.

Um funcionário demitido, no início do ano, resolveu sabotar as operações da empresa. A sabotagem não foi bem sucedida e o planejamento da resposta à situações de perda de dados ou interrupção nos processos de negócio, causados por incidentes em tecnologia da informação, funcionou.

Porém, dois detalhes passaram despercebidos no planejamento:

1) Portfólio de projetos desenvolvidos na organização, em constante alteração;

2) Parte dos projetos, executados por terceiros.

No caso da nossa empresa fictícia, o funcionário demitido se utilizou de um aplicativo instalado, para teste, em seu telefone celular. Funcionário de confiança (como todo funcionário que testa um novo aplicativo de negócio), ele recebeu acesso pleno, para todas as funcionalidades do software que estava sendo desenvolvido.

Ao ser demitido, seguindo as políticas da empresa, todas as medidas para redução de risco de desligamento foram tomadas:

1) Devolução do aparelho celular para o RH;

2) Devolução do laptop;

3) Devolução do crachá de acesso;

4) Revogação de todos os acessos aos sistemas;

5) Nota de aviso para todas as áreas chave da empresa...

Mas o que falhou então?

Lembra-se do "backup e recovery", que salvou a empresa quando foi necessário reestabelecer a normalidade dos processos de negócio, após a sabotagem?

Foi este mesmo processo que possibilitou que o ex-funcionário, sabotador, instalasse o aplicativo que estava sendo desenvolvido, em um celular pessoal. Os acessos fornecidos pelo fornecedor, para ele testar o aplicativo, não foram revogados.  Para causar transtorno ao ex-empregador, o ex-funcionário se aproveitou desta situação.

Na "Reunião de Crise", convocada para discutir questões contratuais do projeto que estava sendo desenvolvido pelo fornecedor, todos concordaram que houve "falha na comunicação".

Ameaçado de multa em seu contrato, o fornecedor alegou que não foi avisado da demissão do ex-funcionário. Para piorar, não havia backup do ambiente de desenvolvimento. O fornecedor culpou a diretoria de TI, que culpou o responsável por Segurança da Informação...

Como resultado… o nosso CCDGSIAE (CSO, CISO, Diretor, Gerente de Segurança da Informação, Analista, ou Estagiário) voltou para a área de Tecnologia da Informação... 

E tudo continuou como sempre esteve… até o próximo desastre...

............................................................................................

Quer saber que atitude e que ferramentas o CCDGSIAE poderia ter usado para evitar este desfecho? Como as políticas e planos de segurança poderiam ter sido desenvolvidos e implantados sem desconsiderar novos riscos ameaças e vulnerabilidades? Que habilidades poderiam ter sido usadas para que as pessoas fossem melhor trabalhadas, tomando posse dos riscos e compartilhando conhecimento para lidar melhor com eles? Sair da posição de defesa, reativa? Em equipe, assumir o controle sobre os negócios, evoluindo constantemente a consciência sobre estes riscos?

Continue me acompanhando, em outros artigos procurarei trazer mais e mais histórias que lhe ajudem a enfrentar questões como esta no dia-dia, em sua função.

Até lá, me chame para um café! Vamos conversar mais!

https://twitter.com/comoumservico
consultoria@gustavominarelli.com.br

Humanos são humanos - Como governança pode evitar ou reduzir os danos de desastres (Parte 2 de 2)

• Este é o segundo artigo da série: Como governança pode evitar ou reduzir os danos de desastres - Humanos são humanos
• Leia também o primeiro artigo da série: Isso não existe

Humanos são humanos... 

empresas são humanas.


Todo resto que se possa falar sobre as empresas, administração, engenharia, tecnologia, gestão... governança... serviços, é importante, mas apenas se com o conteúdo formos capazes de ajudar humanos, a tomar decisões com o mínimo de consciência sobre as suas consequências.


E é aí que compreender melhor como podemos usar as práticas de governança nas empresas/organizações onde oferecemos serviço ganha ainda mais importância:

• Você sabe como e por que as decisões, onde você trabalha, são tomadas? 
• Sabe onde você e as pessoas que trabalham com você estão na cadeia de tomada de decisão e qual o serviço que você oferece que ajuda a informação fluir para que decisões mais corretas (em todos os aspectos) sejam tomadas? 
• Seus valores são os mesmos que a sua organização se propõe a oferecer para a sociedade? 
• Qual o seu papel em ajudar sua organização a manter estes valores? 
• Você sabe qual o seu papel e responsabilidade nas decisões? Se sente co-responsável por elas? 
• Sabe até onde pode exercer sua responsabilidade e seu papel? 
• Ou no final das contas você tem certeza que governança é só com "eles" da "diretoria"?

Se você não sabe qual a melhor resposta para estas perguntas, respondeu "não" para pelo menos uma das primeiras 6 perguntas, ou respondeu "sim" para a última pergunta, você é um passageiro de uma locomotiva em alta velocidade e sem direção. Pois há grandes possibilidades de todos os que viajam com você, inclusive o maquinista, estarem na mesma situação. 

A boa notícia é que como o mundo está se transformando, há muitas oportunidades para você mudar este cenário. No entanto, para amadurecimento, há um caminho que precisa ser seguido, que depende muito de você:

• Descubra que serviços você e seus colegas oferecem para sua organização, mercado e sociedade; 
• Desenvolva (em você e neles) as competências necessárias para entregar estes serviços;
• Descubra o seu papel nestes serviços; 
• Deseje, com sinceridade, servir sua organização, mercado e sociedade; 
• Busque as habilidades necessárias para desempenhar este papel;
• Busque o conhecimento, crie meios para que ele possa ser dividido e desenvolva a atitude necessária para aumentar sua influência no processo decisório. 

Em uma pesquisa recente, da International Stress Association (Isma Brasil), 72% das pessoas disseram estar insatisfeitas com o seu trabalho. Destas, 89% não se sentiam reconhecidas, 78% achavam que tinham muitas tarefas e 63% afirmavam ter problemas de relacionamento no trabalho. 

Se você é parte desta estatística, saiba que se agir para deixar a posição de passageiro do mercado, assumindo o papel de protagonista, há grandes chances de você obter a satisfação e reconhecimento que procura.

Protagonista é a personagem principal de uma narrativa. Então, como se tornar esta personagem?

Quando quem toma decisões não dispõe de informações corretas, ou executa uma gestão inconsciente, a sociedade fica ainda mais vulnerável aos desastres (ver definições na parte 1). Como prestador de serviços você tem um papel importante neste processo!

Existem vários motivos para a informação não chegar, ou chegar e não ser considerada, por quem precisa decidir. Prometo aborda-los em outros artigos.

Por hora, seguirei apontando como a Governança bem estruturada (com você nela) pode ajudar com este tipo de problema.

Duas definições são importantes, antes de continuar:

• Gestão empresarial: é o processo geral de tomada de decisões dentro de uma empresa;
• Governança corporativa: é o conjunto de regras e práticas que garantem que uma empresa está cumprindo com seus deveres com todos os stakeholders (todas as pessoas interessadas no resultado da empresa). 

Finalmente a governança...

Enquanto gestores tomam decisões em suas áreas e processos, muitas vezes sem a visão do todo, é na governança empresarial que se consegue impedir que as suas decisões causem desvios dos objetivos empresariais, difíceis de recuperar. E isso inclui os compromissos com a sociedade. 

Conselhos, comitês, práticas de segregação de funções, fluxos de trabalho, paineis de indicadores e canais de denúncia, por exemplo, são estruturas ou mecanismos de governança que ajudam a evitar estes desvios. Existem, principalmente, para oferecer ambiente favorável ao questionamento das decisões tomadas e escolha de rotas alternativas. Quando há desalinhamento das decisões com os objetivos empresariais, possibilitam que os valores usados para tomá-las sejam questionados, e ajudam no encaminhamento das correções necessárias.

Mas ao comparar a prática (decisões tomadas, que não impediram os desastres recentes) com a intenção (missão e objetivos), fica claro que muitas delas contradizem os valores ou causam risco, normalmente inaceitáveis, à missão e objetivos intencionados (e declarados) pelas empresas e intituições públicas envolvidas. 

Isso é muito sério e como você deve ter percebido, ocorre muito antes dos desastres acontecerem.

Milhares e milhões de reais fizeram parte dos investimentos das empresas - em governança, gestão de risco e conformidade com regulamentações. 

Entretanto, está claro que foram investidos sem trazer o retorno necessário. Quando muito, estão servindo apenas para controlar pequenas falhas ou atender demandas pontuais das auditorias e fiscalizações externas. Não conseguiram trazer resutados plenos para as empresas (e sociedade). 

Como eu escrevi, no artigo anterior, o assunto - Risco, desastres e crise - precisa ser visto de forma mais real, prática, com consciência e compreensão estratégica.

Se quantificássemos o retorno sobre o investimento, tomando como resultado a desvalorização dos ativos, multas ambientais, vidas perdidas, danos à imagem e credibilidade, indenizações, dentre outras perdas, chegaríamos a conclusão que o saldo (do insucesso dos investimentos feitos) é muito negativo. Demorará décadas ou séculos para ser recuperado. 

Os últimos desastres, citados na primeira parte desta série, e seus desdobramentos, deixam claro que algo não está funcionando corretamente nos mecanismos de governança implantados. Nas empresas ou nos órgãos públicos que às fiscalizam.

Algo está faltando para que as decisões que realmente impactem nos negócios (e sociedade) sejam melhor trabalhadas.

É muito importante que as empresas (seus executivos e gerentes) compreendam que o orçamento milionário dedicado à implantação ou automação de estruturas de controles, indicadores e processos, de negócios ou TI, precisam ser seguidos por um trabalho ainda maior de mudança de hábitos, capacitação e empodeiramento das suas equipes.

Além disso, em pleno vôo, também é importante que se compreenda que os mecanismos e estruturas já implantados, precisam ser "reanimados".

As perdas são grandes, mas assim como um carro parado, que se deteriora na garagem, nem tudo que foi investido em processos, ferramentas ou capacitação técnica foi perdido.

No último seminário do PMI e no Seminário da HSM, que acompanhei, quem estava atento, viu claramente que o tripé: PESSOAS, TECNOLOGIAS e PROCESSOS, bem ou mal, já faz parte "do sangue" das organizações.

Isso também ocorre com a "antiga" tripla restrição (tática) dos projetos: ESCOPO, TEMPO, CUSTOS; e sua irmã estratégica: RISCOS, QUALIDADE e SATISFAÇÃO DO CLIENTE. 

              fonte: artigo em pmi.org/Learning                          

Mas humanos são humanos...

Antes que todo esforço feito para implantar as estruturas acima seja questionado e "o carro" seja totalmente perdido, é urgente lubrificá-lo e colocá-lo "na rua", para funcionar. 

Antes que se perca ainda mais dinheiro e vidas, é no aprimoramento dos talentos, e do triângulo: LIDERANÇA, GERENCIAMENTO ESTRATÉGICO e GERENCIAMENTO TÉCNICO, que as empresas precisam investir muito mais.

Link: Triângulo de Talentos do PMI^®

Continue me acompanhando. Em outros artigos, procurarei aprofundar fundamentos, conceitos e práticas, que poderão lhe ajudar a encontrar e desenvolver sua missão, diante deste cenário.

Até lá, me chame para um café! Vamos conversar mais!

https://twitter.com/comoumservico
consultoria@gustavominarelli.com.br

Isso não existe - Como governança pode evitar ou reduzir os danos de desastres (Parte 1 de 2)

• Você está lendo o primeiro artigo da série: Como governança pode evitar ou reduzir os danos de desastres - Isso não existe
  
• Após ler este artigo, leia também o segundo, da série: Humanos são humanos

Isso não existe... ou...

Nunca vai acontecer.

É assim que desastres empresariais acontecem. Antes mesmo de acontecer.

Normalmente, relacionamos desastres empresariais apenas aos eventos “imprevisíveis”, incidentes e seus impactos.

Nos livros, aprendemos que:

Desastre: é o RESULTADO de eventos adversos, naturais ou provocados pelo homem, causando danos humanos, materiais, ambientais, tendo como consequência prejuízos econômicos e sociais. (Plano Nacional de Defesa Civil);

Evento (situação): é uma alteração de uma ou mais circunstâncias, podendo ter uma ou mais causas (ISO 22301); 

Incidente: Evento (situação) não desejada, que possa gerar impacto negativo aos negócios ou sociedade (minha definição simplificada);

Impacto: As sequelas (consequências negativas ou positivas) de um incidente (minha definição simplificada);

Já o nível de risco, no aspecto negativo, está relacionado à probabilidade de um incidente se concretizar e gerar impacto negativo aos negócios  Quando positivo, está relacionado às oportunidades que podem ser aproveitadas após a ocorrência de um evento. (minha definição simplificada);

Vulnerabilidade: ausência, inadequação ou ineficiência de controle sobre um risco (minha definição simplificada). Por exemplo: A inexistência de aprovação de entrada e saída de visitantes, pode ser uma vulnerabilidade onde você mora. Processos, ferramentas ou capacitação técnica ineficiente ou inadequados, podem ser uma vulnerabilidade na empresa onde você trabalha, etc...

Ameaça: Havendo uma vulnerabilidade, haverá uma ameaça (minha definição simplificada). Por exemplo: acesso de ladrões em um condomínio ou erro humano por falhas de capacitação, processos ou ferramentas na empresa.

Mas tem algo faltando...

Universidades e treinamentos específicos proliferaram, divulgando e treinando os alunos a compreender cada um dos conceitos acima. Sem contar a quantidade de consultores e auditores. Todos com papel muito importante no “plantio" de novas maneiras de trabalhar.

Mesmo assim, nos últimos anos temos acompanhado uma série de eventos "imprevisíveis":

• Enchentes que atingem bairros ou cidades inteiras;
• A seca que atinge o país, já há algum tempo;
• Fraudes, que causam danos irrecuperáveis à empresas (públicas e privadas), dos mais diversos setores;
• Produtos e serviços que prometem mas não cumprem o prometido.O pior... sem ninguém saber disso até que algo mais grave acontece que faz o "erro" aparecer;
• Prédios caindo, destruindo vidas, empresas, e sonhos...
• Aviões caindo...

Citando apenas os desastres mais vivos em nossas mentes, e infelizmente, parte recente do cotidiano.

E se restringimos nossa análise ao Brasil, isso não quer dizer que em outros países não ocorram:

• Ameaças de terrorismo;
• Aviões caindo;
• Fraudes;
• Terremotos;
• Furacões;
• Tsunamis...

Bom.... 




Sempre acreditamos que desastre só era 

coisa do primeiro mundo... mas não!

Com o desenvolvimento da nossa economia, nas últimas décadas, estamos vendo que heróis não existem e que acreditar que eles nos salvarão enquanto vivemos nossa vida, previsivel e planejada, é um indício do quanto ainda estamos longe de atingir maturidade: humana, de gestão e de governança.

Quanto mais se tem a perder, maior

o impacto de sermos tão imaturos!

Ameaças naturais, como enchentes, seca, etc… Sistêmicas, como fraudes, corrupção e erro humano, sempre existirão. Sendo realista, é impossível evita-las.


O máximo que se pode fazer é tentar controla-las, monitora-las ou se manter pronto para que, quando ocorram, os danos à sociedade sejam os menores possíveis.

Como empresas fazem parte da sociedade, estamos falando delas aqui também.

Ao reconhecer, humildemente, que somos impotentes, humanos, e não somos heróis, aí sim sairemos da adolescência. Assumiremos o controle sobre nossa existência e tomaremos medidas mais objetivas para um viver próspero e feliz. Satisfeitos, usufruindo dos nossos feitos.

Os acontecimentos recentes ilustram a necessidade urgente da sociedade abordar o assunto - Risco, desastres e crise - de forma mais real, ampla e estratégica. 

Existem oportunidades claras de investimentos que devem ser realizados de forma estruturada, tanto pelo setor público, como pelo setor privado. 

• Aprimorar infraestrutura (empresarial e pública);
• Desenvolver novas estruturas de serviços compartilhados e aprimorar as estruturas atuais para que se otimize o uso de recursos financeiros, naturais/energéticos;
• Construir sistemas mais eficientes de segurança (física, da informação, financeira, energética, etc...);
• Modernizar instalações;
• Implementar fontes alternativas/limpas de energia.

Algumas ações possuem benefícios que são mais facilmente relacionados à vida de negócios e outras não. Mas isso não é justificativa,já que nem mesmo as mais fáceis estão recebendo a atenção devida.

Não é muito simples tomar decisões. Acreditar que é possível tomá-las usando unicamente modelos matemáticos, raciocínio, processos sistêmicos, ou indicadores, é utópico. 

A complexidade aumenta, por exemplo, quando a construção de uma estrada, ampliação de um canal de navegação, implantação de um porto ou fontes alternativas de energia, aumento na produção, ocasionam impactos "aceitáveis no conjunto da obra", mas inaceitáveis de pontos de vista isolados, e nem por isso, pouco importantes. 

O todo depende das partes e pode-se filosofar muito sobre isso... mas... fato é que...

Humanos são humanos... e é sobre isso que quero escrever para você na segunda parte deste artigo. Ela será publicada na próxima quarta-feira.

Até lá, me chame para um café! Vamos conversar mais!
https://twitter.com/comoumservico
consultoria@gustavominarelli.com.br

Será que seus projetos estão seguros? (Parte 2 de 3 - Trama)

                      

Parte 1 (prólogo) -  Parte 2 (trama) - Parte 3  (epílogo)

Para quem está curioso, a foto acima é uma panorâmica dos arcos do Solo Sagrado de Guarapiranga, localizado na região de Parelheiros, às margens da Represa de Guarapiranga, na cidade de São Paulo. Não sou frequentador dos eventos e não conheço muito sobre a religião, mas quem tem interesse em conhecer mais, pode começar pela wikipedia. 

Com 327.500 m² de área no total, o solo é administrado pela Igreja Messiânica Mundial do Brasil. O "Seiti", como os complexos formados por templos, museus e jardins, são chamados por esta igreja, é aberto à visitação pública, para messiânicos e não-messiânicos. No centro do complexo de São Paulo, um templo construído em forma de anel é sustentado por 16 pilares de 18 metros de altura. Segundo me disseram,

"os pilares representam todas as direções do mundo, sustentam o céu, sem paredes que limitem o alcance dos sonhos. As paredes são a própria natureza." 

É no Solo Sagrado, também, que pode ser realizada a cerimônia em que um seminarista da Igreja Messiânica se torna Ministro, e é por este motivo que escolhi esta imagem para abrir o artigo. Afinal, na primeira parte deste artigo, o nosso CCDGSIAE estava próxmo de um feito inédito em sua carreira.

Pesquisando para escrever a continuação do primeiro artigo desta série, “Seus projetos estão seguros (Prólogo), dei de cara com outro artigo, de um blog muito legal que traz algumas estatísticas muito interessante nesta área:

No artigo que encontrei, o autor (Keith Griffin) saca de uma revista renomada, ZDnet.com, um estudo da British Telecom que cobre 11 países:

• 79% dos executivos de empresa norte-americanas (70% no mundo) estão adotando armazenamento, em nuvem, e aplicativos Web em seus negócios;
   
• Para 54% dos tomadores de decisão, confiar em terceiros é um problema;
   
• 41% tem impressão de que TODOS os serviços na nuvem são inseguros;
   
• 26% já haviam experimentado algum incidente em que o fornecedor foi culpado (Afinal a culpa é sempre dos outros, isso é humano, tanto aqui como lá nos Estados Unidos da América).

No prólogo de nossa história, o CCDGSIAE (CSO, CISO, Diretor, Gerente de Segurança da Informação, Analista, ou Estagiário) estava prestes a ser promovido, com aprovação do conselho e tudo, quando a secretária do presidente da empresa interrompeu a reunião com um assunto urgente.

O fornecedor que entregava um projeto importante precisava falar com o presidente.

Depois de ter feito um bom trabalho executando os planos daquele ano para Segurança da Informação, a consistência dos projetos implementados pelo CCDGIAE passou por um teste real. Um funcionário demitido no início do ano provocou um desastre e, “felizmente”, todo os planos elaborados na Gestão de Continuidade de Negócios funcionaram e foram capazes de retornar tudo para o normal, com muito pouco impacto para os negócio. Nada que fosse inaceitável… até...

Até o fornecedor bater na porta…

A trama continua com a paralização emergencial da reunião do conselho e a imediata convocação do Comitê de Crise.

Os detalhes são sigiloso, então pouca gente fala sobre o que aconteceu ou se discutiu. Sabe-se apenas que a promoção do CCDGIAE foi abortada. Não, ele não foi demitido.

O que se sabe vem de fofocas da "rádio peão": Na reunião, o fornecedor balançava repetidamente o seu celular enquanto falava. Algo deu muito errado… ou passou, invisível, às análises de risco e impacto.

Antes do próximo artigo,  com conclusão e epílogo desta história toda, seguem algumas estatísticas interessantes de uma experiência diferente realizada pela Symantec:

A Symantec realizou um experimento nos Estados Unidos, em 2012, e em 2014 refez o experimento, para verificar como o comportamento das pessoas com a segurança da informação havia evoluído.

O objetivo do experimento foi descobrir (ou evidenciar) o que acontecia com um celular depois de perdido. 

Em 2014, a Symantec espalhou 60 celulares pelo Canadá. Em 2012 haviam sido 50 nos EUA. Dentro dos celulares, dados corporativos (falsos, é claro).

O que ela achou:

• Quase todos os celulares foram vasculhados por quem os achou, 96% em 2012 e 93% em 2014;
   
• Quase o mesmo número de almas boas, tentaram contato para devolver o celular para o dono, 50% em 2012, 55% em 2014;
   
• Aplicativos que usualmente contém dados pessoais foram abertos em 89% dos casos, em 2012; e 83% dos casos, em 2014;
   
• "Aplicativos de negócio" foram abertos em 83% dos aparelhos, 63% em 2014;
   
• A Symantec colocou um arquivo de senhas para verificar se seria aberto. Em 2012, 57% abriu o arquivo de senhas. Em 2014, 52%;
   
• A invasão aos aplicativos bancários foi um dos itens que teve maior diferença, variou de 43% para 35%;
   
• As redes sociais foram destaque também. 63% no primeiro e 64%, no segundo, tiveram rede social acessada;
   
• Aplicativos mais técnicos, de acesso remoto à outros sistemas, foram alvo de invasão em 49% dos casos, em 2012 e apenas 20%, em 2014;
   
• Houveram 66% de tentativas de alteração (reset) de senha de um serviço acessado pelo dono do celular, em 2012. Nos testes de 2014, muito mais gente, 72%, tentou a alteração;
   
• Em 2014, o celular foi acessado muito mais rapidamente do que em 2012. Foram 10 Horas até primeiro acesso, em 2012. Apenas 1 hora de espera antes do celular ser vasculhado por quem encontrou, em 2014.

O que isso tem a ver com nossa história?

Aguarde o último artigo da série, comente com o que acha disso tudo...

Ah.. e quando puder, não deixe de ir visitar este lugar muito pouco conhecido em São Paulo! Vale a pena!

...E ainda, se convide para um café durante a próxima semana! Terei o prazer de trocar experiências com você e adiantar o final desta história!

Um grande abraço! 

https://twitter.com/comoumservico

consultoria@gustavominarelli.com.br

Será que seus projetos estão seguros? (Parte 1 de 3 - Prólogo)

                      

Parte 1 (prólogo) -  Parte 2 (trama) - Parte 3  (epílogo)

Você está certo de que sua organização está segura:

• Os impactos dos processos e informações nos negócios foram avaliados!

• Riscos e ameaças identificados e tratados. Tudo no ano passado.

O CCDGSIAE (CSO, CISO, Diretor, Gerente de Segurança da Informação, Analista, ou Estagiário), responsável por garantir que seu negócio esteja vivo, competitivo, sustentável em caso de qualquer roubo ou perda de informação, está fazendo um bom trabalho, afinal, ele teve apoio de uma das melhores consultorias existente no mercado. Ótimo!

Assim estava em… dezembro!

No início do ano sua empresa começou a executar os projetos previstos no seu Planejamento Estratégico. 

Naturalmente, um Planejamento Estratégico, ou Plano Diretor, de Tecnologia da Informação e um Planejamento Estratégico, ou Plano Diretor, de Segurança da Informação foi discutido abertamente para que as ações, projetos e processos de tecnologia e segurança da informação não perdessem o foco do negócio. 

Assim, seu CCDGSIAE garantiu que nem os projetos da empresa causassem riscos de segurança, nem os projetos previstos para aumentar segurança, engessassem o negócio.

Tudo muito bom!

Os 10 projetos estruturantes de Segurança da Informação e 7 projetos estratégicos do negócio começaram. Cada um no seu tempo.

• De janeiro até fevereiro a central de serviços foi aprimorada, controle de mudança aprimorado. 
• De Março até abril, catálogo e acordos de nível de serviço de tecnologia da informação foram revisados, inclusive com os fornecedores terceirizados que operavam parte do processo de gestão de incidentes. Como manda o figurino.
• De abril até junho, o datacenter foi reestruturado e todas as medidas de segurança e boas práticas recomendadas pela consultoria, implementadas.
• Na mesma época, processos de negócio foram remapeados e as funções vitais para o negócio, os serviços, os processos, atividades e informações críticas, todas elas foram mapeadas.

Como previsto, em Julho, todos os processos já estavam no ar! Tudo muito ótimo!!

Nos negócios, uma nova linha de montagem foi criada, uma equipe de fornecedores externos foi contratada para realizar o projeto de design e garantir que o produto promissor - o marketing chame de produto estrela, não sei porque - começasse a ser produzido no tempo certo de mercado. O marketing falava de um tal de "time to market"!

Outros 3 projetos de novos produtos e mais 2 de melhoria de produtividade nos processos internos foram colocados em prática.

Todos estes projetos incluíam uso de alta tecnologia e implantação de novos sistemas, todos eles cobertos pelos planos de tecnologia e pelos planos de negócio aprovados no início do ano.

Tudo excelente!!!

Agora estamos em setembro! Grande parte dos projetos, tanto do Plano Estratégico e Plano Diretor de Tecnologia da Informação, quanto dos Planos de Negócio já foram implantados! Faltam apenas 5 projetos! 

27 de Setembro e, deliberadamente, um dos funcionários demitidos no início do ano resolve cometer uma sabotagem na empresa. A sabotagem destrói boa parte das informações de negócio.

Felizmente, com o plano de desastre em dia e funcionando - afinal, havia sido testado no meio do ano, como previsto - a empresa retorna sua operação ao normal, sem grandes prejuízos.

"Backup e recovery" de dados funcionou perfeitamente! Ufa! Valeu a pena contratar os serviços da nova plataforma Azure da Microsoft. Ponto para o CCDGSIAE que insistiu tanto neste ponto, provou a oportunidade de redução de custos pelo uso dos serviços na nuvem e ultrapassou todas as resistências dos diretores e gestores da empresa, mais reticentes à colocar informações tão estratégicas do negócio na nuvem. 

Como resultado, o conselho de governança da empresa está até pensando em uma promoção, uma reestruturação! O CCDGSIAE merece uma área só dele, com orçamento, janela e vista para o mar! Tudo maravilhoso!!!

No meio da reunião de conselho a secretária do presidente bate na porta. O Gerente do fornecedor que entregava um dos projetos precisa falar com ele urgente!

Será que os seus projetos estavam tão seguros quanto os seus negócios?

Aguarde o próximo artigo para saber…

ou  então, se convide para um café! Terei o prazer de trocar experiências com você e adiantar o assunto do próximo artigo do blog!

Um grande abraço! 

https://twitter.com/comoumservico

consultoria@gustavominarelli.com.br

Os cachecóis de minha avó e a produtividade nos serviços de TI

Minha avó gostava muito de costurar longos cachecóis de tricô para presentear à mim e meus irmãos. Andava, sempre, com uma caixa de sapato no colo. Dela, saiam, pelos buracos, várias pontas de fios de lã, cada uma de uma cor diferente. Certa vez, eu tive a idéia de pegar um metro de fio preto para amarrar meus sapatos na canela, imitando os jogadores de futebol. Juntando a pouca prática e desconhecimento de como aquela caixa e seu emaranhado de fios funcionavam, minha curiosidade de ver o que estava lá dentro e um pequeno TOC pela organização, abri a caixa e comecei a tentar separar, sem sucesso, um novelo do outro.

Quando vi aquela caixa toda bagunçada desviei meus esforços para tentar organizar a bagunça que eu imaginava existir e me esqueci de meu objetivo inicial – pegar um metro de fio preto. Eu não sabia, mas eu estava recebendo a minha primeira lição (e esporro) de negócios: Não importa o que está dentro da caixa ou como está a sua organização, o que importa é que você tenha meios para obter algum resultado do que está lá.

Inteligente, minha avó sabia que era impossível e desnecessário deixar os fios organizados dentro da caixa (conforme nos avisa a lei de Murphy) e desenvolveu uma técnica para que pudesse pegar rapidamente a cor que precisava, sem perder tempo em tentar organizar toda a bagunça de fio que se formava dentro da caixa.

Alguém mais estudado na teoria de gerenciamento de serviços de TI irá me perguntar: 

"Como descobrir a capacidade de produção da caixa, sem ter visão clara do tamanho do novelo que continua lá dentro?"

A minha avó tinha uma resposta fácil. Outro dia, com acesso a sua agenda de anotações, notei que a cada semana ela anotava a quantidade de alguma coisa que ela tinha produzido com uma determinada cor. Não sei se eram pontos de tricô, centímetros, metros, etc… mas o que ela fazia neste caderno era controlar a produtividade daquela caixa cheia de novelos de lã. Ela sabia que o novelo mais utilizado precisaria ser reposto depois da métrica dela atingir um determinado número (ainda estou tentando descobrir que métrica é essa).

A sabedoria de minha avó pode ser utilizada pelos Gestores de TI para projetar a racionalização de seus datacenters. Enxergando o Datacenter como uma caixa fechada, o Gestor de TI pode começar identificando, para os negócios, (tenho certeza que para si e sua equipe ele já possui estas informações) quais os recursos tecnológicos existem lá dentro, que serviços e que resultado de negócio, eles são capazes de entregar com a estrutura que esta sendo utilizada. Se estiver fazendo mais cachecóis pretos e menos cachecóis vermelhos, será fácil perceber que a compra de fios vermelhos pode ser feita em menor quantidade e a reposição do seu estoque poderá ser feita em menor periodicidade.

Sendo mais claro: Em uma análise rápida no seu catálogo de serviços e em um CMDB (Banco de Dados de Configurações) desenvolvido sem a necessidade de informações muito detalhadas sobre os ativos de TI, o Gestor de Infraestrutura e Operações (ou similares) perceberá, com facilidade, que existem algumas máquinas com mais ociosidade de uso do que outras, outras que auxiliam mais na produtividade dos negócios do que umas, outras tantas que são verdadeiros gargalos e são oportunidades de redução de custos no próprio processo de negócio, etc… Assim, ele irá aproveitar melhor as oportunidades de racionalização de sua infraestrutura. O simples ato de desligar máquinas que não estão sendo utilizadas, abandonar determinados serviços, realocar recursos para serviços mais produtivos ou aproveitar recursos de outras máquinas que estejam sendo utilizadas pela metade, já reduz significativamente os custos de manutenção e suporte, de quebra, reduzindo custos com o consumo de energia elétrica.

Me chame para um café! Vamos conversar mais!
https://twitter.com/comoumservico
consultoria@gustavominarelli.com.br

Você está preparado para a chuva?

Aviso: este artigo não é descritivo, nem é teórico. Este artigo é prático e tem, também, o objetivo de despertar sua reflexão.

Você já deve ter lido, ouvido ou até mesmo escrito:

- “TI é Commodity.”
- “Não se alinha TI aos negócios.”
- “Basta TI manter a roda girando que ficam todos felizes.”
- “TI bom é TI que não é lembrado.”

Estes pensamentos não são novos, assim como as tendências de outsourcing, terceirização, consumerização, computação nas nuvens, industrialização dos serviços, comoditização, e muitas outras que embarcam na premissa de que tecnologia é meio para entregar metas de negócio e não a missão ou objetivo do negócio, em si mesma. Mesmo antiga, esta discussão continua sendo controversa e atual.

Artigos famosos já falaram sobre o tema. O velho e sempre lembrado “IT doesn´t matter“, de Nicholas Carr, por exemplo.

A inflamação toda em torno deste tema, é, em minha opinião, semântica irrelevante. Desvia do objetivo dos autores dos artigos do gênero, que na verdade, alertam para uma necessidade de mudança cultural na forma com que tratamos tecnologia e não objetivam contestar o valor da tecnologia ou dos seus profissionais, dentro do negócio. Ao analisar TI como equipamentos utilizados pela empresa para entregar os seus produtos e serviços, convenhamos, não faz mesmo sentido alinhar, integrar, atrelar, relacionar, o valor da máquina ao valor dos negócios, pois, realmente, não se alinha infraestrutura de TI aos negócios, se consome. E neste enfoque, TI é um centro de custos. Um centro muito mal utilizado.

- Mande a nossa roupa suja para ser lavada nas nuvens, a chuva lava melhor que a TI, diria um executivo descontente com o cheiro de sua roupa.

Quando TI se comporta como uma lavanderia, lavando e sujando a própria roupa, TI não está levando valor para a organização e a organização não está sabendo obter o valor que poderia, da tecnologia. Desta forma, assim como terceirização da equipe e processos de suporte/entrega de tecnologia, contratar computação nas nuvens é a primeira e única escolha mais sensata para atingir os objetivos do negócio com segurança e produtividade.

A reflexão é antiga, e nestas condições, certamente os DEPARTAMENTOS DE TI saem perdendo. Mas… existem aqueles departamentos de TI que não lavam mais a própria roupa suja, passaram a lavar roupa dos outros, a roupa dos executivos. Há, ainda, aqueles departamentos de TI que inventaram novas formas de lavar a roupa… estes, não são meras comodidades.

Alinhar o Gerenciamento de Tecnologia da Informação, considerando mais do que máquinas ou datacenters, aos negócios, dá então passagem para o novo termo: integração com os negócios…

Certamente, as nuvens não agem de maneira integrada aos negócios das empresas…

Claro, o que puder ser lavado nas nuvens e na chuva (normalmente pano de chão) pode ser levado para as nuvens e para as chuvas… Mas… Dúvido que minha mãe se contente em lavar o cachecol que minha avó fez para ela, na chuva…

Na comparação, o cachecol que minha vó fez para minha mãe é a informação… A chuva, é a computação nas nuvens, substituindo a lavanderia.

Bom, quem está na chuva, é para se molhar… então tragam o caminhão pipa, pois quando as chuvas pararem, precisaremos de mais água… Mas esperem as chuvas pararem, pois neste verão, já choveu muito.

E por falar em chuva, você saberia me dizer se as últimas tempestades afetaram a produtividade ou trouxeram perdas para sua empresa?

Enquanto ficamos na discussão semântica, não encontramos boas soluções…

…bom, deixa eu ir que esqueci o meu guarda-chuva.

Um grande abraço de reflexão