RISCO OPERACIONAL ASSOCIADO A BANCOS DE DADOS

Índice
Abordagem Integrada do Risco Operacional
Dimensões do Risco Operacional
Conclusão

# IMPORTANCIAIMPORTÂNCIA DOS DADOS CORPORATIVOS
Assistimos hoje a uma rápida popularização da Internet em toda a sociedade, impulsionada pela facilidade com que podemos obter os mais variados tipos de serviços, desde a busca de páginas na Web até envio de mensagens, passando pelo bate-papo on-line. O importante aqui é observarmos que todos esses serviços disponibilizados dependem de algum tipo de armazenamento de dados, no formato digital, para sua implementação. As páginas Web consultadas são dados armazenados nos servidores; os serviços de busca utilizam índices, que também são dados estruturados; os serviços de pagamento de contas pela Internet utilizam sistemas de atualização das bases de dados dos correntistas. Assim, na medida que nos consolidamos como uma sociedade da informação, maior a importância que damos à sua representação no ambiente digital e, conseqüentemente, maiores são os cuidados para a garantia da integridade, confiabilidade e disponibilidade dos dados.



ABORDAGEM INTEGRADA DO RISCO OPERACIONAL
A proliferação de leis e regulamentos por parte dos governos de diversos países para controle das organizações e o aumento da dependência tecnológica dos negócios, estão transformando a maneira como as questões relativas ao risco operacional são tratadas no meio empresarial. No contexto desse artigo, entende-se risco operacional como sendo o risco de perdas financeiras resultantes de falhas ou inadequações de processos, pessoas ou sistemas, decorrentes tanto de eventos internos quanto externos.
Até então, o risco operacional era analisado e tratado através de dois enfoques distintos. O primeiro, relativo ao risco intrínseco associado aos negócios de cada empresa, como o risco de inadimplência de uma operação de crédito em uma instituição financeira, ou o risco de uma empresa concorrente implementar estratégias agressivas na competição por determinada fatia de mercado. O segundo enfoque estava voltado para a infra-estrutura tecnológica da qual a empresa era dependente para implementar a sua estratégia de negócios, envolvendo análise de impactos causado por falhas tecnológicas, definição de medidas preventivas e de continuidade para redução dos riscos, além de elaboração e implementação de Planos de Continuidade de Negócios.



Atualmente, essa abordagem isolada entre riscos de negócios e tecnológicos vem se mostrado cada vez mais ineficiente, por diversos motivos. Em primeiro lugar, porque para muitos setores o negócio só pode existir graças aos recursos tecnológicos por ele utilizados. Como no caso do home banking em relação à Internet, ou dos celulares em relação às redes de comunicação digital sem fio, a tecnologia viabiliza o negócio e, ao mesmo tempo, o negócio impulsiona a evolução e o desenvolvimento de novas tecnologias. Assim, um problema tecnológico pode não só atrapalhar, mas pode também inviabilizar o próprio negócio. Um bom exemplo, ocorrido recentemente, foi o atraso da difusão comercial das redes Wi-Fi devido a problemas na garantia da comunicação segura entre os equipamentos.
Outra questão problemática consiste na análise parcial e limitada do impacto direto de um problema na infra-estrutura de TI, considerando abordagens distintas entre negócio e tecnologia. Por exemplo, a perda de dados devido a uma falha no servidor de aplicações pode ser considerada de baixo impacto do ponto de vista tecnológico, envolvendo apenas recuperação do backup anterior e complementação das últimas informações atualizadas no banco de dados. Mas, se considerarmos que os dados perdidos podem levar uma empresa sob auditoria a sofrer sanções governamentais, com enquadramento dos diretores nas leis de combate à lavagem de dinheiro e às fraudes, além da divulgação de uma imagem negativa nos meios de comunicação e queda significativa do valor das ações comercializadas na bolsa, consideraremos o evento como de alto impacto.
Além do que, há situações onde o impacto de problemas tecnológicos não é direto, mas se faz sentir ao longo de um grande período, o que dificulta a sua análise. É o caso de empresas do setor bancário, por exemplo, que tenham interesse na conformação com o Acordo da Basiléia II, proposto pelo Bank for International Settlement (BIS), o banco central dos bancos centrais, para redução do capital exigido como lastro nas operações financeiras das organizações que comprovarem a implantação de um modelo efetivo de gestão de riscos operacionais. Questões tecnológicas que não forem incorporadas ao modelo de riscos do banco podem interferir negativamente e de maneira difusa na qualidade dos resultados das análises realizadas, comprometendo a longo prazo o esforço de redução do risco operacional, o que levaria à manutenção de níveis elevados de recursos financeiros para garantia da segurança do sistema bancário. O prejuízo poderia ser sentido, então, por anos.
Assim, é imprescindível o desenvolvimento de uma abordagem integrada dos riscos operacionais, considerando a infra-estrutura de TI como parte integrante do negócio, analisando os impactos negativos que problemas tecnológicos podem trazer para a empresa e tomando decisões coordenadas para redução dos riscos e das perdas direta ou indiretamente associadas.

RISCO OPERACIONAL ASSOCIADO A BANCO DE DADOS

Considerando os dados como ativos intangíveis de alto valor para empresas, podemos entender porque uma falha em um banco de dados pode causar desde pequenos transtornos, como atraso na liberação de materiais no estoque, até problemas operacionais graves, como suspensão por semanas da emissão de bloquetos de cobrança devido à perda de cadastro dos clientes. Observe que depois do conhecimento e da experiência dos profissionais, são os dados corporativos que melhor definem a essência de um negócio. Podemos comprar no mercado outros equipamentos ou fabricar novas máquinas, mas não podemos comprar os dados de uma empresa, porque são únicos. Deles, podemos extrair as decisões tomadas no passado, os planos estratégicos elaborados, o histórico das ações empreendidas, os resultados obtidos, os processos atuais de gestão do negócio e muito mais.
O que fica difícil de entender é porque sendo tão importantes, os bancos de dados ainda recebem tão pouca atenção durante a definição dos orçamentos de TI nas empresas. Pela sua importância, muitos bancos de dados se assemelham a verdadeiros cofres para guarda de valores. Uma empresa de dependa de um cadastro de centenas de milhares de clientes para faturar US$500 milhões ao ano, por exemplo, deveria tomar o mesmo cuidado com seu banco de dados que tomaria caso possuísse um cofre guardando o mesmo valor em barras de ouro. Ou até mais cuidado, porque nenhuma falha humana consegue fazer desaparecer um volume tão grande de recursos em frações de segundos, como acontece de maneira perversa nos ambientes computacionais.
Assim, eu diria que o maior problema referente ao risco operacional associado a bancos de dados é o da falta de conhecimento sobre o valor que os dados têm para as empresas, a extensão dos impactos que podem advir de falhas humanas e tecnológicas, e a importância do planejamento estratégico na redução desses impactos. A perda de uma fita com o histórico financeiro de vários anos pode ser irrecuperável, tanto porque os profissionais talvez não estejam mais na empresa, quanto os registros materiais podem ter sido destruídos ou o tempo de recuperação seja tão grande que a ação se tornaria inútil. Um arquivo com o roteiro de calibração de uma caldeira, perdido em um incêndio no data center, por exemplo, pode ter sido gerado a partir da experiência de muitos profissionais, num processo de tentativa e erro que levou anos, a um custo inaceitável para ser repetido nos padrões atuais.

DIMENSÕES DO RISCO OPERACIONAL

Em termos práticos, podemos classificar o risco operacional em função da abrangência e gravidade do impacto resultante na operação da empresa caso a ameaça venha a se concretizar. A primeira categoria envolve os riscos de baixo impacto para os negócios, que podem ser rapidamente absorvidos pela infra-estrutura já existente. Por exemplo, a perda de integridade de uma planilha eletrônica pode ser reparada rapidamente, envolvendo apenas o custo do retrabalho. Mesmo considerando que muitas vezes esses custos somados possam atingir cifras surpreendentes, o fato é que a infra-estrutura de TI e os profissionais alocados já foram dimensionados levando em consideração esses problemas. Mesmo os requisitos definidos para o negócio levam em consideração, geralmente, os riscos de pequenos atrasos e custos adicionais que possam advir dessas situações.
A segunda categoria envolve os riscos operacionais graves, com impacto significativo nos negócios da empresa, ainda que medidas preventivas e de contingência tenham sido tomadas. As multas decorrentes de quebra das cláusulas contratuais de prestação de serviços devido à perda de consistência de um banco de dados, que levou horas para ser corrigida, ou os custos com processos na justiça movidos após a divulgação de informações confidenciais de clientes a partir de uma invasão pela Internet, são exemplos de situações que acarretam suspensão de atividades, gastos adicionais para reparação, perda de credibilidade e competitividade, estendendo-se por períodos de meses ou até anos, mas que não impedem que a empresa continue operando, ainda que não seja em sua capacidade plena.
Os riscos operacionais que impediriam uma empresa de continuar operando são agrupados na terceira categoria. Um exemplo trágico seria o das empresas que faliram depois do atentado de 11 de setembro às torres do World Trade Center, em Nova York, onde tanto os profissionais quanto os sistemas e dados foram perdidos. Mas os riscos de um incêndio ou desmoronamento de um edifício, desligamento de profissionais cuja experiência e conhecimento para administração dos sistemas e dos bancos de dados sejam insubstituíveis ou, ainda, perda de concessões devido à suspeita de fraudes computacionais executadas por meio de adulteração de registros eletrônicos, são todos exemplos mais corriqueiros de riscos analisados em Planos de Continuidade de Negócios, para os quais, muitas vezes, a transferência do ônus para terceiros possa ser a melhor saída.
Outra forma de avaliar o risco operacional leva em consideração a natureza da vulnerabilidade à qual o risco está associado. Por exemplo, os riscos associados às mídias eletrônicas, como CDs e fitas magnéticas, são os de perda da mídia, perda de integridade dos dados, acesso ilegal por pessoa não autorizada, adulteração e divulgação não autorizada dos dados.
Os riscos associados aos gerenciadores de bancos de dados são os de perda de consistência por falha de software, redução do desempenho de processamento dos dados, falha das unidades de gravação e leitura de mídias, falha na comunicação de rede, falha no controle de acesso de usuários e falha humana na administração do servidores.
Às redes de comunicação pelas quais os dados corporativos trafegam também estão associados riscos operacionais como de acesso indevido a partir de análise ilegal de pacotes, adulteração de informações, roubo de bases de dados e bloqueio de acesso de usuários legítimos, através de ataques de DoS e DDoS (Deny of Service, Dirtribuited Deny of Service, respectivamente)
Podemos, ainda, analisar o risco operacional tendo como base as características do próprio negócio. Assim, para uma empresa de projetos de engenharia, os riscos associados aos dados de projetos devem receber uma atenção especial em comparação aos demais. Da mesma forma, a base de dados de cadastro de usuários e de contas correntes têm uma importância vital para empresas do setor bancário, tanto quanto as informações atualizadas em tempo real sobre aeronaves são as mais importantes para os controladores de vôo em aeroportos.

GESTÂO DO RISCO OPERACIONAL
A gestão de risco operacional envolve um processo de tomada de decisão para cada ameaça identificada, de maneira a se definir por uma das seguintes opções:
a) O risco e o impacto são tão pequenos que nenhuma ação será tomada a priori (abordagem reativa).
b) O risco e o impacto são grandes e ações preventivas (visando minimizar o risco) e de contingência (visando minimizar o impacto) precisam ser tomadas (abordagem pró-ativa).
c) O impacto é tão grande, ainda que o risco seja pequeno, que a melhor opção é repassar o risco para terceiros (contratando, por exemplo, uma apólice de seguros), repartindo o prejuízo com outras empresas que estejam na mesma situação.
Nos casos em que se decida agir para reduzir o risco operacional, é importante saber o que é mais prioritário e qual a melhor ordenação das ações, uma vez que os recursos e os prazos nas organizações são sempre finitos e as ações são, em geral, interdependentes, além de necessariamente estarem condicionadas às características do próprio ambiente tecnológico e de negócios já existente.
A seguir, descrevemos sucintamente as 10 etapas principais do processo de gestão do risco operacional, incluindo alguns exemplos, entre parênteses, para situar melhor os pontos abordados.



Análise da Natureza do Risco: identificando características do negócio e da infra-estrutura associadas aos riscos, como características físicas (condições ambientais, recursos de proteção das mídias eletrônicas), lógicas (formato de gravação dos arquivos de dados), estruturais (arquitetura do banco de dados), funcionais (características das rotinas de controle de integridade), tecnológicas (versões disponíveis do software gerenciador do banco de dados), humanas (perfil de conhecimento e experiência dos profissionais), financeiras (recursos disponíveis para investimento e manutenção), comerciais (fornecedores de equipamentos e prestadores de serviços disponíveis) e empresariais (requisitos funcionais, empresas concorrentes, mercado consumidor).
Análise de Agentes de Risco: estudando as características dos agentes que podem transformar o risco em um problema real, como fenômenos atmosféricos (chuvas ocasionando a falta de energia elétrica), hardwares (falha na unidade de fita devido ao desalinhamento de cabeças de gravação), softwares (programas corrompendo dados de versões anteriores), operadores (perda de dados por negligência na administração de sistemas), invasores externos (concorrentes roubando dados cadastrais).
Análise de Ameaças aos Negócios: relacionando eventos (perda de registros, erro de consistência, falha no backup), possíveis alvos (trilha de auditoria financeira, arquivos de importação de dados, mídias de backup), impacto nos negócios (perda de mercado devido a uma investigação criminal, atraso no processamento de notas fiscais, custo de recuperação de mídias corrompidas) e probabilidade de ocorrência dos mesmos (3 ocorrências em 2 anos, pesquisa de mercado indica 10% de chance de ocorrer, nunca ocorreu até hoje).
Classificação de Riscos Operacionais: considerando a exposição ao risco (probabilidade de ocorrência multiplicada pelo custo de recuperação), o tempo de recuperação (segundos, horas, dias, semanas, meses), a importância das áreas afetadas (dados da contabilidade ou produção são mais importantes que os de marketing e recursos humanos) e a política de administração dos negócios na empresa (terceirização de serviços não críticos é melhor do que internalização de novos processos).
Definição de Políticas de Gestão: definindo quais riscos operacionais devem receber atenção imediata (todos associados à perda de dados contábeis), quais níveis máximos de exposição serão aceitos (limite máximo de exposição de US$ 20mil), quem serão os responsáveis pela identificação e redução dos riscos operacionais (todos os gerentes são responsáveis pela guarda dos dados em sua área de atuação).
Elaboração de Plano de Ação: elegendo os objetivos prioritários (redução do risco de perda do banco de dados de correntistas), definindo as macro-ações (atualização da infra-estrutura de TI, treinamento dos profissionais), a responsabilidade de desenvolvimento e implantação de cada ação (TI especifica e cada gerência controla o desenvolvimento) e os recursos alocados para a implantação do Plano (10% do orçamento de TI).
Refinamento das Ações Preventivas: definindo custos (contratação, desenvolvimento, implantação, locação, manutenção de sistemas de armazenamento), prazos (tempo de aquisição, implantação, testes, integração, validação, controle, auditoria), equipamentos (infra-estrutura de desenvolvimento, recursos de teste e manutenção), recursos humanos (perfil de conhecimento, competências, experiência profissional, perfil psicológico)
Refinamento das Ações de Contingência: especificando medidas de contingência (transferência do banco de dados para o escritório da filial), critérios para ativação (falta de energia elétrica por mais de 3 horas), recursos extras alocados (locação de servidor no mercado), responsabilidade e autoridade nas decisões (diretor de TI define quais serviços serão suportados durante o período emergencial) e critérios para retorno à situação normal (depois de 2 horas da recuperação do servidor de banco de dados).
Implantação e Testes Sistemáticos: envolvendo testes de equipamentos (unidades de backup, servidores sobressalentes), atualização de procedimentos (controle de registros de acesso, controle espaço em disco nos servidores), testes envolvendo deslocamento de profissionais (montagem da infra-estrutura de emergência em outro prédio)
Auditoria e Análise de Resultados: confrontando os resultados esperados e os obtidos com a implantação do Plano de Ação (redução de 30% no tempo máximo de parada do servidor de banco de dados, redução da exposição máxima para US$ 10mil) e identificando os pontos que precisam ser aprimorados (capacitação de pessoal, rodízio de profissionais em diferentes funções, refinamento nas trilhas de auditoria de sistemas).

CONCLUSÃO
Considerando a importância da garantia da segurança dos dados corporativos para viabilização de estratégias cada vez mais dependentes da infra-estrutura de TI, várias empresas já estão identificando a necessidade de uma abordagem integrada do risco operacional para mapeamento das ameaças associadas com bancos de dados e determinação de possíveis ameaças a seus negócios, permitindo a definição de Planos de Ação eficazes que viabilizem a Gestão de Risco.
Assim, a partir de um conjunto de ações preventivas, para redução do risco de que os negócios serem prejudicados por problemas tecnológicos, e ações de contingência, para diminuição da extensão e gravidade do impacto dos mesmos, é possível obter, direta ou indiretamente, uma redução de custos operacionais e aumento de competitividade generalizado nas empresas.


SOBRE O AUTOR
Edson Aguilera (edson.aguilera@lumine.com.br) é Engenheiro Eletrônico formado pela POLI-USP em 1985 e Mestre em Sistemas Digitais formado pela POLI-USP em 1992. É sócio-diretor da Lúmine Segurança Computacional (http://www.lumine.com.br), empresa prestadora de serviços na área de Segurança Computacional Corporativa, atuando desde 1996 como consultor de Segurança da Informação e de Redes de Comunicação de Dados, com experiência profissional em bancos de dados, desenvolvimento de softwares de comunicação seguros e capacitação de profissionais.

Posted by Felipe Machado em Quinta-feira, Agosto 05, 2004

Comentários:

Wi Fi: depois dela, postos não serão mais os mesmo

Bombas de combustíveis sem fios, carros do futuro e máquinas que se comunicam entre si são possibilidades bem mais reais do que se imagina. Com a chegada ainda nesta década da tecnologia wi-fi aos postos de combustíveis, a revenda deverá entrar definitivamente na era da modernidade.


by Márcia Alves

Imagine esta cena: Um automóvel pára no posto de combustíveis. Enquanto abastece em bombas automatizadas e sem fios, o motorista verifica no computador de bordo do veículo as condições climáticas; depois se inteira sobre a situação do tráfego nas estradas e solicita a visualização na tela de um mapa da região, traçando o melhor roteiro para a sua viagem. Em seguida, desce para tomar uma água no Cyber Gas Café, onde encontra outros clientes utilizando computadores sem fio para conexão com a Internet de banda larga.

Essa cena, que mais parece um trecho de filme de ficção científica, se tornará realidade em curto espaço de tempo graças à tecnologia de Wireless LAN (WLAN), conhecida como Wireless Fidelity (Wi-Fi), cujo sucesso está na vantagem de não precisar de fios para o acesso a Internet de banda larga. Tida como a coqueluche do momento, a tecnologia wi-fi já está presente em aeroportos, restaurantes, cafés, shopping centers, centros de convenções, estádios esportivos, praças públicas e, mais recentemente, em postos de combustíveis. Todos esses locais funcionam como hotspot, que são os pontos de acesso para a conexão a Internet, de onde se transmite sinal sem fio com alcance de cerca de 100 metros.

"O wi-fi será um grande negócio para os postos de gasolina do Brasil", preconiza o diretor de Desenvolvimento de Negócios da Brasilecia Soluções em Tecnologia, Eduardo Prado. Sua crença é tão grande que ousa afirmar que, no futuro - não muito distante - nenhum posto de combustíveis será construído sem que antes sejam previstos no projeto os princípios da conectividade, quais sejam: facilidade para estacionar e para acessar a Internet. "É a evolução do conceito de cyber café", diz. "Enquanto o veículo está sendo abastecido, o cliente tem conforto e comodidade para utilizar seu palm top, em sala climatizada dentro do posto", prevê.

VEÍCULOS HIGH TECH

Na visão de Prado, o grande impulso para tornar realidade os "postos do futuro" virá com a produção em larga escala dos veículos equipados com wi-fi e radar de bordo. Considerando que já estamos no limiar da "nova era automotiva", como gosta de chamar, ele aposta que em no máximo três anos os veículos high tech estarão circulando no mundo inteiro e também no Brasil. "Muita eletrônica substituirá a maioria dos sistemas mecânicos e até mesmo os modelos médios estarão turbinados com sensores, câmeras, telas de computador e, claro, conexão de banda larga sem fio, o wi-fi", afirma. Sustenta a tese de Prado a movimentação de montadoras de veículos e de fabricantes de autopeças, como a Bosch, que triplicou a contratação de engenheiros especializados em eletrônica avançada. No ano passado, um protótipo da Fiat dotado de wi-fi, o modelo Lancia Phedra, foi apresentado na Espanha, prometendo revolucionar comportamentos e costumes de motoristas ao oferecer facilidades de utilização do Wireless no mesmo nível das conexões domésticas e corporativas atuais.

Um passo à frente estaria a BMW alemã que já trabalha na produção de modelos machine-to-machine, mais conhecidos como M2M business, sistema que permite a comunicação de máquina para máquina. "Com essa tecnologia, será possível fazer download de uma música que esteja tocando no carro ao lado, enquanto se aguarda a abertura do farol", diz Prado. Mas, se isto parece inimaginável, então o que dizer dos automóveis que obedecem ao comando de voz? "Direi ao meu carro: abra, ligue e siga para a casa de minha sogra, e ele fará os cálculos e roteiro e me levará ao meu destino. Simples assim", garante.

VANTAGENS DO WI-FI

Especialista em Wireless, Prado já teve entre seus clientes uma grande distribuidora de combustíveis, para a qual traçou um planejamento prevendo a instalação de wi-fi em postos da rede. Apesar de o projeto ainda não ter saído do papel, por conta do "estilo conservador das companhias", ele opina que a revenda de combustíveis será um dos últimos elos dessa cadeia a ter acesso a essa tecnologia. "Por um problema cultural", justifica.

Dentre as inúmeras vantagens da conexão wi-fi em postos, Prado destacou as cinco mais importantes:

1) Os postos serão importantes "ilhas" de conectividade para automóveis equipados com WLAN.

2) Fornecedores de produtos e serviços para postos e lojas de conveniência poderão fazer uso dessa tecnologia, agilizando a oferta, reposição e entrega.

3) As distribuidoras poderão aumentar a produtividade de sua força de vendas, por meio do acesso a consulta de dados e envio de e-mails.

4) Os postos poderão agregar serviços e atrair mais consumidores, aumentando também suas receitas.

5) As operadoras de telefonia fixa poderiam firmar parceria com postos para a realização de promoções "cruzadas", oferecendo a seus clientes consumo gratuito de Internet.

Prado acredita que, muito mais do que melhorar a performance operacional e administrativa dos postos, a solução wi-fi será importante para agregar valor a esses estabelecimentos. A exemplo do que fez a distribuidora de combustíveis japonesa Sumishoi Oil, que criou em seus postos o serviço de avaliação de carros usados, no Brasil, o consultor avalia que as companhias de seguros poderiam ser potenciais parceiras dos postos nesse tipo de serviço. "Com o wi-fi, o posto pode se tornar um ponto de serviço da seguradora, no qual ela fará a vistoria do veículo on-line e em seguida a emissão da apólice" diz.

Conforme ele, o wi-fi custa menos que o sistema GPS (Global Positioning System), que utiliza sinais transmitidos por satélite, mas ainda é um investimento alto para o revendedor assumir sozinho. Porém, sonha grande e vislumbra o sistema funcionando em todos os postos do país, a exemplo do que já ocorre com parte dos postos da Texaco na Inglaterra e com os cerca de 300 estabelecimentos da Sumisho Oil no Japão. No Brasil, a operacionalização do sistema poderia ser viabilizada, acredita, com uma parceria entre distribuidoras de combustíveis e operadoras de telefonia fixa. "Quem dará o primeiro passo?", desafia.


Posted by Felipe Machado em Quarta-feira, Agosto 04, 2004

Comentários: