Rhand Leal A gestão de incidente é um dos processos chave para assegurar a eficácia de qualquer operação de negócio. Com maior ou menor sofisticação e maturidade, praticamente qualquer organização possui práticas implementadas para lidar com eventos indesejados, e algumas destas práticas são tão lugar comum que se tornaram boas práticas de mercado e base para normas mundiais.
Sendo uma prática mais antiga, a gestão de incidentes do ITIL tem ajudado muitas organizações a bastante tempo a lidar com incidentes de Tide modo a rapidamente restaurar as operações do negócio. Contudo, com a crescente preocupação com a segurança da informação, e a adoção de SGSI certificados pela ISO 27001, profissionais estão enfrentando um novo desafio: preservar a eficácia do processo de gestão de incidentes do ITIL e ao mesmo tempo obter conformidade com os requisitos da ISO 27001.
Neste artigo, apresentarei o que uma organização deveria considerar para assegurar que o processo de gestão de incidentes do ITIL esteja em conformidade com os requisitos da ISO 27001 para a certificação de um SGSI, considerando similaridades, lacunas e orientações para atingir o alinhamento.
Gestão de incidente do ITIL
Como parte da operação de serviços, a gestão de incidente visa gerenciar o ciclo de vida de todos os incidentes. Seu objetivo primário é o retorno do serviço de TI para os usuários tão rapidamente quanto possível. Os sub-processos da gestão de incidente e seus objetivos são:
Suporte a Gestão de Incidente: visa prover e manter os recursos (ex.: ferramentas, processos, habilidades e regras) para uma tratativa eficaz e eficiente de incidentes.
Categorização e Registro de Incidente: visa registrar e priorizar incidentes com a diligência apropriada, facilitando a resolução rápida e eficaz.
Resolução de Incidente: visa resolver incidentes dentro de prazos definidos acordados, considerando soluções de contorno, níveis de suporte e incidentes maiores. Ele pode iniciar o processo de gestão de problemas.
Monitoramento e Escalada de Incidente: visa continuamente monitorar a situação do processamento de incidentes, assegurando a implementação de contramedidas apropriadas em tempo hábil se os níveis de serviço têm a possibilidade de serem afetados.
Fechamento e Avaliação de Incidente: visa assegurar que o incidente está realmente resolvido e que todas as informações relevantes foram fornecidas para uso futuro (ex.: melhoria do processo, ação legal, etc.).
Informação Proativa do Usuário: visa informar aos usuários de falhas e alertas de serviço, de forma que eles estejam em posição de se ajustar a interrupções e eventos, reduzindo o número de chamadas feitas por usuários.
Reporte da Gestão de Incidente: visa fornecer informação relacionada a incidente para outros processos de gestão de serviço, e para assegurar que melhorias potenciais são desenvolvidas a partir de incidentes.
Conformidade com a ISO 27001
Para lidar com a gestão de incidentes, a ISO 27001 possui cláusulas e toda uma categoria no anexo (A.16 – Gestão de incidentes de segurança da informação).
Estas cláusulas cobrem os sete sub-processos do ITIL mencionados na seção anterior, e precisam de pouco a nenhum ajuste para assegurar conformidade:
| Cláusulas da ISO 27001 | Sub-processos da Gestão de Incidente do ITIL |
| 5.1 — Liderança e comprometimento | O Suporte a Gestão de Incidente claramente declara a necessidade por recursos, habilidade e conhecimento. |
| 7.2 — Competência | |
| 5.3 — Autoridades, responsabilidades e papéis organizacionais | Para todos os sub-processos, responsabilidades são definidas apenas com relação ao processo de gestão de incidente (ex.: gerente de incidente, equipe de suporte à incidente, etc.). Uma organização deveria definir quais papéis de negócio específicos (ex.: gerente de produção, gerente de relacionamento com o cliente, etc.) estão incluídos no processo de gestão de incidente. Para procedimentos, a necessidade está clara (por meio de soluções de contorno e critérios de escalada). |
| A.16.1.1 — Responsabilidades e procedimentos | |
| A.16.1.4 — Avaliação e decisão dos eventos de segurança da informação | O Registro de Incidente e como lidar com o incidente devem ser definidos. |
| A.16.1.5 — Resposta aos incidentes de segurança da informação | A Resolução de Incidente claramente cobre o objetivo deste controle. |
| A.16.1.6 — Aprendendo com os incidentes de segurança da informação | O Reporte da Gestão de Incidente é uma fonte clara para prover melhoria contínua para o SGSI. |
Existem algumas lacunas no processo de Gestão de Incidente do ITIL que podem ser resolvidos pela aplicação de controles da ISO 27001:
| Sub-processo da Gestão de Incidente do ITIL | Lacuna | Controle do Anexo A da ISO 27001 |
| Informação Proativa do Usuário | O fluxo de comunicação é claro apenas do processo para os usuários. O processo deveria prover formas claras para os usuários comunicarem evento e fragilidades de segurança (ex.: em formulários na Intranet da organização, uma linha telefônica, etc.). | A.16.1.2 – Notificação de eventos de segurança da informação |
| A.16.1.3 – Notificando fragilidades de segurança da informação | ||
| Resolução de Incidente | Não é claro como informação e evidência material deveriam ser tratadas, para assegurar sua aceitação legal. Um procedimento forense deveria ser considerado. | A.16.1.7 – Coleta de evidências |
Embora não sejam críticos para os processos, os seguintes controles do Anexo A da ISO 27001 podem melhorar a gestão de Incidente do ITIL, e ao mesmo tempo assegurar a conformidade de outros processos do ITIL com os requisitos da ISO 27001:
| Sub-processo da Gestão de Incidente do ITIL | Controle do Anexo A da ISO 27001 | Melhoria potencial |
| Nenhum processo específico da gestão de incidente | A.11.2.4 – Manutenção dos equipamentos | Manutenção adequada assegura a disponibilidade e integridade continua dos ativos, reduzindo a probabilidade de ocorrência de incidentes. |
| Suporte a Gestão de Incidente | A.12.1.3 – Gestão de capacidade | Assegura a conformidade do processo de gestão de capacidade do ITIL com a ISO 27001.
Um melhor entendimento da capacidade atual e demandas futuras pode melhorar a alocação de recursos para lidar melhor lidar com incidente com redução de custos. |
| Monitoramento e Escalada de Incidente | A.12.4.1 – Registros de eventos | Pode ajudar a aumentar / organizar informação disponível, reduzindo a probabilidade de ocorrência de incidentes e o tempo de resposta. |
Não reinvente a roda. Melhore-a!
Como dito anteriormente, a gestão de incidente do ITIL há muito tempo vem ajudando organizações ao redor do mundo a tratar de forma eficaz eventos de TI não desejados, mas como a gestão da segurança da informação está se tornando uma preocupação da alta direção, gestores de TI deveriam estar preparados para incluir novas fontes de requisitos sem perda de desempenho.
Meu conselho nesta situação é: conheça bem estes novos requisitos, e melhor ainda, seus processos. Uma vez que o ITIL e a ISO 27001 são baseadas em melhores práticas mundiais, elas terão muito em comum, e sabendo disso, e tirando vantagem do que já existe e pode ser integrado, isso se provará muito útil para sua equipe e os recursos da organização.
Este ITSM Incident Management Toolkit lhe dá muita ajuda para cumprir os requisitos de gerenciamento de incidentes da ISO 27001.
