Rhand Leal Pense sobre um exame médico. Nosso objetivo é que o médico nos informe que nossa saúde está ok e que viveremos um vida longa, certo? E como o médico avalia nossa saúde para determinar se estamos no caminho certo ou não? Pelo uso de vários indicadores biológicos, tais como pressão sanguínea, níveis de colesterol, frequência cardíaca, etc.
Pense agora sobre sua organização. Como você pode dizer se ela está no caminho certo para atingir seus objetivos, especificamente objetivos de segurança da informação? Este artigo mostrará alguns indicadores de desempenho chave (key performance indicators – KPIs) que você pode considerar para avaliar o desempenho de um SGSI.
Por que eu preciso de indicadores de desempenho para a segurança da informação?
Um indicador de desempenho chave (key performance indicator- KPI) é uma métrica usada para se avaliar fatores que são cruciais para o sucesso de uma organização. Ele se difere de um objetivo no fato de que um objetivo é algo que você quer atingir, enquanto que um KPI é algo usado para verificar se seus esforços estão levando você em direção do objetivo definido. Por exemplo, se 60 km/h é a meta de velocidade, o velocímetro ajuda você a atingir e manter esta velocidade. Para mais informações sobre objetivos de controle, por favor leia ISO 27001 control objectives – Why are they important?.
Em um cenário onde tomadores de decisão estão cercados por informações, e têm recursos limitados para trabalhar os objetivos, definir as mais relevantes (os KPIs) e como e quando elas deveriam ser apresentadas é uma boa forma de se ajudar a monitorar resultados e tomar decisões apropriadas.
Além da verificação se alguém está no caminho para atingir os objetivos propostos, os KPIs podem ser usados para apoiar a ISO 27001 ajudando a comunicar a importância da gestão da segurança da informação e objetivos (cláusulas 5.1.a e 6.2 da ISO 27001).
Critérios para a seleção de indicadores
Embora existam muitos critérios que você pode usar para a seleção de um KPI (uma busca na Internet pode mostrar dúzias de opções), alguns aspectos são comuns a eles e podem tornar sua tarefa mais fácil:
Relevante ao negócio: o indicador deveria estar alinhado a objetivos claros do negócio ou requisitos legais, que torna mais fácil para as pessoas entender porque ele deveria ser medido e avaliado. A ISO 27001 tem alguns requisitos que podem ser atendidos pelo uso de indicadores relacionadosa eficácia (veja cláusulas 9.1 e 9.3) e conformidade (Anexo A.18), mas uma organização também deveria considerar indicadores de eficiência também; por exemplo, o Retorno Sobre Investimento em Segurança (ReturnOn Security Investment – ROSI) pode mostrar quão bem usados são os recursos para apoiar a cláusula 7.1.
Integrado ao processo: atividades para coletar os dados necessários para um KPI deveriam adicionar o mínimo de trabalho possível, em comparação às atividades usuais para a entrega do produto/serviço, e a informaçãonecessária (ex.: marcar uma etapa como concluída ou registrar o tempo para se realizar uma atividade) deveria estar nos mesmo formulários já usados pelo processo.
Assertivo: o indicador deveria ser capaz de localizar assuntos relevantes (ex.: etapas de processos, áreas organizacionais, recursos, etc.) que precisam de atenção. Por exemplo, um KPI relacionado ao número de falhas em tentativas de login explicitamente limitao escopo ao processo de login.
Exemplos de indicadores de desempenho
Os seguintes exemplos cobrem uma sequência completa do PDCA (Plan-Do-Check-Act / Planejar-Executar-Verificar-Atuar), mostrando como indicadores diferentes podem ser usados para se ter uma visão completa do desempenho dos processos relacionados a gestão da segurança da informação.
Plan
Percentagemde iniciativas de negócio apoia das pelo SGSI: indicador que mostra o nível de alinhamento e integração do SGSI com o negócio. Quanto mais alto o valor, mais otimizados os recursos do SGSI, uma vez que os recursos de gestão estão sendo usados sobre mais aspectos da organização. Você pode usar o Documento sobre o escopo do SGSI, comparado a todos os serviços/processos da organização, para obter esta informação.
Percentagemde iniciativas de segurança da informação contendo estimativas de custo/benefício: indicador que mostra a maturidade da organizaçãono tratamento de riscos. Quanto maior o valor, mais decisões de tratamento de riscossão baseadas em fatos. Você pode usar o Relatório de avaliação de riscos e o Plano de tratamento de riscos, comparados a todas as iniciativas de segurança implementadas, para obter esta informação.
Percentagem de acordos com cláusulas de segurança da informação: indicador que mostra como serviços e produtos, providos por você ou fornecidos a você, estão legalmente apoiados considerando aspectos de segurança da informação (ex.:disponibilidade, confidencialidade, integridade e continuidade). Quanto maior o valor, melhor suportadas estão suas relações com clientes e fornecedores. Você pode usar Acordos de Não Divulgação e SLAs com cláusulas de segurança da informação, comparados com todos os acordos relacionados a serviços e produtos, para obter esta informação.
Do
Número de quedas de serviço relacionadas à segurança da informação: quedas relacionadas a assuntos de segurança da informação refletem diretamente a eficácia do SGSI. Esta informação pode ser obtida de relatórios operacionais.
Duração de interrupções de serviço: tão importante quando o número de quedas, a duração média das interrupções é uma medida importante da eficácia do SGSI. Esta informação pode ser obtida de relatórios operacionais.
Tempo de resolução de incidente: outra medida importante da eficácia do SGSI, esta informação pode ser obtida de relatórios operacionais.
Check
Percentagem de avaliações de controles realizadas: indicador que dá a você uma visão de quantas medidas de segurança estão sendo revisadas. Quanto maior o valor, mais controles estão sendo analisados em termos de eficácia, eficiência e oportunidades de melhoria (assumindo que as avaliações são realizadas de acordo com a ISO 27001). Você pode usar o Plano de tratamento de riscos, comparadoao Planos de Treinamento, Registro de incidentes, Relatório de Auditoria e Minutas de Revisão da Gestão, para obter esta informação.
Act
Númerode iniciativas de melhoria: indicador que mostra a proatividade do SGSI de uma organização com relação a mudanças no ambiente e oportunidades identificadas. Mudanças com o objetivo de melhorar resultados ou prevenir perdas, ao invés de corrigir erros ou problemas, são bons exemplos que refletem um alto valor neste KPI. Você pode usar os Relatório de Auditoria e Minutas de Revisão da Gestão para obter esta informação.
Monitoramento apropriado para melhorar resultados e evitar problemas
Organizações estão sob constante pressão para atingir resultados, e para fazer isso, é essencial contar com instrumentos de navegação apropriados que possam mostrar a elas se estão ou não no curso certo e permitir ajustes em tempo hábil. Mas também é essencial que estes instrumentos sejam bem escolhidos e calibrados, caso contrário você pode se encontrar atacando os problemas errados e transformando uma situação ruim em algo pior.
Para aprender mais sobre a avaliação de desempenho na ISO 27001, por favor veja nosso ISO 27001:2013 Foundations Course gratuitamente.
Nós agradecemos a Rhand Leal pela tradução para o português.
