Sete erros comuns em gerenciamento de riscos – Auditoria Operacional
14 de setembro de 2016 admin Post in Auditoria Gerencial,Gestão de Riscos
O objetivo do gerenciamento de risco de segurança é remover as conjecturas e ajudar a empresa a tomar decisões mais inteligentes. De acordo com Jay Jacobs, vice-presidente da Sociedade de Analistas de Risco da Informação (SIRA), a segurança é simplesmente um sistema de gestão de risco de apoio à decisão para o negócio. "Deve existir para informar as decisões da empresa."
"Há uma percepção equivocada de que a experiência em segurança da informação equivale a da de gestão de risco. Na verdade, observamos muitos especialistas em segurança que se dizem especialistas também em gestão de risco. Muitas vezes, eles não são. Essas são duas disciplinas distintas", diz Jeff Lowder, presidente da SIRA.
Para obter uma melhor compreensão de onde muitas empresas vão mal, o CSO pediu a especialistas para observarem o que as empresas fazem de errado em Gestão de Riscos de Segurança. "Em muitas organizações, com base no que vimos, realmente poderia ser melhor", diz Jacobs.
1 – Partindo do zero
"O modelo mais acertado é escolher alguns" fatores de risco " importantes, atribuir alguma pontuação ordinal, e, em seguida, executar a aritmética básica ou colocá-los em uma matriz", orienta Jacobs, acrescentando que muitos decisores experientes utilizam-se de métodos caseiros, gerando resultados questionáveis. veja o artigo Matriz de Riscos – Uma Ferramenta para Avaliação de Riscos
2 – Replicando o departamento de auditoria
"Embora haja semelhanças entre os dois, os papéis são muito diferentes", diz Hutton. A equipe de auditoria deve se preocupar com os erros que podem ocorrer por meio de falhas nos controles de segurança. É importante a preocupação com a frequência e o impacto potencial de riscos de TI, prossegue o executivo. "O papel da auditoria é ajudar a empresa a entender como implementar controles, e o papel de gestão de risco é determinar como obter o máximo de investimentos em controles de segurança e processos relacionados."
"Na maioria das organizações cujos programas de gestão de risco falham, é porque eles não fazem cumprir a política de consultoria para a organização sobre o que controla", diz Hutton.
3 – Confundindo precisão com acuracidade
Muitos profissionais de segurança não se sentem confortáveis ​​em reduzir os riscos de segurança e vulnerabilidades para números simples. "Você vai ouvir as pessoas dizerem que não há tabelas atuariais relevantes, ou que não há dados suficientes para criar eventos relacionados que forneçam um valor", diz Lowder. "Eles podem gerar uma estimativa numérica versus uma estimativa capaz de dar uma alta precisão numérica."
4 – Registro de riscos
"O problema com a criação de um registro de riscos é que as pessoas nunca sabem quando parar. Quantos riscos vou continuar acumulando? Até mesmo o mais obscuro, de ataques cibernéticos com cada motivação concebível para, por exemplo, a possibilidade de um motor a jato cair pelo telhado do centro de dados? ", questiona e acrescenta que muitos dos riscos inusitados, de probabilidade baixa, podem demandar altos custos para mitigá-los.
5 – Usando conceitos de risco indefinidos
As formas mais comuns de ameaças e vulnerabilidades estão classificadas em uma escala simples: baixa, média ou alta. Afinal, o que significam cada um desses níveis? "Eles realmente são quantitativos", afirma Lowder.
"Quando você pede para defini-los, em relação à probabilidade ou frequência de eventos, ninguém parece ser capaz de concordar com o que os termos realmente significam. O resultado é que você tem essa ilusão de comunicação. Isso é mais perigoso do que tentar adicionar um pouco de precisão a um argumento", diz Lowder.
Por exemplo, quando a probabilidade de um evento é baixa, alguns executivos vão estimar que há uma chance de 10% de isso acontecer, enquanto outros vão pensar que é 33 %. "Você quer usar os números, sempre que possível, para definir as coisas numericamente, com o objetivo de torná-las mais claras", explica Lowder.
6 – Não ter um programa de Inteligência de Risco
"Este é um grande erro", diz Hutton. "Se o risco de segurança de TI pode ser dividido em quatro conjuntos de informações [ameaças, controles, ativos e impacto], então qualquer mudança a qualquer uma dessas condições, teria um impacto sobre a postura de risco de uma organização", aponta. Infelizmente, as normas padrão de gestão de risco atuais demandam pouco tempo para colocar em prática um programa de inteligência de risco ou a importância dessa função. Nem explicam o que torna uma fonte válida de inteligência ou como lidar com as mudanças de novas informações e a postura da organização.
A implementação de uma função de inteligência é mais simples do que as empresas possam pensar, diz Hutton. "Elas só precisam monitorar mudanças que possam afetar o seu risco."
7 – Multiplicando os ordinais
"Este é um erro-chave a ser evitado", sentencia Lowder. Por exemplo, imagine uma regata em que em primeiro vem o barco A, o B em segundo e em terceiro o barco C. Utilizando apenas essas informações, é impossível calcular o tempo médio para os três barcos para terminar a corrida. "Você pode ver agora a falha fatal em multiplicar valores ordinais ou tentando calcular a média de um conjunto de valores ordinais em uma escala ordinal, como primeiro, segundo, terceiro, ou de alta, média e baixa", ressalta Lowder.
Escalas ordinais definem a ordem de classificação dos valores, eles não dizem nada sobre as quantidades representadas por esses valores. "É por isso que a média de um conjunto de valores ordinais é indefinida. Pela mesma razão, não faz sentido calcular a média de fatores de risco de gestão definidos como de alto, médio, baixo", diz Lowder.
A gestão de risco é difícil, mas fazê-lo errado pode ser pior do que não fazer nada. "Você vai tomar decisões ruins e realizar maus cálculos e processos. Isso é um passo para uma situação ainda pior", alerta Jacobs.