Abordando a avaliação de risco como um dos princípios básicos do “corporate governance”, o director do centro de excelência de segurança na Europa, da Unisys, Gerhard Knecht, salientou a importância deste aspecto no âmbito da segurança dos sistemas de informação.
A definição de avaliação de riscos apresentada considera-a como forma de a administração assegurar o controlo interno forte, com uma gestão robusta de risco e processos de cumprimento.
Metaforicamente “é a cabeça de um condutor”, se considerarmos a condução de um automóvel como a estrutura de segurança, na visão de Knecht. Seguindo uma pirâmide de corporate governance proposta pela Unisys, o responsável explica que a avaliação de riscos deve partir da comparação das medições dos Key Performance Indicators, ou indicadores de performance, com as ameaças que surgem.
Trata-se também de equilibrar custos e riscos aceitáveis. Mas, para isto é preciso recolher dados sobre os indicadores, relativos a todos os departamentos e comparar a maturidade das capacidades da companhia, com os seus objectivos.
É a componente de controlo e medição. Com a gestão de riscos constitui a ligação entre o nível da implementação das medidas de segurança e a auditoria.
Neste contexto, Knecht sugere o UniSIM, uma matriz de abordagem da segurança das empresas, e mais algumas ferramentas da Unisys.
Esta matriz contempla os principais indicadores de segurança para uma empresa, segundo o fabricante. O UniSim promete definir os principais indicadores qualitativos com o Capability Maturity Model.
A abordagem permite também uma análise e visualização hierarquizada dos indicadores, por vários níveis.
A Unisys propõe também a utilização da ferramenta BEATO (Benchmark Assessment Tool) com uma espécie de vista – Cockpit – para os indicadores as questões de negócio mais importantes.
Outra ferramenta importante na abordagem da Unisys é o PILOT, destinada a facilitar a gestão do risco. Basicamente, o PILOT “cruza” os processos numa matriz que acaba por revelar o nível de risco assumido pela empresa em cada processo, e o impacto das falhas.
Com esta ferramenta será possível criar e gerir mais facilmente uma lista dos maiores riscos (com prioridades).