Boas Práticas em Governança e Gestão de TI para o Sistema “S”

Apresentação em tema: "Boas Práticas em Governança e Gestão de TI para o Sistema “S”"— Transcrição da apresentação:

1 Boas Práticas em Governança e Gestão de TI para o Sistema “S”
Leonardo Gomes Pinheiro Vitor Almeida

2 Agenda Planejamento de TI Desenvolvimento Infraestrutura
Serviços de TI Gerenciamento de Projetos Segurança da Informação Contratações de Soluções de TI Como Fazer?

3 Planejamento de TI Planejamento Estratégico Institucional
Planejamento Estratégico de TI Planejamento Tático de TI Contratação de Soluções de TI

4 Tecnologia da Informação Segurança da Informação
Planejamento de TI Posicionamento e Estruturação da TI Alta Administração Tecnologia da Informação Desenvolvimento Infraestrutura Segurança da Informação ...

5 Planejamento de TI Pessoal de TI Carreira e Cargos Específicos de TI
Quantitativo de Pessoal Adequado Mapeamento de Competências Capacitação e Treinamento

6 Planejamento de TI Comitê de TI Estrutura para Tomada de Decisão
Natureza: Consultiva ou Deliberativa Como fazer: Constituição do Comitê de TI Planejamento das Comunicações Execução do Cronograma de Reuniões

7 Planejamento de TI Mapeamento dos Processos de TI

8 Planejamento de TI Recomendações
Reavaliar a composição do Comitê Gestor de TI, incluindo representantes das áreas de negócio da entidade, e elaborar plano de comunicação e cronograma de reuniões do comitê. Implantar processo formal de planejamento estratégico, englobando as ações, benefícios, custos e riscos da TI que sustentem a estratégia de negócio e os requisitos de governança, utilizando como linha orientativa o Processo PO 01 do COBIT. Realizar estudo quantitativo e qualitativo das necessidades de pessoal para planejamento, coordenação e controle dos processos de gestão e governança de TI, procedendo com o posterior processo seletivo e a contratação dos profissionais, se for o caso.

9 Desenvolvimento Processo de Desenvolvimento de Software

10 Desenvolvimento Medição de Esforço

11 Desenvolvimento Catálogo de Sistemas

12 Infraestrutura Gestão e Monitoramento de Ativos

13 Serviços de TI SLA Catálogo e Acordos de Níveis de Serviços de TI
Negócio TI

14 Serviços de TI Helpdesk

15 Gerenciamento de Projetos
Metodologia de Gerenciamento de Projetos

16 Gerenciamento de Projetos
Escritório de Gerenciamento de Projetos Gestão de Projetos Diagnóstico e Maturidade Mentoring e Coaching Gestão de Portfólio de Projetos Seleção de Perfis Internos Gestão de Mudança

17 BOAS PRÁTICAS PARTE II SEGURANÇA DA INFORMAÇÃO
CONTRATAÇOES DE SOLUÇÕES DE TI LEONARDO GOMES PINHEIRO

18 Segurança da Informação
Política de Segurança da Informação - PSI Plano de Continuidade do Negócio – PCN PSI e PCN x Órgãos de controle

19 Segurança da Informação
Por que é importante zelar pelas informações? É o recurso patrimonial mais crítico; Compromete a imagem da instiuição; Adulterar informações Pessoa de má-fé Concorrentes Comprometimento de processos institucionais; Clientes e sociedades.

20 1) Política de Segurança da Informação
DOCUMENTO APROVADO PELA ALTA ADMINISTRAÇÃO PRINCÍPIOS, DIRETRIZES E REGRAS PSI LINHAS MESTRAS A SEREM SEGUIDAS PELA INSTITUIÇÃO REVISADO , ATUALIZADO E DIVULGADO NÃO RESTRITO A ÁREA DE TI

21 1) Política de Segurança da Informação
Informações mínimas: Declaração do comprometimento da alta administração Definição de responsabilidades gerais Gerência de Riscos e Plano de Continuidade do Negócio PSI Política inter- relacionadas (backup, senhas, contratação, internet, softwares, equipamentos, etc ) Classificação das informações: irrestrito, interno, confidencial e secreta. Consequências de violações de normas ( penalidades) Plano de treinamento em S.I.

22 2) Plano de Continuidade dos Negócios
Integridade PCN A L T D M I N S R Ç Ã O Disponibilidade Plano de estratégias e procedimentos Conjunto de medidas com ações preventivas e de recuperação Serve para combater problemas inesperados Minimizar impactos negativos Ex: desastres, incêncios, greves, falhas de equipamentos, interrupção de serviços e sistemas

23 3) Plano de Continuidade dos Negócios
Como garantir que o PCN funcionará? Treinamento e conscientização Testes periódicos Manutenção contínua (revisado) Como eu faço? Linha orientativa: Norma Complementar 06/IN01/DSIC/GSIPR

24 PSI x Órgãos de controle
(Acórdão nº 1233/2012 Plenário) estabeleça a obrigatoriedade de que os entes sob sua jurisdição implementem os seguintes controles gerais de TI relativos à segurança da informação (subitem II.8): estabelecimento de política de segurança da informação, à semelhança das orientações contidas na NBR ISO/IEC , item 5.1 – Política de segurança da informação Acórdão nº 1382/2009 Plenário, Acórdão nº 906/2009 Plenário, Acórdão nº 381/2011 Plenário, Acórdão nº 2746/2010 Plenário.

25 PCN x Órgãos de controle
(Acórdão 1382/2009 Plenário) 9.2. (...) defina formalmente um Plano de Continuidade do Negócio (PCN) que garanta, em caso de falhas ou desastre natural significativo, a retomada tempestiva do funcionamento do órgão, protegendo os processos críticos, de acordo com o previsto no item 14 da NBR ISO/IEC 17799:2005, e segundo orientações contidas no Cobit 4.1, item DS4.2 - Planos de Continuidade de TI

26 Contratações de Soluções de TI
Vantagens: (garantias) Riscos envolvidos sejam gerenciados; Contratação alinhada aos objetivos institucionais Recursos sejam bem utilizados (financeiros e humanos) Demandam esforço considerável de várias unidades para fazer a licitação (e.g. estudos técnicos preliminares, TR o PB, edital, jurídico, etc.)

27 Contratações de Soluções de TI
Desvantagens: Contratar produtos e serviços que não agreguem efetivamente valor ao órgão, isto é, que não ajudem o órgão a alcançar os objetivos definidos; Preço acima de valores do mercado Contratar soluções de TI que ultrapassem a necessidade da entidade Esses riscos podem materializar-se em eventos e gerar sanções àquele que lhes deram causa. Consequência: Órgãos de controle = TCU, CGU e MP.

28 O que pode ser normatizado?
BOAS PRÁTICAS Documentar os artefatos de planejamento da contratação nos autos do processo de contratação. (processo administrativo) 2) Publicar políticas e normas: O que pode ser normatizado? Procedimentos para estimar preços das contratações; PSI Metodologia de Desenvolvimento de Sistemas (MDS), NBR ISO/IEC e ; Nomeação e atribuições dos gestores e fiscais de contratos Política de uso dos recursos de TI (internet, , etc.)

29 BOAS PRÁTICAS 3) Capacitar funcionários em contratação de soluções de TI e em gestão de contratos Funcionários minimamente capacitados (qtd. adequada) Contínua (complexidade e dinamismo) 4) Documentar todas as interações com empresas interessadas, licitantes e com a contratada. 5)Utilizar compilação da legislação, da jurisprudência e dos normativos do órgão que afetam as contratações de TI Lei de introdução as normas do Direito brasileiro – antigo Cod. Civil Decreto-Lei 4.657/1942 “Art. 3º Ninguém se escusa de cumprir a lei, alegando que não a conhece.” Falta de conhecimento da lei não é justificativa para deixar de cumpri-la. Cobit 4.1, “ME3.1 Identificação dos Requisitos de Conformidade com Leis, Regulamentações e Contratos Externos

30 Principais fragilidades
1) Falhas na definição dos objeto da contratação; 2) Ausência de orçamento estimado em planilhas de quantitativos e preços unitários; 3) Pagamento pela prestação de serviços de TI não vinculado aos resultados/pagamento por homem-hora; Paradoxo lucro-incopetência < qualificação > nr de horas > lucro empresa > custo Entidade Pagar por disponibilidade mesmo s/ contraprestação do serviço 4) Ausência de mecanismos de gestão contratual.

31 GESTÃO DE CONTRATOS DE TI
Cláusulas específicas de TI: Comunicação; Confidencialidade; Segurança da informação; Direitos autorais; Transferência de informação e documentação; ANS: prazos, penalidades, responsabilidades das partes; Qualidade dos serviços.

32 Atores FISCAL GESTOR Serviço administrativo Serviço pontual
Reequilíbrio econômico-financeiro, pagamentos, repactuação, reajuste, etc. Eficiência, eficácia, efetividade, qualidade e resultados Cuida dos aspectos formais da contratação Acompanha a execução contratual Sugere a aplicação das penalidades Identifica e reporta as irregularidades

33 ATRIBUIÇOES DOS FISCAIS
Conhecer o objeto; Fazer check-list com informações ao bom e fiel cumprimento do contrato Registrar todas ocorrências e providências que possam prejudicar o contrato – “Registro e Comunicação de ocorrências” Ter arquivo exclusivo ( cópia do contrato, proposta, edital, TR, anexos, comunicações com o preposto. Ter um livro de registro.

34 ATRIBUIÇOES DOS FISCAIS
Preposto – comunicação formal – evitar subordinação direta Fiscalizar cumprimento de obrigações e encargos trabalhistas Ateste de NF conferindo previamente o bem ou serviço de acordo com o contratado (qualidade, ANS, preços, prazos de entrega)

35 Contratações de Soluções de TI
Recomendações Designar fiscal para acompanhamento da execução dos contratos, estabelecendo, nas contratações de serviços de TI, procedimentos periódicos de controle com vistas a verificar o cumprimento da obrigação contratual em relação às equipes técnicas de empregados e respectivos serviços prestados. Realizar ampla pesquisa das especificações técnicas de bens de TI, abrangendo diversos modelos e marcas, com vistas a não restringir a participação de potenciais licitantes no processo licitatório.

36 Contratações de Soluções de TI
Recomendações Utilizar métricas vinculadas aos resultados esperados nas contratações de soluções de TI, se abstendo de realizar o pagamento por simples medição das horas trabalhadas. Definir níveis mínimos de serviços nas futuras contratações de soluções de TI, a fim de possibilitar a mensuração dos valores a serem pagos pelos serviços prestados. Definir, no instrumento contratual, as sanções administrativas, de forma clara e detalhada, inclusive pelo não atendimento dos níveis mínimos de serviço estabelecidos.

37 Contratações de Soluções de TI
Recomendações Utilizar métricas vinculadas aos resultados esperados nas contratações de soluções de TI, se abstendo de realizar o pagamento por simples medição das horas trabalhadas. Definir níveis mínimos de serviços nas futuras contratações de soluções de TI, a fim de possibilitar a mensuração dos valores a serem pagos pelos serviços prestados. Definir, no instrumento contratual, as sanções administrativas, de forma clara e detalhada, inclusive pelo não atendimento dos níveis mínimos de serviço estabelecidos.

38 Como fazer? Modelos e Frameworks COBIT 4.1 ISO/IEC 38500:2009
ISO/IEC e 27002 CMMI MPS.br ITIL v.3 NBR ISO/IEC e

39 Como fazer? IN 04/2010 IN 02/2008 www.governoeletronico.gov.br
Livro Manual do gestor do Sistema S Cartilha da CGU – Entendimentos sobre gestão dos recursos do Sistema S GSI/PR

40 Controladoria-Geral da União
Secretaria Federal de Controle Interno Diretoria de Auditoria de Pessoal, Previdência e Trabalho Setor de Autarquias Sul, Quadra 1, Bloco A, Edifício Darcy Ribeiro, CEP: Site: Muito Obrigado! s: Fone: (61)