Como Convencer a Administração a Investir num Plano Global de Segurança Empresarial Jorge Cunha Paulo André José Pedro Rodrigues 2006.Nov.02 Planeamento de Emergência, Gestão de Risco e Sistemas de Segurança

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens  Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Apresentação Apresentação Auto-Estradas do Atlântico  Constituída em Dezembro de 1998  Objecto do Contrato de Concessão com: Exploração e manutenção dos 85Km da A8 Sul Exploração e manutenção dos 85Km da A8 Sul Concepção, construção e financiamento de novos troços, numa extensão total de 85Km, divididos entre a A8 Norte (Caldas da Rainha – Leiria) e a A15 (Caldas da Rainha – Santarém) Concepção, construção e financiamento de novos troços, numa extensão total de 85Km, divididos entre a A8 Norte (Caldas da Rainha – Leiria) e a A15 (Caldas da Rainha – Santarém)  30 Anos de duração  170 km de Concessão  21 Portagens  875 M€ investimento em Project Finance  Sedeada em Torres Vedras  Centro de Controlo de Tráfego em Torres Vedras Auto-Estradas do Atlântico

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Infra-Estrutura de Suporte Sistemas de Suporte ao Negócio Sistemas de Suporte à Operação Sistemas Complementares/Infra-Estrutura Apresentação Organização dos Sistemas Backbone Fibra Óptica Sistema de Transporte de Comunicações - SDH Comunicações DadosComunicações de Voz Comunicações Dados (Gb Ethernet), SOS e CCTV Sistemas da Concessão Sistemas de Cobrança de Portagem BackOffice Exploração ERP Minimal Sistemas de Controlo EAO SIGA – Gestão Infra-Estrutura Rodoviária SOS Rede Rádio Sistemas Segurança Web Site Armazenamento Autenticação

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 BackOffice DE (SiDE) Sistema de Portagens Nível ViaNível DistribuiçãoNível Central Nível Estação ERP Apresentação Sistemas Suporte ao Negócio Sistema Gestão Manutenção

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Nível ViaNível Estação POS SIBS CE Estação TPS Via Verde Entidades Externas Nível Distribuição Dist. Server Manual Entrada Verde Saída Verde Entrada Manual Saída Nível Central Host Sistemas de Gestão ERP BackOffice (SiDE) SGM Apresentação Sistema Portagens

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Nível ViaNível Estação POS SIBS CE Estação TPS Via Verde Entidades Externas Nível Distribuição Dist. Server Manual Entrada Verde Saída Verde Entrada Manual Saída Nível Central Host Sistemas de Gestão ERP BackOffice (SiDE)SGM Pedido Resposta Apresentação Sistema Portagens

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens  Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov nd Half st Half 2nd Half st Half 2nd Half st Half 2nd Half st Half 2nd Half st Half 2nd Half st Half 2nd Half Estudo Estratégico Expl.Model/ Tec.Car. Eq. Mar Oct Adapt. Sist.Portagens Set Jun Inst. Data Center Jun Jul Inst. Equipam- Portagem Abr Mai Backoffice DE (SiDE) Out Nov WebSite MaiJan Proj. Interno Segurança Fev Implementação ERP SetOut SGM – Sist. Gestão Man. JanJun Rede Rádio SetDez Propagação SIP A8 Sul AbrOut Projecto Interno Segurança Enquadramento na História das TIC

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens  Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Preparação Definição do Projecto Definição Âmbito Decisão Administração Consulta Mercado Desenvolvimento Avaliação Situação Actual Definição Politica Segurança Análise Risco Estratégia Desastre Estratégia Execução Fim Preparação Execução Renovação Tecnológica Ambientes Office Projecto Interno Segurança Estratégia de Abordagem Conclusão Fim Execução Fim Projecto Implementação Politica Segurança Actualização Tecnológica Rede Comunicações Implementação de Recomendações de Auditoria Implementação do Modelo de Disaster Recovery Preparação e Execução Simulacro Avaliação Objectivo Promover a renovação e o crescimento dos sistemas da concessionária, enquadrados numa perspectiva de segurança

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens  Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Deliveries AuditoriaPolitica de SegurançaDisaster Recovery Auditoria de Rede Auditoria de Vulnerabilidades Redacção Documento Validação Jurídica Validação Interna Recolha Dados Sistemas Recolha Dados Negócio Caracterização Riscos Caracterização Vulnerabilidades Plano Prevenção Plano Contingência Plano Testes Análise Impacto Organização Recomendações Desenho do “Active Directory” Projecto Interno Segurança Preparação Avaliação da Situação Actual Reavaliação da Estratégia de Execução Manual Segurança Sistemas Informáticos

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Projecto Interno Segurança Conclusões Preparação – Risco Perca de Receita Perca de Informação Controlo Downtime Sistemas Compromissos Fiscais Compromissos para com o Concedente

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Projecto Interno Segurança Conclusões Preparação – Disaster Recovery Centro de Dados Secundário Centro de Dados Primário Servidores Aplicacionais Servidores Aplicacionais Servidores Base de Dados PC Clientes Firewall Desenv.Produção Servidores Base de Dados Desenv.Produção Qualidade CWDMGbEth Produção

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens  Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Conclusão Fim Projecto Preparação e Execução Simulacro Avaliação Projecto Interno Segurança Execução - Fase I e Fase II Definição do Projecto Definição Âmbito Decisão Administração Consulta Mercado Desenvolvimento Avaliação Situação Actual Definição Politica Segurança Análise Risco Estratégia Desastre Estratégia Execução Fim Preparação Preparação Execução Renovação Tecnológica Ambientes Office Fim Execução Implementação Politica Segurança Actualização Tecnológica Rede Comunicações Implementação de Recomendações de Auditoria Implementação do Modelo de Disaster Recovery Renovação Tecnológica Ambientes Office Fim Execução Implementação Politica Segurança Actualização Tecnológica Rede Comunicações Implementação de Recomendações de Auditoria Implementação do Modelo de Disaster Recovery Execução Fase II Fase I Implementação Recomendações Auditoria Implementação Politica Segurança Instalação Ferramentas Controlo e Web Renovação Antivírus Implementação Sistema Monitorização Rede e Servidores Acesso Remoto via VPN Actualização Tecnológica Ambiente Backoffice Migração Domínio Rede Migração Servidor Sistema Controlo Acessos Redimensionamento do Sistema e politica Backup’s Revisão das Condições Físicas da Sala Técnica Construção Site Secundário Implementação Tecnológica Site Secundário Melhoria na Rede de Comunicações Implementação Redundância nos Sistemas Firewall Transferência Servidores para Site Secundário Implementação SAN e Site Secundário

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens  Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Execução Projecto Interno Segurança Simulacro Simulacro colectivo Simulacro individual Correcções? Preparação Valida ç ão de Recomenda ç ões Anteriores Levantamento Entrevistas com área de negócio Análises e Documentação Criação de Base de dados de suporte Formação Desenvolvimento Planos Plano de Contingência Plano de Testes Plano de Comunicação Plano de Recuperação Deliveries Avaliação Relatório Final

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Projecto Interno Segurança Simulacro SegTerQuaQuiSex Laboral Formação Final e Revisão aos Processos Backup Especial - Incidente - Activação Plano Comunicação - Reunião Comité Desastre - Deslocação das Equipas para o Site Secundário - Início da Recuperação Recuperações Failover Validação Backups Correctos Site Secundário Operação no Site Secundário Recuperação FailBack Reposição dos Ambientes de Qualidade no Site Secundário Validação Backups Correctos Site Secundário Validação Backups Correctos

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Agenda  Apresentação  Auto-Estradas Atlântico  Organização dos Sistemas  Sistemas de Suporte ao Negócio  O Sistema de Portagens  Projecto Interno Segurança Enquadramento na História das TIC Enquadramento na História das TIC Estratégia de Abordagem Estratégia de Abordagem Preparação Preparação Execução – Fase I e Fase II Execução – Fase I e Fase II Simulacro Simulacro  Conclusão

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Preparação Definição do Projecto Definição Âmbito Decisão Administração Consulta Mercado Desenvolvimento Avaliação Situação Actual Definição Politica Segurança Análise Risco Estratégia Desastre Estratégia Execução Fim Preparação Execução Renovação Tecnológica Ambientes Office Conclusão Fim Execução Fim Projecto Implementação Politica Segurança Actualização Tecnológica Rede Comunicações Implementação de Recomendações de Auditoria Implementação do Modelo de Disaster Recovery Preparação e Execução Simulacro Avaliação Conclusão Processos de Decisão em Pontos Chave Aspectos Chave BigBang tem elevados riscos e baixo controle O facto de a duração ser alargada permite: Dosear a sensibilidade/expectativa para os aspectos da segurança - HOMEOPATIA O Desembolso Financeiro é diluído ao longo do tempo - SUAVIDADE Obtiveram-se ganhos financeiros, com redução de 30% face à estimativa inicial – GANHO em ESCALA

2006.Nov.02 Como Convencer a Administração a Investir num Projecto de Segurança 2006.Nov.02 Conclusão Resumo O que não se mede, não se consegue controlar Como Convencer a Administração a Investir num Projecto de Segurança Se não se medir, não se consegue ganhar a tomada de decisão favorável Quantificar o Risco inicial versus a Segurança obtida no final, são factores eficazes para obter a decisão Dar a decidir em Milestones importantes do processo, sempre de acordo com a estratégia predefinida Dar a conhecer o método de execução do Projecto A fase de preparação e o método são Cruciais e a disciplina Fundamental

Obrigado