Professor Gledson Pompeu gledson pompeugmail com Governana de

Professor Gledson Pompeu gledson. pompeu@gmail. com Governança de TI COBIT Módulo 1 – Conceitos Básicos Referência: COBIT Framework Versão 4. 1

Histórico e evolução n Primeira versão em 1996 q n Segunda versão em 1998 q n Criação do “Management Guidelines” Quarta versão em 2005 (Cobit 4. 0) q n Atualização de referências, kit de implantação Terceira versão em 2000 (Cobit 3ª Edição) q n Compilação de referências sobre auditoria de TI Consolidação e detalhamento dos guias gerenciais Refinamento em 2007 (Cobit 4. 1) Professor Gledson Pompeu gledson. pompeu@gmail. com 2

Governança de TI “Responsabilidade da alta direção, consiste em liderança, estruturas organizacionais e processos que garantem que a TI corporativa sustenta e estende as estratégias e objetivos da organização” Professor Gledson Pompeu gledson. pompeu@gmail. com 3

Governança de TI n O quê: q n Quem: q n executivos e alta direção (não é só a área de TI) Para quê: q n liderança, estruturas organizacionais e processos garantir que a TI sirva como instrumento para sustentar e ampliar o negócio da organização Como: q controle sobre os processos e recursos de TI para garantir qualidade, confiabilidade e segurança das informações Professor Gledson Pompeu gledson. pompeu@gmail. com 4

Desafios n n n Aproveitar a capacidade da TI de impulsionar e transformar as práticas de negócios Garantir o retorno dos investimentos em TI, por meio do equilíbrio entre o valor da informação e os custos de TI Evitar as falhas de TI, que cada vez mais prejudicam o valor e a reputação da organização Gerenciar os riscos gerados pela dependência de elementos fora do controle direto da organização Gerenciar o impacto da TI sobre a continuidade de negócios, causado pela dependência da informação Professor Gledson Pompeu gledson. pompeu@gmail. com 5

Focos da governança de TI Alinhamento estratégico Vinculação entre TI e negócios (planejamento e operações) Agregação de valor Garantia de alcance dos benefícios, com otimização de custos Gerenciamento de recursos Otimização dos investimentos e do uso dos recursos de TI Gerenciamento de riscos Incorporação do tratamento de riscos e da conformidade nos processos Mensuração de desempenho Uso do BSC para avaliar todas as dimensões da TI Professor Gledson Pompeu gledson. pompeu@gmail. com 6

Visão geral do modelo Professor Gledson Pompeu gledson. pompeu@gmail. com 7

Princípios básicos n Objetivos de negócios requerem informações q n Informações são produzidas por recursos de TI q n Dados, aplicações, infra-estrutura e pessoas Recursos de TI são gerenciados por processos q n Informações devem atender aos critérios de qualidade, segurança e confiabilidade Definição de responsabilidades e metas Processos devem ser controlados q Objetivos de controle, indicadores de desempenho e indicadores de resultados Professor Gledson Pompeu gledson. pompeu@gmail. com 8

Princípios básicos Professor Gledson Pompeu gledson. pompeu@gmail. com 9

Características gerais n Foco no negócio q n Orientado a processos q q n Organização das atividades de TI em um modelo de processos Identificação de responsabilidades pelos processos Baseado em controles q n Alinhamento das metas de TI a metas de negócio Definição dos objetivos de controle a serem considerados Dirigido por métricas q Uso de indicadores e modelos de maturidade Professor Gledson Pompeu gledson. pompeu@gmail. com 10

Foco no negócio O negócio requer informações que atendam aos critérios Os processos usam recursos para gerar as informações Professor Gledson Pompeu gledson. pompeu@gmail. com 11

Critérios da informação - Qualidade n Efetividade/Eficácia (Effectiveness) q q n A informação deve ser pertinente e relevante para o processo de negócio A informação deve ser entregue de forma tempestiva, correta, consistente e em formato útil Eficiência q A informação deve ser provida por meio do uso otimizado dos recursos Professor Gledson Pompeu gledson. pompeu@gmail. com 12

Critérios da informação - Segurança n Confidencialidade q n Integridade q n A informação deve ser protegida contra acesso não autorizado A informação deve ser precisa, completa, e válida de acordo com as expectativas e os valores do negócio Disponibilidade q q A informação deve estar disponível quando requerido pelo processo de negócio, agora e no futuro Os recursos e capacidades associados à informação devem ser protegidos Professor Gledson Pompeu gledson. pompeu@gmail. com 13

Critérios da informação - Adequação n Conformidade q n A informação obedece a leis, normas e contratos aos quais o processo de negócio está sujeito, ou seja, aos requisitos impostos ao negócio Confiabilidade q A informação deve ser adequada para gerenciar a operação do negócio e para a alta direção exercer sua responsabilidade de geração de relatórios financeiros e de conformidade Professor Gledson Pompeu gledson. pompeu@gmail. com 14

Recursos de TI n Aplicações q n Dados capturados, processados e gerados por sistemas de informação, em qualquer formato usado pelo negócio Infra-estrutura q n Sistemas automatizados e procedimentos manuais que processam informações Recursos tecnológicos (hardware, sistemas operacionais, sistemas de banco de dados, redes, etc. ) e instalações físicas que suportam o processamento das aplicações Pessoas q Equipe necessária para planejar, organizar, adquirir, implementar, entregar, suportar, monitorar e avaliar sistemas de informação e serviços de TI Professor Gledson Pompeu gledson. pompeu@gmail. com 15

Orientado a processos Professor Gledson Pompeu gledson. pompeu@gmail. com 16

Orientado a processos Professor Gledson Pompeu gledson. pompeu@gmail. com 17

Matriz de responsabilidade R (responsible) • Quem é responsável pela execução da atividade A (accountable) • Quem presta contas pelos resultados da atividade C (consulted) • Quem é consultado para execução da atividade Professor Gledson Pompeu gledson. pompeu@gmail. com I (informed) • Quem é informado do resultado da atividade 18

Baseado em controles n Políticas, procedimentos, práticas e estruturas organizacionais para garantir que q q n Os objetivos de negócio serão alcançados Os eventos indesejáveis serão prevenidos, se possível, ou então detectados e corrigidos Além de controles gerais, aplicáveis a todos os processos, cada processo possui seus próprios objetivos de controle q Declarações dos resultados desejados ou do propósito a ser alcançado pela implementação de controles sobre uma atividade Professor Gledson Pompeu gledson. pompeu@gmail. com 19

Controles gerais de processos n PC 1 Process Owner q n PC 2 Repeatability q n A responsabilidade pela execução das atividades dos processos deve ser atribuída a papéis específicos PC 5 Process Performance q n Os processos devem ter objetivos e metas claras PC 4 Roles and Responsibilities q n Os processos devem ser executados de forma consistente PC 3 Goals and Objectives q n Cada processo deve ter um responsável Os processos devem ter seu desempenho medido PC 6 Policy, Plans and Procedures q Políticas, planos e procedimentos associados aos processos devem ser documentados, revisados, mantidos atualizados e comunicados para os envolvidos Professor Gledson Pompeu gledson. pompeu@gmail. com 20

Controles gerais de aplicação n AC 1 Source Data Preparation and Authorisation q n AC 2 Source Data Collection and Entry q n Os dados devem ser mantidos íntegros e válidos durante todo o ciclo de processamento AC 5 Output Review, Reconciliation and Error Handling q n Todas as transações devem ser precisas, completas e válidas AC 4 Processing Integrity and Validity q n Os dados devem ser almentados de forma tempestiva por pessoas autorizadas, e eventuais correções não devem comprometer os níveis de autorização do sistema AC 3 Accuracy, Completeness and Authenticity Checks q n Os documentos de origem devem ser preparados e aprovados segundo o critério de segregação de funções As saídas do sistema devem ser verificadas quanto à precisão, protegidas durante a transmissão, entregues aos destinatários corretos e utilizadas corretamente AC 6 Transaction Authentication and Integrity q Os dados passados entre aplicações ou áreas da organização devem ser verificados quanto à autenticidade e integridade Professor Gledson Pompeu gledson. pompeu@gmail. com 21

Dirigido por métricas n Modelos de maturidade q n Metas e indicadores de processos q n Possibilitam benchmarking e identificação das necessidades de melhoria Demonstram como os processos atendem às metas de negócios e de TI, a partir da mensuração de indicadores baseados no BSC Metas de atividades q Direcionam o desempenho efetivo dos processos Professor Gledson Pompeu gledson. pompeu@gmail. com 22

Modelo de maturidade n Os níveis de maturidade descrevem perfis de processos de TI que possam ser reconhecidos pelas organizações q n Esses níveis não estabelecem patamares evolutivos, como no CMM/CMMI e em outros modelos similares A partir dos níveis de maturidade descritos para cada um dos 34 processos, é possível identificar q q O desempenho real da organização (onde estamos) A situação de organizações similares (benchmarking) Os avanços possibilitados pelos modelos disponíveis A meta da organização (onde queremos estar) Professor Gledson Pompeu gledson. pompeu@gmail. com 23

Modelo de maturidade Professor Gledson Pompeu gledson. pompeu@gmail. com 24

Modelo de maturidade n Nível 0 – Inexistente q q n Ausência de processos identificáveis A organização não reconhece que existe uma questão a ser tratada Nível 1 – Inicial/Ad-hoc q q q A organização reconhece que existe uma questão a ser tratada Abordagens improvisadas tendem a ser aplicadas a situações individuais A gerência do processo é desorganizada Professor Gledson Pompeu gledson. pompeu@gmail. com 25

Modelo de maturidade n Nível 2 – Repetível mas intuitivo q q q n Os processos se desenvolveram de modo que procedimentos similares são executados por pessoas diferentes que realizam a mesma tarefa Não existe treinamento ou repasse formal de procedimentos, a responsabilidade é deixada a cargo do indivíduo Existe alta dependência do conhecimento individual, o que gera grande probabilidade de falhas Nível 3 – Processo definido q q q Procedimentos padronizados, documentados e comunicados por meio de treinamentos Cabe ao indivíduo seguir esses processos; é pouco provável que desvios sejam detectados Os procedimentos não sofisticados, mas apenas formalização de práticas existentes Professor Gledson Pompeu gledson. pompeu@gmail. com 26

Modelo de maturidade n Nível 4 – Gerenciado e mensurável q q q n É possível monitorar e medir a conformidade de procedimentos, para agir quando os processos não estiverem funcionando de forma eficaz Os processos sofrem melhorias constantes e estabelecem boas práticas Ferramentas automatizadas são usadas de forma limitada ou fragmentada Nível 5 – Otimizado q q Os processos foram refinados até alcançar as melhores práticas, com base no resultado de melhoria contínua e comparações com outras organizações A TI é usada para automatizar os fluxos de trabalho, provendo ferramentas para aumentar a qualidade e efetividade dos processos Professor Gledson Pompeu gledson. pompeu@gmail. com 27

Metas e indicadores n Metas e indicadores são definidos em três níveis q q q n TI - definem o que o negócio espera da TI Processos - definem o que cada processo de TI deve entregar para suportar as metas de TI Atividades - definem o que deve ser realizado no âmbito de cada processo para alcançar o desempenho esperado São definidos dois tipos de indicadores q q Métricas de resultado (antigo KGI) - indicam se as metas foram alcançadas no passado Indicadores de desempenho (antigo KPI) - indicam se as metas poderão ser alcançadas no futuro Professor Gledson Pompeu gledson. pompeu@gmail. com 28

Metas e indicadores n Metas são derivadas em cascata q q q Objetivos do negócio para metas de TI Metas de TI para metas de processos Metas de processos para metas de atividades Professor Gledson Pompeu gledson. pompeu@gmail. com 29

Metas e indicadores n Métricas de resultado são definidas para cada uma das metas estabelecidas q Métricas de resultado de um nível servem como indicadores de desempenho para o nível seguinte Professor Gledson Pompeu gledson. pompeu@gmail. com 30

Metas e indicadores Professor Gledson Pompeu gledson. pompeu@gmail. com 31

Metas e indicadores n Métricas de resultado detalham os objetivos a serem alcançados pelo processo (o quê) q q n Indicadores imediatos de sucesso no alcance da meta Foco nas perspectivas financeira e de clientes do BSC Medem a TI com a visão do negócio Foco nos critérios da informação considerados mais relevantes para cada processo Indicadores de desempenho monitoram os elementos críticos do processo (como) q q q Indicadores da probabilidade de alcance da meta no futuro Foco nas perspectivas de processos e aprendizado Foco nos recursos mais importantes para cada processo Professor Gledson Pompeu gledson. pompeu@gmail. com 32

Visão geral do modelo Professor Gledson Pompeu gledson. pompeu@gmail. com 33

Domínios n Planejamento & Organização q n Aquisição & Implementação q n Relaciona as estratégias com os recursos e soluções de TI, seu desenvolvimento e aquisição Entrega & Suporte q n Trata dos aspectos estratégicos e táticos da organização, e de como a TI pode contribuir para os objetivos de negócios Trata da entrega dos serviços requeridos, atentando para os aspectos de segurança, treinamento e suporte Monitoramento & Avaliação q Endereça aspectos de monitoramento do desempenho e de avaliação de controles da TI. Professor Gledson Pompeu gledson. pompeu@gmail. com 34

Domínios e processos PO 1 PO 2 PO 3 PO 4 ME 1 monitorar e avaliar o desempenho da TI ME 2 monitorar e avaliar os controles internos ME 3 assegurar conformidade com requisitos externos ME 4 prover governança de TI PLANEJAMENTO E ORGANIZAÇÃO MONITORAMEN TO E AVALIAÇÃO DS 1 definir e gerenciar níveis de serviços DS 2 gerenciar serviços de terceiros DS 3 gerenciar performance e capacidade DS 4 garantir continuidade dos serviços DS 5 garantir segurança dos sistemas DS 6 identificar e alocar custos DS 7 educar e treinar usuários DS 8 gerenciar service desk e incidentes DS 9 gerenciar a configuração DS 10 gerenciar problemas DS 11 gerenciar dados DS 12 gerenciar o ambiente físico DS 13 gerenciar a operação definir um plano estratégico de TI definir a arquitetura de informação determinar a direção tecnológica definir processos, organização e relacionamentos da TI PO 5 gerenciar o investimento em TI PO 6 comunicar metas e diretivas gerenciais PO 7 gerenciar recursos humanos de TI PO 8 gerenciar qualidade PO 9 avaliar e gerenciar riscos PO 10 gerenciar projetos AQUISIÇÃO E IMPLEMENTAÇÃO ENTREGA E SUPORTE AI 1 AI 2 AI 3 AI 4 AI 5 AI 6 AI 7 Professor Gledson Pompeu gledson. pompeu@gmail. com identificar soluções adquirir e manter aplicações adquirir e manter infraestrutura tecnológica viabilizar operação e uso adquirir recursos de TI gerenciar mudanças instalar e certificar sistemas e mudanças 35

Detalhamento do conteúdo n Para cada processo, o COBIT apresenta q q q q Objetivos do processo Critérios de informação atendidos Recursos de TI gerenciados Áreas de governança afetadas Metas de TI associadas Metas do processo Metas de atividades q q q Indicadores Objetivos de controle Relação entre processos (entradas e saídas) Matriz RACI (Responsible, Accountable, Consulted, Informed) Metas e indicadores Modelo de maturidade Professor Gledson Pompeu gledson. pompeu@gmail. com 36

Utilização do conteúdo n n n As entradas indicam o que o dono do processo deve requerer dos outros processos Os objetivos de controle descrevem o que o dono do processo precisa garantir que seja feito A matriz RACI define o que deve ser delegado pelo dono do processo e para quem As saídas indicam quais produtos o dono do processo deve entregar e para quais processos As metas e indicadores mostram como o processo deve ser monitorado e avaliado O modelo de maturidade mostra o que pode ser feito para melhorar o processo Professor Gledson Pompeu gledson. pompeu@gmail. com 37

Professor Gledson Pompeu gledson. pompeu@gmail. com Governança de TI COBIT Módulo 2 – Domínios PO e AI Referência: COBIT Framework Versão 4. 1

Planejamento e organização n n n n n PO 1 Definir um plano estratégico de TI PO 2 Definir a arquitetura de informação PO 3 Determinar a direção tecnológica PO 4 Definir processos, organização e relacionamentos PO 5 Gerenciar o investimento em TI PO 6 Comunicar metas e diretivas gerenciais PO 7 Gerenciar recursos humanos de TI PO 8 Gerenciar qualidade PO 9 Avaliar e gerenciar riscos PO 10 Gerenciar projetos Professor Gledson Pompeu gledson. pompeu@gmail. com 39

Planejamento e Organização PO 1 – Definir um plano estratégico de TI n Meta do processo q n Integrar a gestão de TI e de negócios, traduzir requisitos de negócio em ofertas de serviços de TI e desenvolver estratégias para entregar esses serviços de forma efetiva Metas de atividade q q q Alinhar o planejamento estratégico de TI com necessidades atuais e futuras do negócio Compreender a capacidade atual de TI Prover um esquema de priorização e quantificação dos objetivos e requisitos de negócio Professor Gledson Pompeu gledson. pompeu@gmail. com 40

Planejamento e Organização PO 2 – Definir a arquitetura da informação n Meta de processo q n Estabelecer um modelo de dados corporativo e um esquema de classificação para garantir integridade e consistência dos dados Metas de atividade q q q Assegurar a precisão da arquitetura da informação e do modelo de dados Atribuir propriedade da informação Classificar as informações segundo um esquema previamente definido Professor Gledson Pompeu gledson. pompeu@gmail. com 41

Planejamento e Organização PO 3 – Determinar a direção tecnológica n Meta de processo q n Definir e implementar arquitetura e padrões tecnológicos que reconheçam e aproveitem oportunidades tecnológicas Metas de atividade q q q Estabelecer fórum para definir arquiteturas e verificar conformidade Estabelecer planos de infra-estrutura tecnológica com visão de custos, riscos e requisitos Definir padrões de infra-estrutura tecnológica com base nos requisitos da arquitetura da informação Professor Gledson Pompeu gledson. pompeu@gmail. com 42

Planejamento e Organização PO 4 – Definir procs, organiz. e relacionamentos n Meta de processo q n Estabelecer estruturas organizacionais de TI transparentes e flexíveis, e definir e implementar processos de TI com papéis e responsabilidades integradas aos processos de negócio Metas de atividade q q q Definir um framework de processos de TI Estabelecer estruturas e comitês organizacionais Definir papéis e responsabilidades Professor Gledson Pompeu gledson. pompeu@gmail. com 43

Planejamento e Organização PO 5 – Gerenciar o investimento em TI n Meta de processo q n Tomar decisões efetivas e eficientes sobre investimentos em TI, e definir e monitorar orçamentos de TI de acordo com a estratégia e as decisões tomadas Metas de atividade q q q Preparar e alocar orçamentos Definir critérios formais de investimento (ROI, VPL, taxa de retorno, etc. ) Medir e avaliar o valor de TI para o negócio Professor Gledson Pompeu gledson. pompeu@gmail. com 44

Planejamento e Organização PO 6 – Comunicar metas e diretrizes gerenciais n Meta de processo q n Prover aos stakeholders políticas, procedimentos, diretrizes e outros documentos que sejam precisos, compreensíveis e aprovados, como parte de um framework de controle de TI Metas de atividade q q q Definir um framework de controle de TI Desenvolver e implantar políticas de TI Garantir o cumprimento das políticas de TI Professor Gledson Pompeu gledson. pompeu@gmail. com 45

Planejamento e Organização PO 7 – Gerenciar recursos humanos de TI n Meta de processo q n Contratar e treinar pessoal, definir planos de carreira, criar descrições de cargos, atribuir papéis compatíveis às habilidades, estabelecer processos de revisão e garantir consciência da dependência de indivíduos Metas de atividade q q q Rever o desempenho da equipe Contratar e treinar pessoal de TI para suportar os planos táticos de TI Mitigar os riscos de dependência de recursos chave Professor Gledson Pompeu gledson. pompeu@gmail. com 46

Planejamento e Organização PO 8 – Gerenciar qualidade n Meta de processo q n Definir sistema de gestão de qualidade (QMS), monitorar o desempenho de acordo com objetivos predefinidos e implementar um programa de melhoria contínua dos serviços de TI Metas de atividade q q q Definir padrões e práticas de qualidade Monitorar e revisar o desempenho de acordo com os parões e práticas definidos Melhorar continuamente o QMS Professor Gledson Pompeu gledson. pompeu@gmail. com 47

Planejamento e Organização PO 9 – Avaliar e gerenciar riscos de TI n Meta de processo q n Desenvolver um framework de gerência de riscos – com avaliação, mitigação e comunicação de riscos residuais de TI - integrado ao gerenciamento de riscos de negócio Metas de atividade q q q Garantir que o gerenciamento de riscos esteja totalmente embutido nos processos gerenciais Realizar avaliações de risco Recomendar e comunicar planos de prevenção e tratamento de riscos Professor Gledson Pompeu gledson. pompeu@gmail. com 48

Planejamento e Organização PO 10 – Gerenciar projetos n Meta de processo q n Aplicar abordagem sistemática de gerência de projetos e programas aos projetos de TI e habilitar a participação dos stakeholders no monitoramento do progresso e dos riscos dos projetos Metas de atividade q q q Definir e garantir o cumprimento de abordagens de gerência de projetos e programas Criar diretrizes para o gerenciamento de projetos Planejar cada projeto incluído no portfólio Professor Gledson Pompeu gledson. pompeu@gmail. com 49

Aquisição e implementação n n n n AI 1 AI 2 AI 3 AI 4 AI 5 AI 6 AI 7 Identificar soluções Adquirir e manter aplicações Adquirir e manter infra-estrutura tecnológica Viabilizar operação e uso Adquirir recursos de TI Gerenciar mudanças Instalar e certificar sistemas e mudanças Professor Gledson Pompeu gledson. pompeu@gmail. com 50

Aquisição e Implementação AI 1 – Identificar soluções n Meta de processo q n Identificar soluções tecnicamente viáveis e com relações custo-benefício adequadas Metas de atividade q q q Definir requisitos técnicos e de negócio Realizar estudos de viabilidade com base em padrões de desenvolvimento Aprovar (ou rejeitar) requisitos e resultados de estudos de viabilidade Professor Gledson Pompeu gledson. pompeu@gmail. com 51

Aquisição e Implementação AI 2 – Adquirir e manter aplicações n Meta de processo q n Garantir a existência de um processo de desenvolvimento tempestivo e com relação custobenefício adequada Metas de atividade q q q Traduzir requisitos de negócio em especificações Aderir a padrões de desenvolvimento em todas as modificações das aplicações Separar atividades de desenvolvimento, teste e operação Professor Gledson Pompeu gledson. pompeu@gmail. com 52

Aquisição e Implementação AI 3 – Adquirir e manter infra-estrutura tecnológica n Meta de processo q n Prover plataformas apropriadas para as aplicações de negócio, alinhadas a padrões e arquiteturas de TI Metas de atividade q q q Produzir um plano de aquisição de tecnologia alinhado ao plano de infra-estrutura tecnológica Planejar a manutenção da infra-estrutura Implementar medidas de controle, segurança e auditoria Professor Gledson Pompeu gledson. pompeu@gmail. com 53

Aquisição e Implementação AI 4 – Habilitar operação e uso n Meta de processo q n Prover manuais e materiais de treinamento efetivos para transferir o conhecimento necessário para operação e uso dos sistemas Metas de atividade q q q Desenvolver e tornar disponível a documentação de transferência de conhecimento Comunicar e treinar usuários, gerentes de negócio e equipes de operação e suporte Produzir materiais de treinamento Professor Gledson Pompeu gledson. pompeu@gmail. com 54

Aquisição e Implementação AI 5 – Adquirir recursos de TI n Meta de processo q n Adquirir e manter habilidades de TI que respondam à estratégia de TI, bem como uma infra-estrutura de TI integrada e padronizada, reduzindo os riscos de contratações de TI Metas de atividade q q q Obter aconselhamento profissional em questões legais e contratuais Definir padrões e procedimentos de contratação Adquirir hardware, software e serviços de acordo com os procedimentos definidos Professor Gledson Pompeu gledson. pompeu@gmail. com 55

Aquisição e Implementação AI 6 - Manage changes n Meta de processo q n Controlar a avaliação de impacto, autorização e implementação de todas as mudanças na infraestrutura e nas aplicações, de modo a minimizar erros causados por especificações incompletas e evitar a implementação de mudanças não autorizadas Metas de atividade q q q Definir e comunicar procedimentos de mudança, incluindo as mudanças de emergência Avaliar, priorizar e autorizar mudanças Acompanhar o status e relatar mudanças Professor Gledson Pompeu gledson. pompeu@gmail. com 56

Aquisição e Implementação AI 7 – Instalar e certificar soluções e mudanças n Meta de processo q n Testar aplicações e soluções de infra-estrutura para que elas sejam adequadas ao propósito e livres de erros, e planejar sua colocação em produção Metas de atividade q q Estabelecer metodologias de teste Realizar o planejamento da liberação Submeter os resultados testes à avaliação e aprovação dos gerentes de negócios Realizar revisões pós-implementação Professor Gledson Pompeu gledson. pompeu@gmail. com 57

Professor Gledson Pompeu gledson. pompeu@gmail. com Governança de TI COBIT Módulo 3 – Domínios DS e ME Referência: COBIT Framework Versão 4. 1

Entrega e suporte n n n n DS 1 Definir e gerenciar níveis de serviços DS 2 Gerenciar serviços de terceiros DS 3 Gerenciar performance e capacidade DS 4 Garantir continuidade dos serviços DS 5 Garantir segurança dos sistemas DS 6 Identificar e alocar custos DS 7 Educar e treinar usuários DS 8 Gerenciar service desk e incidentes DS 9 Gerenciar a configuração DS 10 Gerenciar problemas DS 11 Gerenciar dados DS 12 Gerenciar o ambiente físico DS 13 Gerenciar a operação Professor Gledson Pompeu gledson. pompeu@gmail. com 59

Entrega e Suporte DS 1 – Definir e gerenciar níveis de serviços n Meta de processo q n Identificar requisitos de serviço, desenvolver acordos de nível de serviço e monitorar o seu cumprimento Metas de atividade q q q Formalizar acordos internos e externos alinhados aos requisitos e capacidade de entrega Relatar o alcance dos níveis de serviço Identificar e comunicar requisitos novos e atualizados para o planejamento estratégico Professor Gledson Pompeu gledson. pompeu@gmail. com 60

Entrega e Suporte DS 2 – Gerenciar serviços de terceiros n Meta de processo q n Estabelecer relacionamentos e responsabilidades bilaterais com provedores de serviços qualificados e monitorar a entrega dos serviços para garantir aderência aos acordos Metas de atividade q q q Identificar e categorizar fornecedores de serviços Identificar e mitigar riscos de fornecedores Monitorar e medir desempenho de fornecedores Professor Gledson Pompeu gledson. pompeu@gmail. com 61

Entrega e Suporte DS 3 – Gerenciar desempenho e capacidade n Meta de processo q n Atender aos requisitos de tempo de resposta dos SLAs, minimizar downtime e melhorar continuamente o desempenho e capacidade de TI Metas de atividade q q q Planejar e prover capacidade e disponibilidade dos sistemas Monitorar e relatar desempenho dos sistemas Modelar e prever desempenho dos sistemas Professor Gledson Pompeu gledson. pompeu@gmail. com 62

Entrega e Suporte DS 4 – Garantir continuidade dos serviços n Meta de processo q n Prover resiliência para soluções automatizadas e desenvolver, manter e testar planos de continuidade de TI Metas de atividade q q q Desenvolver e manter contingência de TI Treinar e testar planos de contingência de TI Armazenar cópias de planos de contingência e de dados em locais off-site Professor Gledson Pompeu gledson. pompeu@gmail. com 63

Entrega e Suporte DS 5 – Garantir segurança dos sistemas n Meta de processo q n Definir políticas, planos e procedimentos de segurança de TI e monitorar, detectar, relatar e resolver vulnerabilidades e incidentes de segurança Metas de atividade q q q Compreender requisitos, vulnerabilidades e ameaças de segurança Gerenciar identidades e autorizações de usuários de forma padronizada Testar a segurança regularmente Professor Gledson Pompeu gledson. pompeu@gmail. com 64

Entrega e Suporte DS 6 – Identificar e alocar custos n Meta de processo q n Capturar e alocar de forma precisa e completa os custos de TI, e reportar tempestivamente sobre o uso de TI e os custos alocados Metas de atividade q q q Alinhar cobranças à qualidade e quantidade de serviços providos Construir e obter acordo sobre um modelo completo de custos de TI Implementar cobranças de acordo com as políticas Professor Gledson Pompeu gledson. pompeu@gmail. com 65

Entrega e Suporte DS 7 – Educar e treinar usuários n Meta de processo q n Compreender claramente as necessidades de treinamento de usuários de TI, executar uma estratégia efetiva de treinamento e medir seus resultados Metas de atividade q q q Estabelecer currículos de treinamento Organizar e entregar treinamentos Monitorar e relatar sobre a efetividade dos treinamentos Professor Gledson Pompeu gledson. pompeu@gmail. com 66

Entrega e Suporte DS 8 – Gerenciar Service Desk e incidentes n Meta de processo q n Estabelecer uma função service desk profissional, com resposta rápida, procedimentos claros de escalação e resolução e análise de tendências Metas de atividade q q q Instalar e operar um service desk Monitorar e relatar tendências Definir critérios e procedimentos claros de escalação Professor Gledson Pompeu gledson. pompeu@gmail. com 67

Entrega e Suporte DS 9 – Gerenciar configuração n Meta de processo q n Estabelecer e manter um repositório completo e preciso de atributos de configuração e linhas de base de ativos de TI, e compará-los com a configuração real dos ativos Metas de atividade q q q Estabelecer um repositório central para todos os itens de configuração Identificar e manter itens de configuração Revisar a integridade de dados de configuração Professor Gledson Pompeu gledson. pompeu@gmail. com 68

Entrega e Suporte DS 10 – Gerenciar problemas n Meta de processo q n Registrar, rastrear e resolver problemas operacionais, investigar a causa raiz de todos os problemas significativos e definir soluções para os problemas Metas de atividade q q q Realizar análise da causa raiz dos problemas reportados Analisar tendências Assumir a propriedade de problemas e desenvolver sua solução Professor Gledson Pompeu gledson. pompeu@gmail. com 69

Entrega e Suporte DS 11 – Gerenciar dados n Meta de processo q n Manter os dados completos, precisos, disponíveis e protegidos Metas de atividade q q q Fazer backup de dados e testar sua restauração Gerenciar o armazenamento de dados on-site e off-site Descartar dados e equipamentos de forma segura Professor Gledson Pompeu gledson. pompeu@gmail. com 70

Entrega e Suporte DS 12 – Gerenciar o ambiente físico n Meta de processo q n Prover e manter um ambiente físico adequado para proteger ativos de TI de acesso não autorizado, dano ou roubo Metas de atividade q q Implementar medidas de segurança física Selecionar e gerenciar instalações Professor Gledson Pompeu gledson. pompeu@gmail. com 71

Entrega e Suporte DS 13 – Gerenciar operações n Meta de processo q n Atender aos níveis de serviço operacionais para o processamento de informações, proteger saídas sensíveis e monitorar e manter a infra-estrutura Metas de atividade q q Operar o ambiente de TI de acordo com os níveis de serviço e procedimentos definidos Manter a infra-estrutura de TI Professor Gledson Pompeu gledson. pompeu@gmail. com 72

Monitoramento e avaliação n n ME 1 Monitorar e avaliar o desempenho da TI ME 2 Monitorar e avaliar os controles internos ME 3 Assegurar conformidade com requisitos externos ME 4 Prover governança de TI Professor Gledson Pompeu gledson. pompeu@gmail. com 73

Monitoramento M 1 – Monitorar e avaliar o desempenho da TI n Meta de processo q n Monitorar e relatar métricas de processo e identificar e implementar ações de melhoria Metas de atividade q q Coletar e traduzir relatórios de desempenho de processos em relatórios gerenciais Revisar o desempenho de acordo com metas predefinidas e iniciar ações corretivas adequadas Professor Gledson Pompeu gledson. pompeu@gmail. com 74

Monitoramento M 2 – Monitorar e avaliar controles internos n Meta de processo q n Monitorar os processos de controle das atividades de TI e identificar ações de melhoria Metas de atividade q q q Definir um sistema de controles internos embutidos no framework de processos de TI Monitorar e relatar sobre a efetividade dos controles internos de TI Relatar exceções de controle para ação gerencial Professor Gledson Pompeu gledson. pompeu@gmail. com 75

Monitoramento M 3 – Garantir conformidade com requisitos n Meta de processo q n Identificar leis, regulamentos e contratos aplicáveis e o nível de conformidade requerido de TI, e otimizar processos para reduzir riscos de não-conformidade Metas de atividade q q q Identificar requisitos legais, regulatórios e contratuais relacionados a TI Avaliar o impacto de requisitos de conformidade Monitorar e relatar sobre a conformidade com os requisitos Professor Gledson Pompeu gledson. pompeu@gmail. com 76

Monitoramento M 4 – Prover governança de TI n Meta de processo q n Preparar relatórios executivos sobre a estratégia, desempenho e riscos de TI, e responder a requisitos de governança alinhado às diretrizes estratégicas Metas de atividade q q Estabelecer um framework de governança de TI integrado à governança corporativa Obter garantia independente sobre o status da governança de TI Professor Gledson Pompeu gledson. pompeu@gmail. com 77