Crisis Management

Essa semana eu acabei presenciando e participando de algumas discussões que foram ocasionadas por interpretações diferentes de alguns termos que lidamos diariamente na gestão de segurança da informação.

Termos como eficiência, eficácia, contingência, disponibilidade, evento, incidente, crise, gestão e gerenciamento estão na língua de qualquer gestor. Será que todos possuem o mesmo conceito sobre esses termos? Já percebi que não, as vezes estamos falando de A e fulano está pensando em B.

Pensando nisso eu resolvi escrever sobre algo que, na maioria das vezes é esquecido na concepção e implementação de um processo de continuidade de negócios. Estou falando de uma matriz de níveis de crise, simplesmente o recurso que irá servir como indicador para a tomada de decisão para o acionamento ou não de um processo de gerenciamento de crise.

Primeiro gostaria de dar algumas definições dos termos que costumam gerar confusão quando estamos discutindo gestão de tecnologia, segurança e governança de tecnologia:

Eficiência: fazer algo com eficiência significa fazer as coisas do jeito certo, na primeira tentativa. Expressa o grau de aproveitamento dos recursos utilizados ao se produzir um produto ou realizar um serviço;

Eficácia: fazer uma coisa com eficácia, significa fazer o que deve ser feito, fazendo a coisa certa. Expressa o grau com que são atingidas as expectativas de alguém (um cliente de uma empresa, por exemplo);

Contingência: controles como, site alternativo que garantam a disponibilidade do serviço em situação adversa;

Disponibilidade: controles como, load balance, cluster e RAID, que garantem a disponibilidade mínima do serviço caso parte do serviço seja afetada;

Evento: ocorrência futura que pode ocasionar um incidente;

Incidente: um evento que não é comum na operação da organização e que, pode parar serviços, recursos, que suportam as operações da organização;

Crise: um evento crítico que pode ocasionar a parada do negócio, riscos a pessoas, perda de infra-estura essencial para operação da organização e consequentemente abalar drasticamente a imagem, reputação da organização causando prejuízos irreparáveis;

Gestão: planejar, organizar, liderar e controlar as pessoas que constituem uma organização e as tarefas e atividades por estes realizadas;

Gerenciamento: controlar atividades especificas como, serviços de TI;

A Matriz de Níveis de Crise consiste em uma tabela com níveis que possibilitam avaliar um evento e acionar ou não o procedimento de gerenciamento de crises, tornando muito mais eficaz o processo de gestão de crises. A Matriz deverá ser criada com as características e riscos da organização.

Exemplo de matriz de níveis de crise:


Após a definição clara dos eventos que possam impactar o negócio, é preciso treinar e disponibilizar a matriz para acesso dos envolvidos na gestão de incidentes. Os envolvidos na gestão de incidente irão usar a matriz para avaliar se é necessário acionar procedimentos de gerenciamento de crise ou tratar o evento como parte da operação normal da gestão de incidente.

Você pode classificar a matriz de níveis de crise em cores: azul, amarelo, laranja e vermelho. Ou seja, nome, modelo não importa, crie sua matriz conforme as características de sua organização e deixe ela o mais viável possível para servir como fator de decisão para acionamento dos planos, procedimentos que sua organização possui para gerenciar as adversidades.

Use os comentários para discutir critérios adequados para uma matriz de níveis de crise.