Principais takeaways
Uma estrutura de gerenciamento de riscos ajuda sua organização a se preparar para possíveis problemas
O NIST Risk Management Framework é um sistema do governo dos EUA para criar políticas institucionais para mitigar riscos
Uma estrutura de gerenciamento de riscos é flexível e coesa e uma ferramenta útil para organizações de todos os tipos e tamanhos
À medida que o mundo se torna mais complexo, também aumentam os riscos potenciais que uma organização pode enfrentar. As empresas modernas dependem fortemente de um mundo globalizado e digital e enfrentam riscos relacionados à infraestrutura de TI, cadeias de suprimentos globais e os desafios gerais de um ambiente econômico em constante mudança. Afinal, quanto mais intrincado o sistema, mais fácil é que tudo se desfaça. Embora não possamos eliminar todos os riscos, ameaças e sabotagens, ainda assim devemos assumir o máximo controle possível da situação. A implementação de sistemas para mitigar os vários tipos de risco é crucial para empresas de qualquer tamanho, e é aí que uma estrutura de gerenciamento de risco é útil.
Neste artigo, detalharemos os 5 componentes de gerenciamento de riscos, que são um padrão geral para criar uma estrutura de gerenciamento de riscos que pode ser aplicada a uma variedade de riscos em diferentes organizações. Depois de descrever a estrutura geral, discutiremos a estrutura de gerenciamento de riscos do NIST em profundidade e a aplicaremos a aplicações e exemplos específicos.
Quais são os 5 componentes de gerenciamento de riscos?
- identificação
- Medição e avaliação
- Mitigação
- Relatórios e monitoramento
- Governance
Identificação do risco
Primeiro, você precisa detalhar os riscos atuais e potenciais enfrentados por sua organização. Para este componente, tempestade cerebral:
- Quais são as ameaças que podem prejudicar sua organização?
- Quais vulnerabilidades podem ser exploradas na segurança, nos procedimentos ou nos sistemas de TI de sua organização?
- Qual é a probabilidade de ocorrência de cada ameaça?
- Que efeitos teriam essas ameaças?
Dica: Análise SWOT pode ajudar a identificar fraquezas internas e ameaças externas.
Medição e avaliação de riscos
No segundo componente da estrutura de gerenciamento de riscos, você criará um perfil para cada um dos riscos identificados. Você pode medir esses riscos de várias maneiras, dependendo da sua organização e setor. Por exemplo, inteligencia competitiva pode ajudá-lo a avaliar os riscos associados a operadores concorrentes. Como alternativa, uma estrutura de gerenciamento de risco de terceiros pode medir quanto dinheiro pode ser perdido, enquanto uma estrutura de risco de segurança cibernética pode medir o custo de oportunidade de substituir o sistema de segurança atual em comparação com sua melhoria.
Depois de concluir os perfis de risco, classifique-os da menor para a maior ameaça. Lembre-se de que os riscos mudam à medida que uma organização e seu ambiente operacional evoluem, então você provavelmente precisará repetir esta etapa periodicamente.
Mitigação de riscos
Com uma lista classificada de perfis de risco, sua organização pode considerar como mitigar os maiores riscos e aprender a tolerar os de classificação inferior. Por exemplo, uma organização que cria uma estrutura de gerenciamento de riscos da cadeia de suprimentos se concentraria em mitigar quaisquer riscos potenciais com seu maior fornecedor, mesmo que exija dedicar menos tempo a seus outros fornecedores.
Relatórios e monitoramento de riscos
O quarto componente do RMF exige relatórios regulares sobre medidas de risco. Este componente permite que sua organização mantenha um nível ideal de risco e garanta que as estratégias de mitigação consideradas no terceiro componente ainda sejam valiosas e eficazes.
Governança de risco
O último componente da estrutura de gerenciamento de riscos é o processo de governança. Em outras palavras, as organizações precisam criar um sistema formal que os funcionários usem constantemente para garantir que os riscos sejam gerenciados adequadamente.
O que é o NIST Risk Management Framework?
A Estrutura de gerenciamento de risco (RMF) foi originalmente criado pelos militares dos Estados Unidos para garantir que os sistemas de informações confidenciais do governo federal fossem seguros e mantidos com segurança. Atualmente, o Instituto Nacional de Padrões e Tecnologia (NIST) é responsável pela Estrutura de Gestão de Riscos. O NIST atualiza a estrutura para acompanhar o progresso tecnológico e a crescente complexidade do mundo moderno.
Embora o RMF tenha sido inicialmente criado para o governo federal lidar com sistemas de tecnologia da informação, é uma ferramenta útil que pode ser aplicada a diferentes tipos de risco para organizações do setor privado. Então, como funciona o RMF?
A estrutura de gerenciamento de riscos do NIST é composta de sete etapas. Essas etapas criam um sistema institucional funcional que pode mitigar com eficiência os riscos para uma organização. Vamos passar por cada um deles.
Quais são as 7 etapas da Estrutura de Gerenciamento de Riscos?
- Preparar
- Categorizar
- Selecionar
- Executar
- Avaliar
- Autorizar
- Monitore
Preparar
PREPARAÇÃO está no centro da rede interconectada que compõe a estrutura de gerenciamento de riscos. Esta etapa prepara sua organização para adotar uma estratégia formal, identificando riscos, estabelecendo tolerância a riscos e atribuindo funções ao pessoal.
Embora a preparação seja o primeiro passo, você pode repeti-la em todas as etapas do processo. Se algo mudar ou você perceber que suas suposições estavam incorretas, pode ser útil voltar ao brainstorming.
Você pode usar o componente Identificação para definir os possíveis riscos, ameaças e vulnerabilidades e começar a formalizar essas ideias em uma estratégia de gerenciamento de riscos.
Categorizar
Categorização é semelhante aos componentes de medição e monitoramento e de mitigação, mas é mais formal do que simplesmente listar os diferentes riscos. Nesta etapa, você classificará formalmente os riscos do menor para o maior e do menos para o mais importante. Essa estrutura é então usada para criar políticas para minimizar o risco para a organização.
Selecionar
Nesta etapa do processo, você selecionar as soluções ou políticas necessárias para prevenir ou minimizar os riscos previamente identificados. Essas soluções serão diferentes de uma organização para outra. Uma estrutura de gerenciamento de riscos corporativos pode apresentar soluções para evitar o roubo de propriedade intelectual, enquanto uma estrutura de gerenciamento de riscos de segurança cibernética fornecerá medidas para fortalecer um firewall de rede.
Executar
O próximo passo é executar as soluções que você selecionou. Esta é a parte da estrutura de gerenciamento de riscos em que você transforma seus pensamentos em ações. Certifique-se de documentar o processo e os procedimentos para que as soluções selecionadas se tornem políticas organizacionais formais.
Avaliar
Nesta fase da estrutura de gerenciamento de riscos, você avaliar a implementação de suas soluções de gerenciamento de riscos. O objetivo desta etapa é verificar se as soluções foram executadas corretamente e, mais importante, se geraram os resultados desejados. Caso contrário, você precisará abordar quaisquer pontos fracos nos controles de risco.
Autorizar
No autorização Nesta etapa, você dará a um executivo ou membro sênior de uma organização uma visão geral do plano e avaliações para receber sua aprovação formal de que o sistema está funcionando conforme o esperado. Além disso, os membros seniores devem verificar se a estrutura de gerenciamento de riscos está alinhada com as leis e políticas organizacionais.
Monitore
A última etapa da estrutura de gerenciamento de riscos pode, como a etapa de preparação, ocorrer a qualquer momento. Sua organização deve continuamente monitor os sistemas estabelecidos para garantir que eles ainda sejam relevantes, eficazes e funcionem como pretendido. Caso surjam dúvidas ou novas considerações, os responsáveis pela manutenção da estrutura de gestão de riscos devem voltar à etapa de preparação.
Como podemos usar o NIST RMF para Enterprise Risk Management?
O NIST Risk Management Framework é uma ótima ferramenta para gerenciamento de riscos corporativos (ERM), uma vez que o ERM lida com a mitigação de riscos em nível organizacional. O ERM também pode ser uma etapa vital na planejamento estratégico pois quaisquer decisões tomadas devem considerar as necessidades de toda a empresa e não apenas segmentos individuais da organização. O NIST RMF garante que toda a organização seja considerada e fornece um modelo para a criação de políticas e regulamentos em nível institucional.
O uso do componente Identificação durante a etapa de preparação permite que sua organização se concentre nos riscos internos e externos. Um risco interno pode ser um sistema de informação desatualizado que afeta apenas um departamento. Um risco externo é um problema geral que pode afetar a organização como um todo, bem como as diversas estruturas internas dos departamentos.
Acresce que, a nível externo, os riscos podem aplicar-se aos vários segmentos de negócio de diferentes formas. Por exemplo, uma mudança na demografia cria riscos diferentes para o departamento de vendas e marketing e para o departamento financeiro. Da mesma forma, adicionando Pesquisa da Indústria ao componente de identificação da estrutura de risco do NIST torna o Análise de risco mais efetivo. Quanto mais informações você tiver, melhores decisões poderá tomar. Se os fatores demográficos ou econômicos mudarem, a aplicação de uma pesquisa aprofundada do setor ajudará a conectar os fatos imediatos com as tendências gerais do setor.
Como o RMF pode ser usado para gerenciamento de riscos de terceiros?
A Gestão de Riscos de Terceiros (TPRM) busca reduzir o risco relacionado a partes externas, como vendedores, fornecedores e contratados. O escopo completo do NIST RMF pode ajudar a minimizar esse tipo de risco. Muitos fatores estão fora do controle de sua organização ao lidar com terceiros, portanto, controlar aqueles que você pode é vital. É aqui que uma estrutura abrangente de gerenciamento de riscos de terceiros é fundamental.
Se a sua organização depende profundamente de um fornecedor, você enfrenta grandes riscos se ele não puder cumprir. Estar vigilante com os componentes de mitigação, relatórios e monitoramento é essencial, pois sua organização precisa estar pronta para qualquer mudança inesperada para reduzir o risco de terceiros.
A estrutura de gerenciamento de riscos do NIST é útil para criar e sustentar políticas organizacionais de gerenciamento de riscos. Os processos organizacionais formalizados e tornados rotineiros reduzem a incerteza, o que é muito útil no TPRM.
Como o RMF se aplica ao gerenciamento de riscos de segurança cibernética?
À medida que mais instituições assumem operações no mundo digital, as organizações têm uma necessidade cada vez maior de segurança cibernética. Organizações de todos os tamanhos, desde a mercearia da esquina até uma empresa da Fortune 500, exigem uma estrutura robusta de gerenciamento de riscos de segurança cibernética.
Existem muitos tipos de riscos de segurança cibernética e podem variar de uma organização para outra. A falha do sistema é um risco importante e que se aplica a todos os tipos de organizações. Estar vigilante e realizar verificações consistentes reduz a probabilidade de falha do sistema. O NIST RMF é uma ótima ferramenta para mitigar o risco de falha em todo o sistema de redes de informação.
Considerações finais
Você não pode tornar suas operações isentas de riscos, mas há uma boa notícia: sua organização pode fazer muito para minimizar os riscos. Uma estrutura robusta de gerenciamento de riscos, como o NIST RMF, é flexível e coesa e é uma ferramenta útil para organizações de todos os tipos e tamanhos.
Retirado de IBISWorld
Isenção de responsabilidade: as informações apresentadas acima são fornecidas pelo IBISWorld independentemente do Alibaba.com. Alibaba.com não faz nenhuma representação e garantia quanto à qualidade e confiabilidade do vendedor e dos produtos.
