Conhecimento
Para a aplicação adequada desta metodologia, é necessário ter conhecimento prévio em:
- Infraestrutura de TI: compreensão sobre hardware, redes, data centers e sistemas de comunicação.
- Segurança da Informação: práticas e normas de segurança, incluindo compliance e gestão de riscos.
- Arquitetura de Software: entendimento sobre desenvolvimento, manutenção e integração de sistemas e aplicações.
- Governança de TI: políticas, processos e frameworks como ITIL, COBIT, entre outros.
- Regulamentações e Compliance: normas relevantes como GDPR, LGPD, SOX, HIPAA, etc.
Estrutura (Especialidades)
As principais competências e papéis necessários para a condução da metodologia incluem:
Do lado da EximiaCo:
- Consultor de Tecnologia: especialista em avaliação de infraestrutura de TI.
- Analista de Segurança da Informação: responsável por identificar vulnerabilidades e riscos.
- Engenheiro de Software: avalia a qualidade e integridade dos sistemas e aplicativos.
- Especialista em Governança de TI: garante que todas as práticas estejam alinhadas com as melhores normas e frameworks.
- Consultor de Compliance: assegura a conformidade com regulamentações legais.
- Project Manager: encarregado da organização e comunicação corporativa da iniciativa.
Do lado do cliente:
- Gestor de TI: fornece acesso e informações sobre a infraestrutura tecnológica.
- Responsável de Segurança: colabora com a equipe na identificação de riscos de segurança.
- Equipes de Desenvolvimento e Manutenção: oferecem insights sobre o estado dos softwares e aplicações.
- Equipe Jurídica: auxilia na verificação de conformidade com regulamentações.
Recursos necessários:
- Documentação Completa de TI: inventários de hardware, software, políticas de segurança, e relatórios de auditoria.
- Acesso aos Sistemas e Infraestrutura: para avaliação e testes.
- Colaboração de Equipes Internas: disponibilidade das equipes de TI, segurança e compliance.
Método
1. Formação de um Enabling Team
Se aplicável, para desenvolvimento de capability digital no cliente.
2. Planejamento e Coleta de Dados
a. Reunião inicial para alinhamento de objetivos e escopo.
b. Coleta de documentação e inventários de TI. – CODE Framework
c. Entrevistas com stakeholders chave.
3. Avaliação da Infraestrutura de TI
a. Inspeção física dos data centers e hardware.
b. Análise de topologia de rede e conectividade.
c. Verificação de sistemas de backup e recuperação.
4. Análise de Segurança da Informação
a. Revisão de políticas e procedimentos de segurança.
b. Testes de vulnerabilidade e penetração.
c. Avaliação de compliance com normas de segurança.
5. Avaliação de Software e Aplicações
a. Revisão de código e arquitetura dos sistemas.
b. Testes de performance e escalabilidade.
c. Verificação de licenciamento e propriedade intelectual.
6. Avaliação de Governança e Compliance
a. Revisão de políticas de governança de TI.
b. Verificação de aderência a frameworks como ITIL e COBIT.
c. Avaliação de conformidade com regulamentações relevantes.
7. Análise Crítica e Comunicação – CODE Framework
a. Consolidação dos achados e análise crítica.
b. Desenvolvimento de recomendações e plano de ação.
c. Apresentação dos resultados ao cliente.
Esforço e Duração Estimados
O esforço e a duração dos trabalhos variam conforme o tamanho e a complexidade dos ativos tecnológicos, geralmente entre 4 a 8 semanas.
Indicadores
Os principais indicadores para monitorar o progresso da metodologia incluem:
- Percentual de Inventário Coletado: quantidade de ativos documentados.
- Número de Vulnerabilidades Identificadas: em sistemas e infraestrutura.
- Conformidade com Normas: percentual de compliance atingido.
- Qualidade dos Sistemas: medido através de testes de performance e código.
- Aderência a Governança: nível de implementação de frameworks e políticas de TI.
Governança
A governança da metodologia será mantida através de:
- Reuniões Semanais de Progresso: para acompanhamento e ajustes no plano de ação.
- Relatórios Quinzenais: detalhando os achados e ações tomadas.
- Comitê de Auditoria: composto por membros da EximiaCo e do cliente para validação dos resultados.
Conclusão e Fase-out
Os principais entregáveis da consultoria incluem:
- Relatório de Due Diligence: documento detalhado com todas as análises e achados.
- Plano de Ação: recomendações e ações propostas para mitigar riscos e melhorar a eficiência dos ativos tecnológicos.
- Apresentação Executiva: sumário das principais conclusões e recomendações para a alta gestão.
- Workshop de Encerramento: sessão para discussão dos resultados e próximos passos.
