Trabalho de Português

1. O objetivo deste documento é apresentar os critérios para análise de relevância dos serviços de processamento e armazenamento de dados e de computação em nuvem, utilizados pela Confederação e demais entidades do Sicoob que aderiram à Política Institucional de Segurança Cibernética. Este documento complementa as determinações estabelecidas no Manual de Instruções Gerais – Terceirização de Serviço.

2. Avaliação de relevância dos serviços: a avaliação de relevância de serviço de processamento e armazenamento de dados e de computação em nuvem é realizada nas 5 (cinco) fases listadas a seguir:

2.1 1ª fase – Avaliação se o serviço impacta na continuidade de negócio crítico

a) os processos de negócio críticos são aqueles identificados conforme as diretrizes e a metodologia descritas no Manual de Instruções Gerais (MIG) – GCN, disponível na intranet do Sicoob;

b) uma das seguintes opções deve ser selecionada:

Serviço pode gerar algum impacto na execução de algum processo de negócio crítico?

Não (0) serviço de terceiro não impacta na execução de algum processo de negócio crítico.

Sim (1) serviço de terceiro impacta na execução de algum processo de negócio crítico.

c) exemplos de avaliação de impacto na continuidade de processo de negócio crítico:

c.1) suponhamos que os seguintes processos/recursos são considerados críticos para o Sicoob Confederação e Bancoob: SSPB, Caixa, Cartão (crédito/débito), a Compensação, os Convênios, Canais Digitais, as Operações de crédito, a Captação Remunerada, a Tesouraria e Gestão de Recurso de Terceiros. Considerando essa lista de processos de negócio críticos, apresentamos a seguir alguns exemplos de como classificar o serviço terceirizado em relação a esse critério de análise.

Descrição do serviço Serviço pode gerar algum impacto na execução de algum processo de negócio crítico? Justificativa

Plataforma de avaliação de desempenho de profissionais. não não gera impacto na continuidade dos serviços estabelecidos no MIG – GCN.

Serviço de VAN (Value Added Network) bancária. sim gera impacto no serviço de convênios, considerado serviço de negócio crítico.

Serviço de videoconferência. não não gera impacto na continuidade dos serviços estabelecidos no MIG – GCN.

Plataforma de criação de peças de marketing não não gera impacto na continuidade dos serviços estabelecidos no MIG – GCN.

2.2 2ª fase – Avaliar o nível de impacto no negócio (em termos de continuidade)

a) processos de negócio, críticos ou não críticos, podem ser impactados no que diz respeito à continuidade de formas diferentes em caso de parada do serviço de terceiro. Um serviço de terceiro interrompido que gera um atraso na entrega de material de limpeza, por exemplo, provavelmente é menos relevante do que um serviço que gera um atraso no pagamento aos cooperados. Nessa fase, a avaliação de impacto considera todos os processos da organização e não apenas aqueles considerados críticos;

b) deve ser selecionada uma das seguintes opções:

Impacto nos processos de negócio em caso de parada do serviço terceirizado

Nenhum (0) Em caso de parada de serviço do terceiro, nenhum processo de negócio da entidade ou processo interno é interrompido.

Baixo (1) Em caso de parada de serviço do terceiro, os processos de negócio da entidade não são interrompidos, ainda que algum processo interno seja.

Médio (2) Em caso de parada de serviço do terceiro, os processos de negócio da entidade são afetados até que o serviço do terceiro seja restabelecido, mas não são interrompidos.

Alto (3) Em caso de parada de serviço do terceiro, os processos de negócio da entidade são interrompidos até que o serviço seja restabelecido.

c) exemplos de avaliação de impacto no negócio em caso de interrupção de serviço terceirizado

c.1) abaixo são apresentados alguns exemplos de como classificar o serviço terceirizado em relação ao critério de impacto no negócio

Descrição do serviço Impacto na execução de algum processo de negócio Justificativa

Plataforma de avaliação de desempenho de profissionais. baixo o processo interno de seleção de candidatos é afetado, mas isso não gera impacto em processos de negócio.

Serviço de VAN (Value Added Network) bancária. médio o pagamento de alguns convênios poderá ser afetado até que o serviço terceirizado seja restabelecido, mas o processo de negócio como um todo não é interrompido.

Serviço de videoconferência. baixo o processo de comunicação a distância será afetado, mas não há prejuízo aos processos de negócio da organização.

Plataforma de criação de peças de marketing nenhum em caso de parada de serviço do terceiro, nenhum processo de negócio ou processo interno é afetado, considerando que a área de marketing tem outros meios para criação de peças de marketing.

2.3 3ª fase – Avaliar o impacto financeiro da interrupção do serviço de terceiro e do vazamento ou mau uso de informações tratadas pelo serviço de terceiro

a) para avaliação desse critério de impacto de negócio devemos considerar o valor financeiro que a entidade deixa de ganhar ou perde caso o serviço de terceiro seja interrompido ou ocorra vazamento ou mau uso das informações;

b) deverá ser selecionada uma das seguintes opções:

Impacto financeiro em caso de parada do serviço terceirizado.

Nenhum – 0 em caso de parada do serviço de terceiro, a entidade deixa de ganhar ou perde valor menor do que a faixa de valores classificada como insignificante na Matriz de avaliação de riscos operacionais da entidade.

Baixo – 1 em caso de parada do serviço de terceiro, a entidade deixa de ganhar ou perde valor menor do que a faixa de valores classificada como menor na Matriz de avaliação de riscos operacionais da entidade.

Médio - 2 em caso de parada do serviço de terceiro, a entidade deixa de ganhar ou perde valor menor do que a faixa de valores classificada como moderada na Matriz de avaliação de riscos