Search

Dissertação de mestrado integrado em Engenharia e Gestão Industrial, Nos dias de hoje, para que haja um bom desempenho das organizações, é essencial o acesso constante aos sistemas de informação. Com o risco de interrupção de negócio a ganhar cada vez mais importância, é aconselhado às organizações a implementação de planos de continuidade de negócio, de forma a dar respostas a falhas como pandemias, incêndios, ruturas da cadeia de abastecimento, ou mesmo inundações. O presente projeto de dissertação foi realizado com o objetivo geral de apoiar o desenvolvimento da análise de impacto no negócio, de modo a dar início às duas primeiras atividades que representam os alicerces do processo de continuidade de negócio: a avaliação de risco e a análise de impacto. A metodologia de investigação utilizada para a elaboração do projeto foi a Investigação-Ação. Deste modo, a investigação iniciou-se com uma revisão bibliográfica, abrangendo os conceitos de gestão de risco, continuidade de negócio e, mais especificamente, análise de impacto. Após selecionar a logística da organização como âmbito do projeto, iniciou-se a realização da avaliação de risco. Nesta fase, foi selecionado o cenário mais importante a ter em conta para o âmbito em questão, sendo ele o worst-case scenario (pior cenário possível), de forma a ser considerado ao longo do desenvolvimento da análise de impacto. De seguida, através da aplicação da metodologia de análise de impacto, foi possível mapear os principais processos, identificando 76 processos críticos e 75 processos de criticidade elevada. Concluiu-se também que existem 22 sistemas de informação considerados de criticidade elevada ou crítica. Destes, identificou-se para a maioria dos sistemas um tempo de recuperação máximo de 1 dia (isto significa que no máximo só podem perder-se dados das 24 horas anteriores), assim como um tempo máximo de indisponibilidade de 1 dia (o sistema tem de estar disponível novamente no prazo máximo de 24 horas). Através da metodologia de análise de impacto, foi possível fazer um levantamento exaustivo da informação, para que posteriormente sejam identificadas estratégias de continuidade adequadas para cada sistema e processo identificados e, assim, espoletar na empresa a continuidade de negócio., Nowadays, constant access to information systems is essential for organizations to perform well. With the risk of business interruption becoming increasingly important, organizations are advised to implement business continuity plans, to respond to failures such as pandemics, fires, supply chain disruptions, or even floods. This dissertation project was carried out with the general objective of supporting the development of Business Impact Analysis in order to initiate the first two activities that represent the foundations of the business continuity process: risk assessment and business impact analysis. The research methodology used to develop the project was Action Research. Thus, the research began with a bibliographic review, covering the concepts of risk management, business continuity and, more specifically, business impact analysis. After selecting the organization's logistics as the scope of the project, the risk assessment began. In this phase, the most important scenario to consider for the business was selected, which was the worst-case scenario, to be taken into consideration throughout the development of the business impact analysis. By applying the impact analysis methodology, it was possible to map the main processes, identifying 76 critical processes and 75 highly critical processes. It was also concluded that there are 22 information systems considered of high or critical criticality. For most systems, there is a maximum recovery time of 1 day (which means that, only data from the previous 24 hours can be lost), as well as a maximum unavailability time of 1 day (the system must be available again within 24 hours). Through the business impact analysis methodology, it was possible to make an exhaustive survey of the information, so that appropriate continuity strategies can then be identified for each system and process mapped, and thus trigger business continuity in the company.

Tese de mestrado, Segurança Informática, Universidade de Lisboa, Faculdade de Ciências, 2020 Submitted by Teresa Boa (tdboa@fc.ul.pt) on 2021-06-04T10:52:01Z No. of bitstreams: 1 ulfc126374_tm_Miguel_Chaves.pdf: 1845241 bytes, checksum: c7bbc5913d8d4fc4877c31e7db7cf23f (MD5) Made available in DSpace on 2021-06-04T10:52:17Z (GMT). No. of bitstreams: 1 ulfc126374_tm_Miguel_Chaves.pdf: 1845241 bytes, checksum: c7bbc5913d8d4fc4877c31e7db7cf23f (MD5) Previous issue date: 2020

As organizações portuguesas que detêm programa informático de faturação, certificado ou em fase de certificação pela Autoridade Tributária e Aduaneira, necessitam cumprir requisitos técnicos que envolvem a continuidade de negócio e a recuperação em caso de desastre. Existem alguns constrangimentos na implementação desses requisitos, por questões técnicas, por interpretação da legislação fiscal, pela seleção dos normativos ou boas práticas, na área das Tecnologias de Informação e Comunicação. O objetivo do trabalho, consiste na apresentação de um conjunto de preocupações subjacentes à conceção do Plano de Continuidade de Negócio, suportado na revisão da literatura, da legislação fiscal, dos normativos e códigos de boas práticas. É ainda objeto do trabalho a caraterização das organizações portuguesas, dos departamentos e profissionais de Tecnologias de Informação e Comunicação. Apresenta-se, face aos constrangimentos da capacidade empresarial portuguesa, um guia para a conceção do Plano de Continuidade de Negócio, configurando uma solução mínima, que satisfaça os requisitos legais, normativos, de boas práticas e conceptuais na área das Tecnologias de Informação e Comunicação. A metodologia aplicada neste trabalho assentou na estratégia investigação-ação e integrou a análise de standards ITIL, ISO/IEC, CMMI, COBIT e o enquadramento legal português no domínio da faturação. Resultou num progressivo entendimento do problema, integrando diversas considerações e soluções para a elaboração do guia proposto. As principais conclusões centram-se nos constrangimentos subjacentes à atividade de criação de um Plano de Continuidade de Negócio. Nesse sentido, foi criado um guia de apoio à conceção de Plano de Continuidade de Negócio com o objetivo de fomentar a sua conceção nas Organizações Portuguesas, potenciando a diminuição do gap entre as práticas atualmente instituídas e os requisitos subjacentes à certificação de programas informáticos de faturação. Considera-se que as mais valias do guia enfatizam, na apresentação da informação relevante à implementação dos requisitos definidos, à sua fundamentação perante a legislação, normativos e boas práticas e na disponibilização de uma ferramenta que permite identificar uma proposta de solução para estruturar a continuidade de negócio e a recuperação em caso de desastre numa organização portuguesa. The Portuguese Organizations that hold invoicing software, certified or in the process of certification by the Tax and Customs Authority, need to comply with technical requirements that involve business continuity and disaster recovery. There are some constraints in the implementation of these requirements, due to technical issues, interpretation of tax legislation, selection of regulations or best practices in the area of Information and Communication Technologies. The objective of this document is to present a set of concerns underlying the design of the Business Continuity Plan, supported by the literature review, current tax legislation, codes and codes of best practices. It is also an objective the characterization of the Portuguese Organizations, departments and professionals of Information and Communication Technologies. Presents a guide for the design of the Business Continuity Plan, in the face of the constraints of Portuguese business capacity, setting up a minimum solution that satisfies the legal, regulatory, best practices and conceptual requirements in the area of Information and Communication Technologies. The methodology applied in this work was based on the research-action strategy and integrated the analysis of standards ITIL, ISO/IEC, CMMI, COBIT and the Portuguese legal framework in the field of invoicing. It resulted in a progressive problem understanding, integrating diverse considerations and solutions for the elaboration of the proposed guide. The main conclusions focus on the constraints underlying the activity of creating a Business Continuity Plan. With this in mind, a guide was created to support the design of a Business Continuity Plan with the objective of fostering its design in Portuguese Organizations, boosting the decrease of the gap between the practices currently in place and the requirements underlying the certification of invoicing software. It is considered that the advantages of the guide are focused on the presentation of relevant information to the implementation of the defined requirements, its legislation, regulations and best practices grounds and the provision of a tool that allows identifying a proposed solution to structure the continuity of business and disaster recovery in a Portuguese Organization.

Os sistemas de informação são cada vez mais um recurso primordial nas organizações e a sua gestão correcta afigura-se fundamental a nível estratégico, táctico e operacional, traduzindo-se em vantagens competitivas e podendo-se tornar num factor decisivo para o sucesso das organizações. A existência de sistemas de informação, tal como qualquer outro sistema sócio-técnico, encerra um conjunto de vulnerabilidades. Estas vulnerabilidades definem a intensidade do grau de exposição da organização face a diversas ameaças. Qualquer incidente, por mais pequeno que seja, pode provocar um impacto negativo e ter consequências imprevisíveis sobre o normal funcionamento das organizações. Torna-se, assim, fundamental assegurar a continuidade do negócio, através da implementação de planos de resposta a incidentes. A adopção destes planos pressupõe um estudo criterioso às ameaças sobre o negócio. Deste estudo resultam geralmente múltiplas estratégias de recuperação de desastre que a organização pode adoptar. Normalmente, estas estratégias traduzem diferentes tempos de recuperação, âmbitos de cobertura e estruturas de custo. Face às diferentes alternativas, os responsáveis organizacionais terão que proceder a uma selecção da estratégia ou combinação de estratégias que entendam oferecer o melhor compromisso entre eficácia e eficiência. A selecção da estratégia configura, assim, um processo de tomada de decisão. Pretende-se com este trabalho caracterizar o processo de tomada de decisão sobre estratégias de recuperação de desastre em tecnologias e sistemas de informação mediante a identificação dos principais critérios a ter em conta na decisão e na caracterização da forma como diferentes critérios se relacionam entre si., Information systems are becoming increasingly important tools for organizations. The appropriate management of these tools is fundamental, strategic, tactical and operation-wise, translating into competitive advantages which could be significant for the success of organizations. Just like with any other social-technical systems, the existence of information systems brings forth a set of vulnerabilities. These vulnerabilities define the intensity of the organization's exposure when facing several threats. When it comes to an organization's regular work flow, any incident, even small ones, may have a negative impact as well as unpredictable consequences. This means that the implementation of incident response plans is fundamental in order to assure business continuity. Business threats have to be carefully studied before adopting such plans. The organization can choose from multiple disasters recovery strategies that emerge as a result of these studies. Usually these strategies reveal different recovery times, coverage and costs. When presented with different alternatives, the individuals responsible for the organization have to embark on the decision making process of selecting the strategy, or combination of strategies, that they think offers the best trade off in terms of efficiency and effectiveness. This study intends to analyze the decision making process of disaster recovery in information technologies and systems, through the identification of the criteria that must be taken into account as well as the way these criteria relate to each other.