CRISC Certified in Risk and Information Systems Control.

O que o CRISC certifica

O CRISC é a credencial da ISACA para profissionais que assumem o risco de TI e dos sistemas de informação, em vez de o auditar a posteriori. Valida que o titular consegue conduzir o ciclo de vida completo do risco sobre os ativos tecnológicos: identificar a exposição, avaliar a probabilidade e o impacto, conceber e recomendar uma resposta e monitorizar a posição residual ao longo do tempo. O traço distintivo do CRISC é a camada de tradução. Espera-se que o titular exprima uma vulnerabilidade de base de dados ou uma má configuração na nuvem nos termos que o registo de riscos do negócio e o conselho de administração realmente utilizam, de modo que o risco de TI se torne uma entrada do risco empresarial, e não uma conversa paralela numa linguagem distinta.

Onde muitas certificações técnicas param nos controlos, o CRISC apresenta os controlos como a consequência de uma decisão de risco. Espera-se que o titular parta do cenário de risco, do apetite e da tolerância definidos pela organização e do custo do tratamento, e depois justifique por que existe um determinado controlo e o que deixa por tratar. Esse fio risco-resposta-controlo é a espinha dorsal da credencial e a razão pela qual se situa a par do trabalho de governança, e não da segurança puramente operacional.

Onde o CRISC se enquadra entre as credenciais vizinhas

O CRISC é mais frequentemente interpretado como o passo natural seguinte para um titular de CISA. O CISA prova que sabe auditar sistemas de informação e julgar se os controlos estão concebidos e a operar de forma eficaz; o CRISC prova que sabe assumir o risco a que esses controlos respondem e decidir o que fazer a respeito. Os auditores que passam de emitir constatações a definir a estratégia de risco usam o CRISC para tornar essa mudança legível para os empregadores. Ambos partilham o vocabulário e o enquadramento de governança da ISACA, razão pela qual são habitualmente associados.

Para os profissionais formados em ISO, o CRISC acrescenta o dialeto da ISACA a uma metodologia que já aplicam. Quem domina ISO 27005 ou ISO 31000 já realiza a identificação, a análise, a avaliação, o tratamento e a aceitação. O CRISC não substitui esse processo; dá à mesma pessoa os termos da ISACA, o enquadramento do risco de TI empresarial e uma credencial reconhecida por empregadores que se padronizam na ISACA em vez de na ISO. As metodologias são compatíveis, e possuir ambas sinaliza que sabe transitar entre os dois mundos de referência.

O que os titulares de CRISC realmente fazem

Na prática, um titular de CRISC trabalha perto do ponto onde se encontram o risco tecnológico e a tomada de decisão do negócio. As tarefas recorrentes incluem as seguintes.

• Construir e manter cenários de risco de TI e um registo de riscos que a função de risco empresarial mais ampla possa aproveitar.
• Avaliar a probabilidade e o impacto e, em seguida, confrontar o resultado com o apetite e a tolerância declarados pela organização.
• Recomendar uma resposta (aceitar, mitigar, transferir ou evitar) e justificar a escolha com base no custo e no risco residual, e não numa mera preferência técnica.
• Conceber ou especificar os controlos dos sistemas de informação que implementam uma resposta escolhida e definir os indicadores que mostram se eles se sustentam.
• Monitorizar os indicadores-chave de risco e reportar a posição residual aos fóruns de governança em termos de negócio.

O fio que percorre tudo isto é a responsabilidade e a comunicação. O CRISC tem menos a ver com descobrir uma nova vulnerabilidade e mais com decidir o que a organização deveria fazer, garantir que alguém é responsável por essa decisão e provar ao longo do tempo que o risco residual permaneceu dentro do limite acordado.