A framework for risk assessment based on analysis of historical information of workflow execution in IT systems

Abstract

Produtos e serviços oferecidos pelas organizações modernas são geralmente projetados, implantados e mantidos por meio de infraestruturas de Tecnologia da Informação (TI) de grande escala. Além de obter o melhor desempenho dos produtos e serviços oferecidos, é essencial que essas organizações façam uso de práticas adequadas para o gerenciamento dos recursos que compõem as tais infraestruturas. Para esse m, foram propostos recentemente alguns padrões e bibliotecas de melhores práticas para o gerenciamento de infraestruturas e serviços de TI. Entre as mais amplamente aceitas, tanto da academia quanto na indústria, vale destacar o Information Technology Infrastructure Library (ITIL). Um ponto comum na maioria desses padrões e bibliotecas é a preocupação explícita com os riscos relacionados as atividades de TI. Lidar proativamente com eventos adversos e favoráveis que possam surgir durante as operações cotidianas pode evitar, por exemplo: atrasos na a implantação de serviços, extrapolação no custo de atividades, falhas previsíveis nos recursos manipulados, e consequentemente, desperdício de dinheiro. Apesar da sua importância, o gerenciamento de riscos em ambientes de TI, na prática, geralmente sofre pela falta de automação e padronização. Habitualmente, tal gerenciamento é realizado pelos participantes das atividades em entrevistas e brainstorms, o que geralmente acaba consumindo tempo/recursos de forma excessiva e sendo muito impreciso para guiar a tomada de decisão. Portanto, nesta dissertação, um framework para dar suporte a automação de algumas fases cruciais do gerenciamento de riscos é proposto com o objetivo de tornar tal gerenciamento mais simples, rápido e preciso. O framework proposto é direcionado para sistemas de gerenciamento baseados em work flow. A ideia básica é aprender a partir de problemas relatados em work flows executados no passado, além de estimar os riscos para execuções futuras. Além disso, são propostos relatórios de risco compreensivos e interativos com o objetivo de facilitar a análise dos mesmos pelos humanos envolvidos. O framework proposto teve sua aplicabilidade avaliada em dois estudos de caso em áreas relacionadas à TI, a saber: Gerenciamento de Mudanças e Gerenciamento de Projetos de TI. Os resultados demonstram como o framework pode ser útil não apenas para acelerar o processo de estimativa de riscos, mas também para auxiliar a tomada de decisão dos gerentes de projetos e operadores de TI, ao organizar as informações relacionadas aos riscos de forma detalhada e ao mesmo tempo compreensiva. Além disso, a abordagem modular empregada na concepção do framework proposto permite que este seja genérico o su ciente para ser utilizado em diferentes contextos (mudanças e projetos) e, ainda assim, personalizável para se adaptar às exigências mais específicas de cada contexto.

Products and services provided by modern organizations are usually designed, deployed, and supported by large-scale Information Technology (IT) infrastructures. In order to obtain the best performance out of provided products and services, it is essential that these organizations enforce rational practices for the management of resources that compose their infrastructures. For this purpose, in recent years a few standards and libraries of best practices for IT infrastructures and services management have been proposed. Among the most widely accepted proposals, in both academy and industry, is worth mentioning the Information Technology Infrastructure Library (ITIL). A common point in most of those standards and libraries is the explicit concern with the risks related to IT activities. Proactively dealing with adverse and favorable events that may arise during everyday operations might prevent, for example: delay on deployment of services, cost overrun in activities, predictable failures of handled resources, and, consequently waste of money. Although important, risk management in practice usually lacks in automation and standardization in IT environments. Generally, it is performed by stakeholders in interviews and brainstorms, which may be a very time/resource-consuming task and sometimes too imprecise to guide risk related decisions. Therefore, in this dissertation, a framework to support the automation of some key phases of risk management is proposed, aiming to make it simpler, faster, and more accurate. The proposed framework is targeted to work ow-based IT management systems. The main approach is to learn from problems reported in the history of previously conducted work ows in order to estimate risks for future executions. Furthermore, comprehensive and interactive risk reports are proposed aiming to ease the analysis of assessed risks by involved humans. The proposed framework had its applicability evaluated in two case studies both in IT related areas, namely: IT Change Management and IT Project Management. The results show how the framework is not only useful to speed up the risk assessment process, but also to assist the decision making of project managers and IT operators by organizing risk detailed information in a comprehensive way. In addition, the modular approach employed in the design of the proposed framework allows it to be generic enough to t in di erent contexts (changes and projects) and still customizable to adapt to more speci c requirements.