OpenCyber Academy
Graduação · Capítulo 30 · Português
Código do curso: OCA-095Capítulo 30: OCA-095-C030

Capítulo 30 — Avaliação de maturidade

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 30 publicada. Mapa, exemplo, EX088.

flowchart TD
  N0["30.1 Modelos de maturidade"]
  N1["30.2 Reunindo evidências"]
  N2["30.3 Metas"]
  N3["30.4 Repetindo a avaliação"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX088"]

Desenho lógico

flowchart LR
  N0["30.1 Modelos de maturidade"]
  N1["30.2 Reunindo evidências"]
  N2["30.3 Metas"]
  N3["30.4 Repetindo a avaliação"]
  N0 --> N1 --> N2 --> N3 --> Q["EX088"]
[30.1 Modelos de maturidade]
    |
    v
[30.2 Reunindo evidências]
    |
    v
[30.3 Metas]
    |
    v
[30.4 Repetindo a avaliação]
    |
    v
[Exemplo resolvido] --> [Exercício EX088]

Objetivos de aprendizagem

Você vai (1) usar um modelo de maturidade para avaliar a governança; (2) reunir evidências para as notas; (3) definir metas de melhoria realistas.

30.1 Modelos de maturidade

Os modelos de maturidade descrevem estágios de capacidade, do improvisado ao gerenciado e ao otimizado. Amara usa um modelo simples de cinco níveis aplicado aos domínios de Khatri e Brown. O nível um significa que as práticas dependem de indivíduos; o nível três, que estão documentadas e são aplicadas de forma consistente; o nível cinco, que são medidas e melhoradas continuamente. Ela observa que os modelos de maturidade são úteis para estruturar a conversa e o planejamento, mas os níveis são julgamentos, e não medições precisas, e devem ser apresentados como tal. Amara escreve uma descrição curta de cada nível para cada domínio, com exemplos da Harbourline.

30.2 Reunindo evidências

Amara atribui uma nota a cada domínio com base em evidências: documentos, entrevistas, resultados do painel e registros de problemas. Na qualidade, ela encontra regras documentadas, verificações automatizadas e escalonamento, e atribui o nível três. No ciclo de vida, encontra uma tabela de temporalidade e a eliminação iniciada, mas ainda não rotineira, e atribui o nível dois. Ela registra as evidências de cada nota para que outros possam contestá-la. Notas sem evidência tendem a refletir otimismo ou a opinião de quem foi consultado. Ela compartilha as notas e as evidências com os donos, que contestam duas notas; uma delas é ajustada depois de novas evidências.

30.3 Metas

O grupo de governança pede para chegar ao nível cinco em tudo. Amara explica que os níveis mais altos exigem investimento e podem não compensar para uma cooperativa do porte da Harbourline. Ela sugere metas de nível três em todos os domínios em dois anos, com nível quatro para a qualidade, onde os benefícios são mais claros. O grupo concorda. Ela observa que as metas devem refletir o valor, e que perseguir níveis de maturidade por si mesmos desperdiça recursos. Amara escreve as metas no plano de governança, com ações e donos para cada domínio.

30.4 Repetindo a avaliação

Amara recomenda repetir a avaliação todo ano com a mesma abordagem baseada em evidências, para que o progresso seja comparável. Ela sugere também que alguém de fora da equipe de dados participe, reduzindo o viés. O Dr. Lindqvist acrescenta que as avaliações de maturidade são mais úteis quando levam a ações específicas, e que o plano de ação importa mais do que as notas, que de outro modo podem virar motivo de orgulho ou de constrangimento, e não uma ferramenta de melhoria. O grupo de governança pede ao responsável pela gestão de documentos que participe da próxima avaliação como o participante externo.

Exemplo resolvido

Amara avalia os domínios da Harbourline com um modelo de cinco níveis e evidências registradas, define metas de nível três, com nível quatro para a qualidade, e planeja avaliações anuais com participação externa.

Caso sintético. As notas são sintéticas.

Erros e limites

Mirar a maturidade máxima em tudo desperdiça recursos em organizações pequenas.

Exercícios

Respostas comentadas

EX088. Nível três.

EX089. Nível três em todos os domínios e quatro para a qualidade, em dois anos.

EX090. Incluir alguém de fora da equipe de dados.