Capítulo 11 — Fundamentos da governança de segurança

Capítulo 11 — Fundamentos da governança de segurança

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 O que significa governança"]
  N1["11.2 O papel do conselho"]
  N2["11.3 Frameworks"]
  N3["11.4 Apetite a risco"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 O que significa governança"]
  N1["11.2 O papel do conselho"]
  N2["11.3 Frameworks"]
  N3["11.4 Apetite a risco"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[11.1 O que significa governança]
    |
    v
[11.2 O papel do conselho]
    |
    v
[11.3 Frameworks]
    |
    v
[11.4 Apetite a risco]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) explicar o que é a governança de segurança; (2) descrever como os conselhos supervisionam a segurança; (3) relacionar a governança aos frameworks.

11.1 O que significa governança

No segundo ano, Aisha estuda a governança de segurança: como uma organização dirige e supervisiona sua segurança. A governança responde quem decide quanto risco é aceitável, quem presta contas e como os líderes sabem se a segurança está funcionando. O Dr. Carrow distingue a governança da gestão. O conselho define a direção e faz perguntas; os gerentes projetam e operam os controles. Aisha observa que, na Ashfield, o conselho aprova o apetite a risco e recebe relatórios trimestrais de segurança, enquanto o gerente de TI opera os controles do dia a dia e relata o progresso para cima. Ela desenha as duas coisas.

11.2 O papel do conselho

O conselho da Ashfield inclui voluntários eleitos pelos associados, poucos dos quais têm formação técnica. Aisha pondera do que eles precisam: um quadro claro dos principais riscos, se os controles estão funcionando e que decisões exigem a aprovação deles. Ela revisa um relatório sintético ao conselho cheio de contagens técnicas e sugere substituí-lo por cinco declarações de risco, cada uma com uma tendência e um responsável. O Dr. Carrow observa que uma boa governança depende de informações que os líderes consigam entender e usar para agir, e não do volume. O presidente do conselho recebe bem a mudança.

11.3 Frameworks

Aisha estuda o NIST Cybersecurity Framework 2.0, que acrescentou uma função Governar às funções Identificar, Proteger, Detectar, Responder e Recuperar. A função Governar abrange o contexto organizacional, a estratégia de gestão de riscos, os papéis, a política e a supervisão. Ela mapeia os arranjos atuais da Ashfield para esses resultados e descobre que os papéis e a política existem, mas que a gestão de riscos da cadeia de suprimentos é fraca. O Dr. Carrow explica que os frameworks ajudam as organizações a ver as lacunas de forma sistemática, mas que descrevem resultados, em vez de prescrever métodos exatos. Ela apresenta o mapeamento como uma tabela com uma linha por resultado e uma situação simples para cada um.

11.4 Apetite a risco

Uma declaração de apetite a risco diz quanto risco uma organização vai aceitar na busca dos seus objetivos. O conselho da Ashfield declara que aceitará um risco baixo para a confidencialidade dos dados dos associados, mas um risco moderado de breves interrupções do serviço fora do horário comercial. Aisha observa que isso orienta as decisões: gastar para evitar a exposição de dados se justifica mais facilmente do que gastar para eliminar breves interrupções noturnas. Ela aprende que as declarações de apetite transformam valores vagos em orientações práticas que os gerentes podem aplicar. Aisha usa a declaração para explicar duas decisões de gasto passadas ao seu grupo de seminário.

Exemplo resolvido

Aisha separa a governança da gestão, simplifica o relatório ao conselho em cinco declarações de risco, mapeia a Ashfield para os resultados da função Governar do CSF 2.0 e aplica o apetite a risco aos gastos.

Caso sintético. Os arranjos do conselho são sintéticos.

Erros e limites

Os relatórios ao conselho cheios de contagens técnicas raramente apoiam as decisões.

Exercícios

• EX031 — O que o conselho aprova. O que o conselho da Ashfield aprova? Rubrica: 3 = o apetite a risco;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX032 — Lacuna em Governar. Que resultado da função Governar é fraco na Ashfield? Rubrica: 3 = a gestão de riscos da cadeia de suprimentos;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX033 — Efeito do apetite. Que gasto se justifica mais facilmente? Rubrica: 3 = evitar a exposição de dados;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 11 (capítulo 11 de 40)

← Capítulo 10 · Índice das aulas · Capítulo 12 →

Continue para a próxima aula já escrita.