OpenCyber AcademyMapa da aula
Aula 19 publicada. Mapa, exemplo, EX055.
flowchart TD
N0["19.1 Definições"]
N1["19.2 Escopo"]
N2["19.3 Teoria"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX055"]
Desenho lógico
flowchart LR
N0["19.1 Definições"]
N1["19.2 Escopo"]
N2["19.3 Teoria"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX055"]
[19.1 Definições]
|
v
[19.2 Escopo]
|
v
[19.3 Teoria]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX055]
Objetivos de aprendizagem
Você vai (1) definir governança, gestão de riscos e compliance; (2) fixar o escopo de um programa de GRC; (3) explicar a teoria central por trás da gestão de riscos.
19.1 Definições
Sofia começa agora as disciplinas de GRC. Governança significa direção e supervisão: quem decide que nível de risco é aceitável e como o desempenho é conferido. Gestão de riscos significa identificar, analisar, avaliar e tratar riscos, processo que a ISO 31000:2018, adotada no Brasil como ABNT NBR ISO 31000:2018, descreve em termos gerais para qualquer organização. Compliance significa cumprir as obrigações vindas de leis, contratos e normas adotadas. Ela aprende que as três se apoiam: a governança dá a direção, a gestão de riscos informa as decisões e o compliance confirma que as obrigações são cumpridas. Na Elmfield, o apetite do conselho dá a direção, o registro informa a diretora e, mais tarde, a declaração de aplicabilidade mostra o compliance.
19.2 Escopo
A Elmfield precisa decidir o que seu programa cobre. Sofia propõe um escopo que inclui todos os funcionários, dispositivos, serviços em nuvem e fornecedores que tratam dados dos inquilinos, além do portal do conselho. Os itens excluídos, como os dispositivos dos próprios inquilinos, são listados com os motivos. A ISO/IEC 27001:2022 exige um escopo definido para o sistema de gestão, e ela aprende que um escopo claro evita tanto lacunas quanto esforço desperdiçado: estreito demais, deixa riscos de fora; amplo demais, não pode ser gerido com os recursos da Elmfield. Ao Dr. Haddad ela explica que a Elmfield não controla os dispositivos dos inquilinos, mas pode limitar o que o portal dos inquilinos expõe.
19.3 Teoria
Sofia lê sobre a teoria do risco. O risco combina a incerteza sobre eventos com suas consequências para os objetivos. As opções de tratamento incluem evitar, reduzir, compartilhar e aceitar o risco. Cox (2008) mostra que matrizes simples podem ordenar mal os riscos, enquanto Hubbard e Seiersen (2016) defendem estimativas quantitativas mesmo com poucos dados. Ela aprende que a teoria adverte tanto contra a falsa precisão quanto contra a falsa simplicidade, e que organizações pequenas devem escolher métodos que consigam aplicar com consistência e explicar ao conselho. Seu laboratório posterior, que compara notas de matriz com perda esperada, testa exatamente essa advertência nos riscos da Elmfield.
Exemplo resolvido
Sofia define as três disciplinas, propõe o escopo da Elmfield com as exclusões e revisa a teoria central do risco e as opções de tratamento.
Caso sintético. O escopo da Elmfield é sintético; a ISO 31000:2018 (ABNT NBR ISO 31000:2018), a ISO/IEC 27001:2022, Cox (2008) e Hubbard e Seiersen (2016) são reais.
Erros e limites
As definições variam conforme a fonte. As decisões de escopo precisam de revisão.
Exercícios
- EX055 — Papéis das disciplinas. Como as três disciplinas se apoiam?
Mostrar critérios de avaliação
Rubrica: 3 = governança dá direção, risco informa decisões, compliance confirma obrigações;; 2 = papéis;; 1 = vago;; 0 = nenhuma. - EX056 — Item excluído. Que item ficou fora do escopo?
Mostrar critérios de avaliação
Rubrica: 3 = os dispositivos dos próprios inquilinos;; 2 = dispositivos dos inquilinos;; 1 = vago;; 0 = nenhuma. - EX057 — Opções de tratamento. Liste as quatro opções de tratamento.
Mostrar critérios de avaliação
Rubrica: 3 = evitar, reduzir, compartilhar, aceitar;; 2 = quatro;; 1 = vago;; 0 = nenhuma.
Síntese
Definições, escopo e teoria claros formam a base de um programa de GRC.