Capítulo 20 — Governança, riscos e compliance de segurança: casos fundamentais

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Ler casos"]
  N1["20.2 Lições para a Elmfield"]
  N2["20.3 Causas raiz"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Ler casos"]
  N1["20.2 Lições para a Elmfield"]
  N2["20.3 Causas raiz"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX058"]

[20.1 Ler casos]
    |
    v
[20.2 Lições para a Elmfield]
    |
    v
[20.3 Causas raiz]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) analisar casos de governança publicados; (2) extrair lições para uma organização pequena; (3) distinguir causas raiz de sintomas.

20.1 Ler casos

Sofia estuda lições de governança em relatórios públicos. O GAO-21-105263, um depoimento de 2021 do Government Accountability Office dos Estados Unidos, descreve fraquezas na supervisão federal da segurança de oleodutos depois do ataque de ransomware aos sistemas de negócio da Colonial Pipeline, incluindo avaliações de risco sem informações de cibersegurança e um protocolo de incidentes não atualizado desde 2010. Ela lê esses relatórios em busca de padrões, e não de culpados: informações de risco incompletas, planos de resposta desatualizados e acompanhamento lento das recomendações se repetem. Os relatórios públicos de auditoria são um bom material didático porque se apoiam em evidências, embora seus contextos possam diferir do da Elmfield.

20.2 Lições para a Elmfield

Dos casos, Sofia extrai lições na escala da Elmfield: nomear uma pessoa responsável pelo programa de segurança, escrever uma declaração curta de apetite a riscos aprovada pelo conselho, manter um registro revisado trimestralmente e relatar o progresso ao conselho duas vezes por ano, ritmo adequado a um conselho que se reúne poucas vezes no ano. Ela evita copiar estruturas de grandes organizações que a Elmfield não conseguiria sustentar. Aprende que as boas lições tratam de princípios, como a responsabilização clara, e não de comitês ou ferramentas específicos, que dependem do porte e dos recursos de cada organização.

20.3 Causas raiz

Sofia pratica separar sintomas de causas. Num incidente sintético na Elmfield, a conta de um prestador foi usada depois do fim do contrato. O sintoma era uma conta ativa. A causa raiz era que ninguém respondia pelo desligamento dos prestadores, já que os contratos eram geridos pela equipe de manutenção e as contas pela TI. Ela recomenda atribuir esse papel e ligar a data de fim dos contratos ao vencimento das contas, o que também fecha a lacuna para qualquer prestador futuro. Corrigir as causas evita repetições; corrigir só os sintomas, não. Desativar a conta resolveria o caso, mas não impediria o próximo.

Exemplo resolvido

Sofia lê casos de auditoria pública em busca de padrões, extrai lições proporcionais para a Elmfield e rastreia um incidente com a conta de um prestador até a falta de responsável.

Caso sintético. O incidente da Elmfield é sintético; o GAO-21-105263 é real.

Erros e limites

Os casos de grandes organizações podem não se transferir. A análise de causa raiz pode parar cedo demais.

Exercícios

• EX058 — Fraquezas do GAO. Que duas fraquezas o GAO-21-105263 descreveu?
  Mostrar critérios de avaliação

  Rubrica: 3 = avaliações de risco sem informações de cibersegurança e protocolo de incidentes desatualizado;; 2 = duas;; 1 = vago;; 0 = nenhuma.
• EX059 — Relatos ao conselho. Com que frequência o progresso deve ser relatado ao conselho da Elmfield?
  Mostrar critérios de avaliação

  Rubrica: 3 = duas vezes por ano;; 2 = duas vezes;; 1 = vago;; 0 = nenhuma.
• EX060 — Causa raiz do prestador. Qual foi a causa raiz do incidente com a conta do prestador?
  Mostrar critérios de avaliação

  Rubrica: 3 = ninguém respondia pelo desligamento dos prestadores;; 2 = responsável;; 1 = conta ativa;; 0 = nenhuma.

Síntese

Os casos ensinam princípios; são as causas-raiz, e não os sintomas, que precisam ser corrigidas.