Capítulo 21 — Governança, riscos e compliance de segurança: modelos de sistema
Mapa da aula
Aula 21 publicada. Mapa, exemplo, EX061.
flowchart TD
N0["21.1 Papéis e processos"]
N1["21.2 RACI"]
N2["21.3 Corrigir as lacunas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX061"]
Desenho lógico
flowchart LR
N0["21.1 Papéis e processos"]
N1["21.2 RACI"]
N2["21.3 Corrigir as lacunas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX061"]
[21.1 Papéis e processos]
|
v
[21.2 RACI]
|
v
[21.3 Corrigir as lacunas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX061]
Objetivos de aprendizagem
Você vai (1) modelar o sistema de governança da Elmfield como papéis, processos e fluxos de informação; (2) identificar lacunas de responsabilização; (3) usar uma matriz RACI.
21.1 Papéis e processos
Sofia modela a governança da Elmfield como um sistema de papéis e processos. O conselho aprova o apetite a riscos e recebe relatórios. A diretora responde pelo programa. O líder de TI opera os controles técnicos. Os gestores das equipes são responsáveis pelos riscos de suas áreas. Uma encarregada de proteção de dados em tempo parcial cuida da privacidade. Os processos os ligam: revisão de riscos, aprovação de políticas, tratamento de incidentes e revisão de acessos. O desenho mostra quem passa informações a quem e onde as decisões são tomadas; mostra, por exemplo, que os gestores são responsáveis por riscos, mas não têm um caminho definido para levá-los ao conselho.
21.2 RACI
Sofia monta uma matriz de responsabilidades que lista, para cada processo, quem é responsável pela execução, quem presta contas, quem é consultado e quem é informado (RACI). Na revisão de acessos, os gestores executam, a diretora presta contas, a TI é consultada e o conselho é informado. Ela encontra dois problemas. Ninguém presta contas pela segurança dos fornecedores, e o tratamento de incidentes tem três pessoas marcadas como prestando contas, o que na prática significa ninguém. O COBIT 2019 usa um mapeamento semelhante para esclarecer os papéis de governança e de gestão. O Dr. Haddad aponta que a lacuna dos fornecedores é a mais grave, porque o prestador de manutenção se conecta remotamente ao sistema habitacional.
21.3 Corrigir as lacunas
Sofia propõe que a diretora preste contas pela segurança dos fornecedores, com a gerente financeira executando os contratos e o líder de TI consultado. Nos incidentes, o líder de TI passa a prestar contas, com a encarregada de proteção de dados executando as comunicações de violação. O conselho aprova a matriz. Ela aprende que a prestação de contas deve recair sobre um único papel por processo, e que as matrizes só são úteis se as pessoas as conhecerem e se forem revisadas quando os papéis mudam; uma revisão a cada mudança de papel teria apanhado antes os três nomes no tratamento de incidentes.
Exemplo resolvido
Sofia modela os papéis e processos de governança da Elmfield, encontra duas lacunas de responsabilização com uma matriz RACI e as corrige.
Caso sintético. Os papéis e a matriz são sintéticos; o COBIT 2019 é real.
Erros e limites
As matrizes descrevem os papéis pretendidos, não o comportamento. Equipes pequenas confundem papéis.
Exercícios
- EX061 — Letras do RACI. O que significam as quatro letras do RACI? Rubrica: 3 = responsável pela execução, quem presta contas, consultado, informado;; 2 = quatro;; 1 = vago;; 0 = nenhuma.
- EX062 — Problema dos incidentes. O que estava errado no tratamento de incidentes? Rubrica: 3 = três pessoas prestando contas significava ninguém;; 2 = gente demais;; 1 = vago;; 0 = nenhuma.
- EX063 — Regra de prestação de contas. Quantos papéis devem prestar contas por processo? Rubrica: 3 = um;; 2 = único;; 1 = vários;; 0 = nenhuma.
Síntese
Modelos de sistemas e matrizes RACI deixam clara a responsabilização e revelam lacunas.
Continue estudando — aula 21 (capítulo 21 de 40)
← Capítulo 20 · Índice das aulas · Capítulo 22 →
Continue para a próxima aula já escrita.