## Capítulo 27 — Governança, riscos e compliance de segurança: verificação ### Mapa da aula Aula 27 publicada. Mapa, exemplo, EX079. ```mermaid flowchart TD N0["27.1 Tipos de teste"] N1["27.2 Escolher os testes"] N2["27.3 Documentar os resultados"] N3["Síntese"] N0 --> N1 --> N2 --> N3 N3 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX079"] ``` ### Desenho lógico ```mermaid flowchart LR N0["27.1 Tipos de teste"] N1["27.2 Escolher os testes"] N2["27.3 Documentar os resultados"] N3["Síntese"] N0 --> N1 --> N2 --> N3 --> Q["EX079"] ``` ```text [27.1 Tipos de teste] | v [27.2 Escolher os testes] | v [27.3 Documentar os resultados] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX079] ``` ### Objetivos de aprendizagem Você vai (1) verificar controles por inspeção, observação e reexecução; (2) escolher testes adequados; (3) documentar os resultados da verificação. ### 27.1 Tipos de teste Sofia aprende três formas de verificar um controle. A inspeção examina documentos ou registros, como as aprovações das revisões de acesso. A observação acompanha a execução de um controle, como um gestor revisando acessos. A reexecução repete o controle de forma independente, como Sofia comparar ela mesma a lista de desligamentos com as contas ativas. A reexecução dá a evidência mais forte porque não depende dos registros do responsável, mas exige mais tempo e acesso. Sua comparação da lista de desligamentos com as contas ativas é reexecução, e é por isso que depois encontra o que a revisão deixou passar. ### 27.2 Escolher os testes Para cada controle-chave, Sofia escolhe um teste. Nas revisões de acesso, inspeciona as aprovações e reexecuta uma amostra, porque elas protegem os dados dos inquilinos em todos os sistemas. Na criptografia, inspeciona o relatório do console de dispositivos. No tratamento de incidentes, observa um exercício de mesa. Ela aprende que a escolha depende da importância do controle e das evidências disponíveis, e que os controles importantes merecem testes mais fortes. Também observa que depender só da inspeção traz o risco de aceitar registros que parecem completos, mas descrevem controles que ninguém executou de fato. ### 27.3 Documentar os resultados Sofia documenta cada teste com objetivo, método, amostra, resultados e conclusão. A reexecução da verificação de desligamentos revela uma conta que a revisão de acessos deixou passar, então ela conclui que o controle de revisão opera com exceção e recomenda acrescentar a lista de desligamentos ao material dos revisores. Ela aprende que os resultados da verificação devem dizer com clareza se um controle operou com eficácia, operou com exceções ou falhou, para que a gestão saiba quanto pode confiar nele; aqui, a gestão pode confiar na revisão, mas só depois de acrescentada a lista de desligamentos. ### Exemplo resolvido Sofia usa inspeção, observação e reexecução, encontra uma exceção na revisão de acessos e declara as conclusões com clareza. > **Caso sintético.** Os testes e os resultados são sintéticos. ### Erros e limites A observação pode mudar o comportamento. A reexecução exige acesso. ### Exercícios - **EX079 — Teste mais forte.** Que tipo de teste dá a evidência mais forte? *Rubrica:* 3 = reexecução;; 2 = reexecutar;; 1 = inspeção;; 0 = nenhuma. - **EX080 — Risco da inspeção.** Qual é o risco de depender só da inspeção? *Rubrica:* 3 = os registros podem descrever controles que ninguém executou;; 2 = registros falsos;; 1 = vago;; 0 = nenhuma. - **EX081 — Categorias de conclusão.** Que três conclusões uma verificação pode alcançar? *Rubrica:* 3 = eficaz, eficaz com exceções, falhou;; 2 = três;; 1 = vago;; 0 = nenhuma. ### Síntese A verificação escolhe testes adequados e declara claramente até que ponto se pode confiar nos controles. ### Continue estudando — aula 27 (capítulo 27 de 40) [← Capítulo 26](#ch-26) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 28 →](#ch-28) Continue para a próxima aula já escrita. ## Worked answers **EX079.** A reexecução, porque não depende dos registros do responsável. **EX080.** Aceitar registros que parecem completos, mas descrevem controles que ninguém executou. **EX081.** Operou com eficácia, operou com exceções ou falhou.