Capítulo 27 — Governança, riscos e compliance de segurança: verificação

Mapa da aula

Aula 27 publicada. Mapa, exemplo, EX079.

flowchart TD
  N0["27.1 Tipos de teste"]
  N1["27.2 Escolher os testes"]
  N2["27.3 Documentar os resultados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX079"]

Desenho lógico

flowchart LR
  N0["27.1 Tipos de teste"]
  N1["27.2 Escolher os testes"]
  N2["27.3 Documentar os resultados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX079"]

[27.1 Tipos de teste]
    |
    v
[27.2 Escolher os testes]
    |
    v
[27.3 Documentar os resultados]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX079]

Objetivos de aprendizagem

Você vai (1) verificar controles por inspeção, observação e reexecução; (2) escolher testes adequados; (3) documentar os resultados da verificação.

27.1 Tipos de teste

Sofia aprende três formas de verificar um controle. A inspeção examina documentos ou registros, como as aprovações das revisões de acesso. A observação acompanha a execução de um controle, como um gestor revisando acessos. A reexecução repete o controle de forma independente, como Sofia comparar ela mesma a lista de desligamentos com as contas ativas. A reexecução dá a evidência mais forte porque não depende dos registros do responsável, mas exige mais tempo e acesso. Sua comparação da lista de desligamentos com as contas ativas é reexecução, e é por isso que depois encontra o que a revisão deixou passar.

27.2 Escolher os testes

Para cada controle-chave, Sofia escolhe um teste. Nas revisões de acesso, inspeciona as aprovações e reexecuta uma amostra, porque elas protegem os dados dos inquilinos em todos os sistemas. Na criptografia, inspeciona o relatório do console de dispositivos. No tratamento de incidentes, observa um exercício de mesa. Ela aprende que a escolha depende da importância do controle e das evidências disponíveis, e que os controles importantes merecem testes mais fortes. Também observa que depender só da inspeção traz o risco de aceitar registros que parecem completos, mas descrevem controles que ninguém executou de fato.

27.3 Documentar os resultados

Sofia documenta cada teste com objetivo, método, amostra, resultados e conclusão. A reexecução da verificação de desligamentos revela uma conta que a revisão de acessos deixou passar, então ela conclui que o controle de revisão opera com exceção e recomenda acrescentar a lista de desligamentos ao material dos revisores. Ela aprende que os resultados da verificação devem dizer com clareza se um controle operou com eficácia, operou com exceções ou falhou, para que a gestão saiba quanto pode confiar nele; aqui, a gestão pode confiar na revisão, mas só depois de acrescentada a lista de desligamentos.

Exemplo resolvido

Sofia usa inspeção, observação e reexecução, encontra uma exceção na revisão de acessos e declara as conclusões com clareza.

Caso sintético. Os testes e os resultados são sintéticos.

Erros e limites

A observação pode mudar o comportamento. A reexecução exige acesso.

Exercícios

• EX079 — Teste mais forte. Que tipo de teste dá a evidência mais forte?
  Mostrar critérios de avaliação

  Rubrica: 3 = reexecução;; 2 = reexecutar;; 1 = inspeção;; 0 = nenhuma.
• EX080 — Risco da inspeção. Qual é o risco de depender só da inspeção?
  Mostrar critérios de avaliação

  Rubrica: 3 = os registros podem descrever controles que ninguém executou;; 2 = registros falsos;; 1 = vago;; 0 = nenhuma.
• EX081 — Categorias de conclusão. Que três conclusões uma verificação pode alcançar?
  Mostrar critérios de avaliação

  Rubrica: 3 = eficaz, eficaz com exceções, falhou;; 2 = três;; 1 = vago;; 0 = nenhuma.

Síntese

A verificação escolhe testes adequados e declara claramente até que ponto se pode confiar nos controles.