OpenCyber Academy
Graduação · Capítulo 29 · Português
Código do curso: OCA-097Capítulo 29: OCA-097-C029

Capítulo 29 — Governança, riscos e compliance de segurança: operações

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 29 publicada. Mapa, exemplo, EX085.

flowchart TD
  N0["29.1 Calendário de governança"]
  N1["29.2 Acompanhar as ações"]
  N2["29.3 Relatório ao conselho"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX085"]

Desenho lógico

flowchart LR
  N0["29.1 Calendário de governança"]
  N1["29.2 Acompanhar as ações"]
  N2["29.3 Relatório ao conselho"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX085"]

[29.1 Calendário de governança]
    |
    v
[29.2 Acompanhar as ações]
    |
    v
[29.3 Relatório ao conselho]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX085]

Objetivos de aprendizagem

Você vai (1) conduzir um calendário de governança; (2) acompanhar as ações até a conclusão; (3) relatar ao conselho.

29.1 Calendário de governança

Sofia ajuda a Elmfield a montar um calendário de governança. Mensalmente: revisar alertas e incidentes de segurança. Trimestralmente: revisões de acesso, revisão do registro de riscos e conferências de fornecedores. Duas vezes por ano: relatório ao conselho. Anualmente: revisão das políticas, teste de restauração de backup e reavaliação de lacunas. Cada atividade tem um responsável e um lembrete na agenda compartilhada. Ela aprende que um calendário transforma boas intenções em rotina, e que organizações pequenas se beneficiam de ritmos previsíveis, porque a equipe pode se planejar em torno deles. Pôr no calendário o teste anual de restauração garante que o teste do capítulo 25 seja repetido.

29.2 Acompanhar as ações

Cada achado e cada melhoria vira uma ação com responsável e prazo num controle simples. Sofia revisa esse controle mensalmente com a diretora. As ações atrasadas são discutidas, e não escondidas. Depois de três meses, dezoito de vinte e quatro ações estão concluídas. Para as seis em aberto, ela anota se o obstáculo é tempo, orçamento ou uma decisão que falta. Aprende que o acompanhamento é mais útil quando provoca conversas sobre os obstáculos, como um responsável sem tempo ou sem orçamento, e não quando apenas lista itens atrasados que ninguém discute nem desbloqueia.

29.3 Relatório ao conselho

Sofia redige o primeiro relatório de segurança da Elmfield para o conselho. Ele cobre os principais riscos e suas mudanças, o progresso da avaliação de lacunas, os incidentes e as lições, as ações atrasadas e as decisões solicitadas. Tem três páginas, em linguagem simples. O conselho faz boas perguntas, sobretudo sobre o risco de fornecedores, o que mostra que o relatório deu aos conselheiros material suficiente para questionar. Sofia aprende que os conselhos se envolvem quando os relatórios são curtos, honestos e pedem decisões. Um relatório que só tranquiliza não dá ao conselho nada a governar, o que mina o propósito da supervisão.

Exemplo resolvido

Sofia monta um calendário de governança, acompanha vinte e quatro ações, com dezoito concluídas, e redige um relatório de três páginas para o conselho.

Caso sintético. As ações e os relatórios são sintéticos.

Erros e limites

Os calendários escorregam sob pressão. A atenção do conselho varia.

Exercícios

Síntese

Um calendário de governança, o acompanhamento das ações e relatórios focados em decisões mantêm o programa funcionando.

Respostas comentadas

EX085. Revisões de acesso, revisão do registro de riscos e conferências de fornecedores.

EX086. Dezoito de vinte e quatro.

EX087. Porque não dá ao conselho nada a governar ou decidir.