OpenCyber Academy
Graduação · Capítulo 31 · Português
Código do curso: OCA-097Capítulo 31: OCA-097-C031

Capítulo 31 — Governança, riscos e compliance de segurança: casos avançados

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 31 publicada. Mapa, exemplo, EX091.

flowchart TD
  N0["31.1 Pagamentos"]
  N1["31.2 Certificação"]
  N2["31.3 Tipos de garantia"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX091"]

Desenho lógico

flowchart LR
  N0["31.1 Pagamentos"]
  N1["31.2 Certificação"]
  N2["31.3 Tipos de garantia"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX091"]

[31.1 Pagamentos]
    |
    v
[31.2 Certificação]
    |
    v
[31.3 Tipos de garantia]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX091]

Objetivos de aprendizagem

Você vai (1) analisar a governança em contextos de pagamento e certificação; (2) entender a redução de escopo; (3) comparar tipos de garantia.

31.1 Pagamentos

A Elmfield recebe aluguéis com cartão por uma página de pagamento hospedada, operada por um provedor. Sofia aprende que o PCI DSS v4.0 se aplica às organizações que armazenam, processam ou transmitem dados do titular do cartão ou que podem afetar sua segurança. Usando uma página hospedada, a Elmfield mantém os dados de cartão fora de seus próprios sistemas, o que reduz muito suas obrigações, embora ainda precise proteger o site que leva à página de pagamento e confirmar a conformidade do provedor. Ela aprende que escolhas de arquitetura podem encolher bastante o escopo de compliance. Essa arquitetura também pesa na decisão posterior sobre certificação, já que os dados de cartão nunca tocam os notebooks da Elmfield.

31.2 Certificação

O conselho da Elmfield pergunta se deve buscar a certificação na ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022). Sofia lista os benefícios: as licitações das prefeituras pedem isso cada vez mais, e a certificação disciplinaria o programa. Os custos incluem honorários de auditoria, tempo da equipe e auditorias de manutenção contínuas. Ela sugere primeiro operar o sistema de gestão por um ano e medir o progresso contra a avaliação de lacunas, e só então decidir. Aprende que a certificação é um meio, e não um fim, e deve ser escolhida por motivos claros. O Dr. Haddad acrescenta que um ano de operação também dará à Elmfield as evidências que qualquer auditoria pediria.

31.3 Tipos de garantia

Sofia compara os tipos de garantia que a Elmfield recebe dos fornecedores. A certificação mostra que um sistema de gestão atendia a uma norma na auditoria. Os relatórios SOC 2, baseados nos trust services criteria da AICPA, descrevem os controles e, no relatório tipo 2, testam sua operação ao longo de um período. Os questionários registram o que os fornecedores afirmam. Ela aprende que cada tipo oferece uma força de evidência diferente e que ler o escopo e as exceções de um relatório importa mais do que seu título. Um relatório tipo 2 com exceções na gestão de acessos diz mais do que um certificado limpo cujo escopo exclui o serviço usado.

Exemplo resolvido

Sofia explica como uma página de pagamento hospedada reduz o escopo do PCI DSS, pondera a certificação e compara os tipos de garantia.

Caso sintético. As escolhas da Elmfield são sintéticas; o PCI DSS v4.0, a ISO/IEC 27001:2022 (ABNT NBR ISO/IEC 27001:2022) e os TSC da AICPA são reais.

Erros e limites

A redução de escopo não elimina todos os deveres. Os relatórios variam de escopo.

Exercícios

Síntese

Escolhas de arquitetura, certificação e garantia moldam o esforço de conformidade e a força das evidências.

Respostas comentadas

EX091. Mantém os dados de cartão fora dos sistemas da Elmfield, o que reduz muito suas obrigações, embora algumas permaneçam.

EX092. Operar o sistema de gestão por um ano e medir primeiro o progresso.

EX093. Testes de como os controles operaram ao longo de um período.