Capítulo 32 — Governança, riscos e compliance de segurança: interfaces interdisciplinares

Mapa da aula

Aula 32 publicada. Mapa, exemplo, EX094.

flowchart TD
  N0["32.1 Jurídico"]
  N1["32.2 Finanças e RH"]
  N2["32.3 Prioridades conflitantes"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX094"]

Desenho lógico

flowchart LR
  N0["32.1 Jurídico"]
  N1["32.2 Finanças e RH"]
  N2["32.3 Prioridades conflitantes"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX094"]

[32.1 Jurídico]
    |
    v
[32.2 Finanças e RH]
    |
    v
[32.3 Prioridades conflitantes]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX094]

Objetivos de aprendizagem

Você vai (1) trabalhar com o jurídico, finanças e RH na governança; (2) traduzir entre linguagens profissionais; (3) lidar com prioridades conflitantes.

32.1 Jurídico

Sofia trabalha com o advogado externo da Elmfield nos acordos de compartilhamento de dados com as prefeituras. O advogado se concentra na base legal e na responsabilidade; Sofia, nos controles de segurança e nas evidências. Eles combinam um modelo que cobre os dois: o advogado define a base legal, e Sofia especifica controles como a criptografia em trânsito. Ela aprende que a equipe de GRC não deve dar aconselhamento jurídico, mas precisa entender os requisitos legais o bastante para fazer as perguntas certas e traduzi-los em controles. A fronteira entre os papéis jurídico e de segurança precisa ser clara e respeitada.

32.2 Finanças e RH

Finanças se importa com custo, seguros e fraude; o RH, com o tratamento justo dos funcionários e registros exatos. Sofia aprende a enquadrar a segurança nos termos de cada um. Para finanças, apresenta os controles como redutores da perda esperada e dos prêmios de seguro; o valor de uma fatura falsa paga é uma perda familiar a pesar contra o custo dos controles de aprovação de pagamentos. Para o RH, apresenta o processo de desligamento como proteção dos ex-funcionários contra o mau uso de suas contas, além da proteção dos inquilinos. Usar a linguagem de cada disciplina aumenta a cooperação sem mudar a substância dos controles.

32.3 Prioridades conflitantes

Surgem conflitos. Os gestores de habitação querem que a equipe trabalhe depressa de qualquer lugar; a TI quer controles de dispositivo mais rígidos. Sofia facilita uma reunião em que cada lado explica suas preocupações. Eles combinam que os dispositivos gerenciados podem trabalhar de qualquer lugar, enquanto os dispositivos pessoais têm acesso só ao e-mail. Ela aprende que os conflitos se resolvem melhor entendendo as necessidades por trás das posições e combinando um meio-termo documentado, que a diretora aprova como decisão de risco com data de revisão, para que o acordo possa ser revisto se o acesso só ao e-mail se mostrar restritivo demais.

Exemplo resolvido

Sofia escreve com o jurídico um modelo de compartilhamento de dados, enquadra os controles para finanças e RH e media um conflito sobre dispositivos.

Caso sintético. As colaborações são sintéticas.

Erros e limites

A tradução pode simplificar demais. Os meios-termos podem se desviar com o tempo.

Exercícios

• EX094 — Fronteira jurídica. O que a equipe de GRC não deve fazer em assuntos jurídicos?
  Mostrar critérios de avaliação

  Rubrica: 3 = dar aconselhamento jurídico;; 2 = aconselhamento;; 1 = vago;; 0 = nenhuma.
• EX095 — Enquadramento para o RH. Como Sofia enquadrou o processo de desligamento para o RH?
  Mostrar critérios de avaliação

  Rubrica: 3 = proteção dos ex-funcionários contra o mau uso de contas;; 2 = justiça;; 1 = vago;; 0 = nenhuma.
• EX096 — Meio-termo dos dispositivos. Que meio-termo foi combinado para os dispositivos?
  Mostrar critérios de avaliação

  Rubrica: 3 = gerenciados de qualquer lugar, pessoais só com e-mail;; 2 = meio-termo;; 1 = vago;; 0 = nenhuma.

Síntese

O trabalho de GRC depende de traduzir entre disciplinas e de documentar os compromissos assumidos.