Capítulo 34 — Projeto comparativo

Mapa da aula

Aula 34 publicada. Mapa, exemplo, EX100.

flowchart TD
  N0["34.1 Duas organizações"]
  N1["34.2 Critérios justos"]
  N2["34.3 Achados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX100"]

Desenho lógico

flowchart LR
  N0["34.1 Duas organizações"]
  N1["34.2 Critérios justos"]
  N2["34.3 Achados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX100"]

[34.1 Duas organizações]
    |
    v
[34.2 Critérios justos]
    |
    v
[34.3 Achados]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX100]

Objetivos de aprendizagem

Você vai (1) comparar abordagens de governança entre organizações; (2) escolher critérios de comparação justos; (3) evitar rankings enganosos.

34.1 Duas organizações

Sofia compara a Elmfield com uma segunda organização fictícia, o Corbridge Community Trust, uma instituição beneficente de porte semelhante. As duas aceitam compartilhar resumos anonimizados de suas práticas de governança, o que permite falar com honestidade sem expor nomes de funcionários nem fraquezas específicas. O Corbridge usa um provedor de serviços gerenciados para TI e segurança, enquanto a Elmfield tem um líder de TI interno. Sofia quer entender como os modelos diferentes afetam a governança: quem é responsável pelos riscos, como as evidências são reunidas e como os conselhos são informados.

34.2 Critérios justos

Sofia escolhe critérios que fazem sentido para as duas: existência de um apetite a riscos aprovado, frequência de revisão do registro, conclusão das revisões de acesso, testes de backup e relatórios ao conselho. A frequência de revisão do registro, por exemplo, pode ser comparada diretamente porque as duas mantêm um registro datado. Ela evita comparar contagens brutas de incidentes, porque as culturas de relato diferem: uma contagem maior pode refletir melhor relato, e não segurança pior. Aprende que as comparações precisam levar em conta o contexto e as diferenças de medição, ou enganarão justamente as pessoas que pretendem informar.

34.3 Achados

O Corbridge tem um monitoramento técnico mais forte por meio do provedor, mas uma responsabilização mais fraca, porque a equipe supõe que o provedor cuida de tudo. A Elmfield tem uma responsabilização mais clara, mas menos monitoramento. Sofia apresenta isso como lições complementares, e não como ranking. Recomenda que a Elmfield considere contratar serviços de monitoramento mantendo a responsabilização interna, e que o Corbridge esclareça quais riscos continuam sendo seus. As duas organizações acham a comparação útil por não ter julgado uma melhor que a outra. O Dr. Haddad observa que o modelo do Corbridge mostra que a responsabilização não se terceiriza, mesmo quando as operações se terceirizam.

Exemplo resolvido

Sofia compara duas organizações em cinco critérios justos, evita as contagens brutas de incidentes e apresenta lições complementares.

Caso sintético. As duas organizações são sintéticas.

Erros e limites

Dois casos não permitem generalizar. Os resumos compartilhados podem ser otimistas.

Exercícios

• EX100 — Diferença de modelo. Como diferem os modelos de TI das duas organizações?
  Mostrar critérios de avaliação

  Rubrica: 3 = provedor de serviços gerenciados contra líder de TI interno;; 2 = modelos;; 1 = vago;; 0 = nenhuma.
• EX101 — Contagens de incidentes. Por que evitar comparar contagens brutas de incidentes?
  Mostrar critérios de avaliação

  Rubrica: 3 = as culturas de relato diferem;; 2 = cultura;; 1 = vago;; 0 = nenhuma.
• EX102 — Fraqueza do Corbridge. Que fraqueza o Corbridge mostrou?
  Mostrar critérios de avaliação

  Rubrica: 3 = responsabilização fraca porque a equipe supõe que o provedor cuida de tudo;; 2 = responsabilização;; 1 = vago;; 0 = nenhuma.

Síntese

Comparações justas usam critérios sensíveis ao contexto e produzem lições, em vez de rankings.