Capítulo 2 — Governança, riscos e compliance de segurança: a fronteira da pesquisa
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX008.
flowchart TD
N0["2.1 O quadro de governança"]
N1["2.2 Evidência e argumento"]
N2["2.3 Relatos da prática"]
N3["2.4 A lacuna"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX008"]
Desenho lógico
flowchart LR
N0["2.1 O quadro de governança"]
N1["2.2 Evidência e argumento"]
N2["2.3 Relatos da prática"]
N3["2.4 A lacuna"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"]
[2.1 O quadro de governança]
|
v
[2.2 Evidência e argumento]
|
v
[2.3 Relatos da prática]
|
v
[2.4 A lacuna]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX008]
Objetivos de aprendizagem
Você vai (1) mapear a fronteira da pesquisa em governança de riscos de segurança; (2) distinguir afirmações apoiadas em evidências de afirmações apoiadas em argumentos; (3) localizar uma lacuna defensável.
2.1 O quadro de governança
Amara mapeia como a governança molda o trabalho com riscos. O NIST CSF 2.0 acrescentou uma função Govern, que cobre o contexto organizacional, a estratégia de gestão de riscos, os papéis, a política e a supervisão. A ISO/IEC 27001:2022, adotada no Brasil como ABNT NBR ISO/IEC 27001:2022, exige que a organização defina critérios de risco, avalie e trate os riscos de segurança da informação e guarde evidências. O COBIT 2019 coloca a otimização de riscos entre os objetivos de governança dos conselhos. A ISO 31000:2018 oferece princípios de gestão de riscos para qualquer área. Esses frameworks concordam que as decisões de risco cabem a responsáveis que prestam contas, mas pouco dizem sobre qual método de avaliação produz decisões melhores.
2.2 Evidência e argumento
Amara classifica a literatura pelo tipo de sustentação, registrando cada fonte. Gordon e Loeb (2002) oferecem um modelo matemático segundo o qual, sob suas premissas, o investimento ótimo em segurança é de no máximo cerca de 37% da perda esperada, o que é um argumento derivado de um modelo, e não uma observação. Cox (2008) também é analítico. Hubbard e Seiersen (2016) se apoiam em estudos sobre calibração de especialistas de fora da segurança. Spears e Barki (2010) trazem evidência de survey de que a participação dos usuários na gestão de riscos de segurança melhora o alinhamento com os processos de negócio. Poucos estudos comparam métodos de avaliação dentro de programas de segurança reais.
2.3 Relatos da prática
Amara também lê fontes da prática: documentos de frameworks, orientações de reguladores e relatórios do setor. Eles descrevem o que as organizações fazem, mas raramente testam se funciona. Ela observa que os métodos de avaliação se difundem por imitação e pelas expectativas dos auditores, e que a matriz muitas vezes é escolhida por ser fácil de explicar a um conselho. Isso explica por que as matrizes continuam comuns apesar das críticas analíticas: seus benefícios são sociais e procedimentais, enquanto seus custos, como prioridades inconsistentes, são difíceis de ver sem medição. Ela anota essa tensão.
2.4 A lacuna
Amara define a lacuna com precisão: há pouca evidência publicada, vinda de dentro de um programa de segurança em operação, sobre se a avaliação quantitativa calibrada melhora a consistência, a calibração e as escolhas de tratamento em comparação com uma matriz ordinal, quando o tempo de treinamento e a comunicação com o conselho entram como custos. A lacuna é estreita o bastante para ser estudada numa organização e importante porque muitos reguladores e conselhos estão se perguntando se devem migrar para a quantificação. A Profa. Delgado aprova o enquadramento e pede que Amara declare claramente que efeitos seu desenho não consegue detectar.
Exemplo resolvido
Amara mapeia os frameworks de governança, separa argumentos derivados de modelos de evidências empíricas e define uma lacuna de evidência de campo na comparação entre matrizes e quantificação calibrada.
Caso sintético. A Corvane é sintética; o CSF 2.0, a ISO/IEC 27001:2022 (ABNT NBR ISO/IEC 27001:2022), o COBIT 2019, a ISO 31000:2018, Gordon e Loeb (2002), Cox (2008), Hubbard e Seiersen (2016) e Spears e Barki (2010) são reais.
Erros e limites
Mapas da literatura envelhecem depressa. Relatos da prática podem ser seletivos.
Exercícios
- EX008 — Função Govern. O que o CSF 2.0 acrescentou? Rubrica: 3 = uma função Govern;; 2 = Govern;; 1 = Detect;; 0 = nenhuma.
- EX009 — Resultado de Gordon e Loeb. Que limite superior Gordon e Loeb derivaram? Rubrica: 3 = cerca de 37% da perda esperada;; 2 = 1/e;; 1 = 100%;; 0 = nenhuma.
- EX010 — Spears e Barki. O que Spears e Barki (2010) encontraram? Rubrica: 3 = a participação dos usuários melhora o alinhamento com os processos de negócio;; 2 = participação;; 1 = vago;; 0 = nenhuma.
- EX011 — Por que as matrizes persistem. Por que as matrizes continuam comuns? Rubrica: 3 = são fáceis de explicar e esperadas pelos auditores;; 2 = benefícios sociais;; 1 = precisão;; 0 = nenhuma.
- EX012 — Lacuna definida. Que lacuna Amara estuda? Rubrica: 3 = evidência de campo comparando matrizes e quantificação calibrada;; 2 = evidência de campo;; 1 = vago;; 0 = nenhuma.
- EX013 — Pedido da orientadora. O que a Profa. Delgado pediu que Amara declarasse? Rubrica: 3 = que efeitos o desenho não consegue detectar;; 2 = limites;; 1 = vago;; 0 = nenhuma.
- EX014 — Tipos de evidência. Por que Amara classifica a literatura pelo tipo de sustentação? Rubrica: 3 = modelos, experimentos e relatos da prática sustentam afirmações de modo diferente;; 2 = força da evidência;; 1 = vago;; 0 = nenhuma.
Síntese
A fronteira mostra argumentação forte, mas poucas evidências de campo, o que define uma lacuna precisa.
Continue estudando — aula 02 (capítulo 02 de 08)
← Capítulo 01 · Índice das aulas · Capítulo 03 →
Continue para a próxima aula já escrita.