Capítulo 16 — Engenharia de sistemas

Mapa da aula

Aula 16 publicada. Mapa, exemplo, EX046.

flowchart TD
  N0["16.1 O programa como sistema"]
  N1["16.2 Rastreabilidade"]
  N2["16.3 Ciclo de vida"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX046"]

Desenho lógico

flowchart LR
  N0["16.1 O programa como sistema"]
  N1["16.2 Rastreabilidade"]
  N2["16.3 Ciclo de vida"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX046"]

[16.1 O programa como sistema]
    |
    v
[16.2 Rastreabilidade]
    |
    v
[16.3 Ciclo de vida]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX046]

Objetivos de aprendizagem

Você vai (1) tratar o programa de governança como um sistema com requisitos e interfaces; (2) rastrear os requisitos até controles e testes; (3) gerenciar o ciclo de vida do sistema.

16.1 O programa como sistema

A engenharia de sistemas trata esforços complexos como sistemas com finalidades, componentes, interfaces e ciclos de vida. Nadia aplica essa visão ao programa de governança da Ardwell. Sua finalidade é manter o risco dentro do apetite do conselho e demonstrar compliance. Seus componentes incluem políticas, o registro de riscos, os responsáveis pelos controles, o monitoramento e as auditorias. As interfaces o ligam a finanças, operações e reguladores. Ver a governança como sistema a ajuda a fazer perguntas de engenharia, como o que acontece quando um componente falha ou uma interface muda. Se o conselho muda o apetite, a interface com o monitoramento também precisa mudar, ou os relatórios medirão contra uma meta antiga.

16.2 Rastreabilidade

Uma ferramenta central da engenharia de sistemas é a matriz de rastreabilidade. Nadia liga cada requisito de governança, vindo de lei, contrato ou norma, aos controles que o atendem e aos testes que mostram que funcionam. As lacunas aparecem como requisitos sem controle ou controles sem teste. Ela reconhece aí o mesmo problema de cobertura estudado no mapeamento de compliance. A rastreabilidade permite à Ardwell responder depressa à pergunta de um auditor sobre qualquer requisito e mostra aos gestores que controles existem só para atender obrigações que podem ter caducado; um requisito cuja fonte legal caducou aparece na matriz como um controle mantido por hábito.

16.3 Ciclo de vida

Os sistemas têm ciclos de vida: concepção, desenvolvimento, operação, manutenção e desativação. Os componentes de governança também. As políticas são redigidas, aprovadas, usadas, revisadas e retiradas. Os controles são desenhados, implementados, testados e, um dia, substituídos. Nadia observa que a desativação costuma ser esquecida; controles e políticas antigos continuam no papel muito depois de deixarem de funcionar. O NIST SP 800-37 Rev. 2 enquadra a gestão de riscos como contínua ao longo do ciclo de vida, e ela adota sua ênfase no monitoramento como a etapa que mantém o sistema honesto. Uma revisão de acessos que ainda lista um sistema de faturamento desativado é um controle além do seu ponto de desativação.

Exemplo resolvido

Nadia modela a governança como sistema, monta um rastreio de requisito a controle e a teste e planeja a gestão do ciclo de vida, incluindo a desativação.

Caso sintético. O programa da Ardwell é sintético; o SP 800-37 Rev. 2 é real.

Erros e limites

As visões sistêmicas podem virar burocracia. A rastreabilidade exige manutenção.

Exercícios

• EX046 — Finalidade do programa. Qual é a finalidade do programa de governança da Ardwell visto como sistema?
  Mostrar critérios de avaliação

  Rubrica: 3 = manter o risco dentro do apetite e demonstrar compliance;; 2 = finalidade;; 1 = vago;; 0 = nenhuma.
• EX047 — Lacunas do rastreio. Que lacunas uma matriz de rastreabilidade revela?
  Mostrar critérios de avaliação

  Rubrica: 3 = requisitos sem controles e controles sem testes;; 2 = lacunas;; 1 = vago;; 0 = nenhuma.
• EX048 — Etapa esquecida. Que etapa do ciclo de vida costuma ser esquecida em controles e políticas?
  Mostrar critérios de avaliação

  Rubrica: 3 = a desativação;; 2 = desativação, hesitando com outra etapa;; 1 = desenho;; 0 = nenhuma.

Síntese

A engenharia de sistemas leva rastreabilidade e pensamento de ciclo de vida aos programas de governança.