Capítulo 22 — Governança, riscos e compliance de segurança: modelos de sistema e de dados

Mapa da aula

Aula 22 publicada. Mapa, exemplo, EX064.

flowchart TD
  N0["22.1 Entidades centrais"]
  N1["22.2 Relações"]
  N2["22.3 Responder a perguntas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX064"]

Desenho lógico

flowchart LR
  N0["22.1 Entidades centrais"]
  N1["22.2 Relações"]
  N2["22.3 Responder a perguntas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX064"]

[22.1 Entidades centrais]
    |
    v
[22.2 Relações]
    |
    v
[22.3 Responder a perguntas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX064]

Objetivos de aprendizagem

Você vai (1) modelar as entidades de um programa de GRC; (2) definir as relações entre riscos, controles, obrigações e evidências; (3) usar o modelo para responder a perguntas de governança.

22.1 Entidades centrais

Nadia projeta um modelo de dados para o programa da Ardwell. Suas entidades centrais são ativos, riscos, controles, obrigações, testes, achados e responsáveis. Cada entidade tem atributos definidos, como o tipo, a frequência e o responsável de um controle, ou a gravidade e o prazo de um achado. Definir as entidades com clareza evita a confusão comum nas planilhas, em que uma coluna pode conter um risco numa linha e um controle em outra. Um modelo claro é a base de qualquer ferramenta de governança, comprada ou construída. O Prof. Brenner observa que uma entidade de achado com prazo definido é o que permite contar automaticamente os itens vencidos.

22.2 Relações

O valor está nas relações. Um risco afeta ativos e é tratado por controles. Um controle atende obrigações e é conferido por testes. Um teste produz evidências e pode gerar achados, cada um com um responsável. Nadia desenha isso num diagrama e observa que as ligações muitos-para-muitos são comuns: um controle pode tratar vários riscos e atender várias obrigações. Isso explica por que um único controle que falha pode gerar achados em várias auditorias, um padrão que os gestores da Ardwell tinham notado sem entender. O controle de backup pode atender ao mesmo tempo obrigações de cartão, de resiliência e de certificação, então uma falha aparece em três auditorias.

22.3 Responder a perguntas

Com o modelo, Nadia mostra como responder a perguntas que antes levavam dias. Que obrigações dependem do controle de backup? Que riscos são tratados só por controles que falharam no último teste? Que responsáveis têm achados vencidos? Ela escreve consultas de exemplo em linguagem simples e em pseudocódigo. O Prof. Brenner observa que bons modelos tornam baratas as perguntas de governança, o que incentiva os gestores a fazê-las com mais frequência e fortalece a supervisão em toda a organização. A pergunta sobre controles que falharam no último teste é justamente do tipo que as planilhas antigas não conseguiam responder.

Exemplo resolvido

Nadia define sete entidades centrais, mapeia as relações muitos-para-muitos e mostra consultas que respondem a perguntas de governança.

Caso sintético. O modelo é um projeto didático; os dados da Ardwell são sintéticos.

Erros e limites

Os modelos simplificam uma realidade bagunçada. A qualidade dos dados limita o valor das consultas.

Exercícios

• EX064 — Lista de entidades. Cite quatro entidades centrais do modelo.
  Mostrar critérios de avaliação

  Rubrica: 3 = ativos, riscos, controles, obrigações;; 2 = entidades;; 1 = vago;; 0 = nenhuma.
• EX065 — Achados em cascata. Por que um controle que falha pode gerar achados em várias auditorias?
  Mostrar critérios de avaliação

  Rubrica: 3 = ele atende várias obrigações;; 2 = muitos-para-muitos;; 1 = vago;; 0 = nenhuma.
• EX066 — Consulta de exemplo. Dê uma pergunta de governança que o modelo responde depressa.
  Mostrar critérios de avaliação

  Rubrica: 3 = que riscos dependem só de controles que falharam nos testes;; 2 = consulta;; 1 = vago;; 0 = nenhuma.

Síntese

Um modelo de dados claro de riscos, controles, obrigações e evidências torna as perguntas de governança respondíveis.