Capítulo 26 — Governança, riscos e compliance de segurança: alternativas de arquitetura
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 Alternativas"]
N1["26.2 Critérios e pesos"]
N2["26.3 A escolha"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 Alternativas"]
N1["26.2 Critérios e pesos"]
N2["26.3 A escolha"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX076"]
[26.1 Alternativas]
|
v
[26.2 Critérios e pesos]
|
v
[26.3 A escolha]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem
Você vai (1) comparar arquiteturas alternativas para uma capacidade de GRC; (2) ponderar critérios com transparência; (3) documentar a escolha e seus riscos.
26.1 Alternativas
A Ardwell precisa decidir como operar seu programa de GRC no dia a dia. Nadia compara três alternativas. A primeira mantém planilhas e pastas compartilhadas, melhoradas com scripts de validação. A segunda compra uma plataforma comercial de governança que reúne riscos, controles e evidências num só lugar. A terceira constrói ferramentas leves sobre o sistema de tickets que a Ardwell já usa, em que os controles viram tarefas recorrentes e as evidências se anexam aos tickets. Cada uma tem custos, necessidades de competências e riscos de falha diferentes. As planilhas custam menos para começar, mas dependem de scripts de validação que alguém precisa manter.
26.2 Critérios e pesos
Nadia combina os critérios com a gestora de segurança: integridade dos dados e trilha de auditoria, esforço para os responsáveis pelos controles, relatórios ao conselho, custo em três anos e dependência de competências escassas. Ela dá os maiores pesos à integridade e ao esforço dos responsáveis, refletindo a constatação anterior de que os controles falham quando os responsáveis não têm tempo. As planilhas pontuam mal em integridade. A plataforma comercial pontua bem em relatórios, mas exige um administrador especializado. A opção dos tickets pontua bem no esforço dos responsáveis, porque a equipe já usa o sistema. Ela publica as notas e os pesos para que os revisores possam contestá-los.
26.3 A escolha
A opção dos tickets vence por pouco a plataforma. Nadia documenta a decisão com as alternativas e os riscos aceitos: os relatórios vão exigir trabalho extra, e o roadmap do fornecedor do sistema de tickets pode mudar. Ela recomenda rever a escolha depois de um ano, com medidas como as tarefas de controle vencidas e o tempo para preparar evidências de auditoria. Observa que o resultado apertado significa que os pesos importam, e registra que uma ponderação que favorecesse os relatórios ao conselho teria escolhido a plataforma. Esse registro permite ao conselho ver que a escolha foi apertada e revisitá-la se os relatórios virarem a prioridade.
Exemplo resolvido
Nadia compara três opções de ferramentas de GRC com critérios ponderados, escolhe por pouco a abordagem baseada em tickets e registra a sensibilidade aos pesos.
Caso sintético. As opções, as notas e os custos são sintéticos.
Erros e limites
Os pesos refletem opiniões. As alegações dos fornecedores precisam ser verificadas.
Exercícios
- EX076 — Três opções. Quais são as três alternativas? Rubrica: 3 = planilhas com scripts, plataforma comercial, ferramentas baseadas em tickets;; 2 = três;; 1 = vago;; 0 = nenhuma.
- EX077 — Critérios mais pesados. Que critérios receberam os maiores pesos? Rubrica: 3 = integridade dos dados e esforço dos responsáveis;; 2 = integridade;; 1 = custo;; 0 = nenhuma.
- EX078 — Nota de sensibilidade. O que uma ponderação que favorecesse os relatórios ao conselho teria escolhido? Rubrica: 3 = a plataforma comercial;; 2 = plataforma;; 1 = planilhas;; 0 = nenhuma.
Síntese
Critérios transparentes e notas de sensibilidade tornam as escolhas de arquitetura defensáveis.
Continue estudando — aula 26 (capítulo 26 de 50)
← Capítulo 25 · Índice das aulas · Capítulo 27 →
Continue para a próxima aula já escrita.