Capítulo 28 — Governança, riscos e compliance de segurança: implementação I

Mapa da aula

Aula 28 publicada. Mapa, exemplo, EX082.

flowchart TD
  N0["28.1 Planejamento"]
  N1["28.2 Pessoas e mudança"]
  N2["28.3 Situação honesta"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX082"]

Desenho lógico

flowchart LR
  N0["28.1 Planejamento"]
  N1["28.2 Pessoas e mudança"]
  N2["28.3 Situação honesta"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX082"]

[28.1 Planejamento]
    |
    v
[28.2 Pessoas e mudança]
    |
    v
[28.3 Situação honesta]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX082]

Objetivos de aprendizagem

Você vai (1) planejar a implementação de controles com responsáveis e marcos; (2) gerir a mudança para as pessoas afetadas; (3) acompanhar com honestidade a situação da implementação.

28.1 Planejamento

A Ardwell aprova o broker de acesso de fornecedores e as ferramentas de GRC baseadas em tickets. Nadia ajuda a escrever o plano de implementação: fases, responsáveis, marcos, dependências e critérios de aceitação. A fase um leva ao broker os dois fornecedores de maior risco, de modo que as conexões mais arriscadas sejam intermediadas primeiro. A fase dois leva os demais. A fase três desativa a conexão direta e as senhas compartilhadas. Cada fase tem um teste que precisa passar antes de a seguinte começar. Ela aprende que os planos em fases reduzem o risco, porque os problemas aparecem enquanto o escopo ainda é pequeno.

28.2 Pessoas e mudança

Os novos controles mudam o trabalho das pessoas. Os técnicos dos fornecedores precisam aprender novos logins, e os engenheiros de plantão precisam aprovar sessões à noite. Nadia ajuda a preparar guias curtos, uma sessão de teste para cada fornecedor e um contato para problemas. Ela registra as preocupações, como a fadiga de aprovações à noite, e as respostas, como permitir janelas de manutenção pré-aprovadas, que reduzem as aprovações noturnas sem eliminar o registro de cada sessão. Ela aprende que os problemas de adoção costumam ser tratados como resistência dos usuários quando, na verdade, são questões de projeto que a equipe de implementação pode corrigir.

28.3 Situação honesta

Nadia monta um relatório de situação que mostra cada marco como concluído, no prazo, em risco ou atrasado, com os motivos. Quando o equipamento de um fornecedor não consegue usar o broker, ela marca o marco como atrasado e registra um controle compensatório temporário: sessões supervisionadas, com um engenheiro da Ardwell presente, que mantêm o trabalho desse fornecedor rastreável até o equipamento ser trocado ou atualizado. O Prof. Brenner elogia a honestidade. Ele observa que relatar tudo em verde até o prazo é uma falha comum, e que os conselhos só podem ajudar com problemas de que são informados a tempo.

Exemplo resolvido

Nadia planeja uma implementação em fases, trata a fadiga de aprovações com janelas de manutenção e relata com honestidade um marco atrasado, com um controle compensatório.

Caso sintético. Os planos e os fornecedores são sintéticos.

Erros e limites

Os planos encontram surpresas. Os controles compensatórios podem se tornar permanentes.

Exercícios

• EX082 — Fase um. O que a fase um cobre?
  Mostrar critérios de avaliação

  Rubrica: 3 = levar ao broker os dois fornecedores de maior risco;; 2 = dois fornecedores;; 1 = vago;; 0 = nenhuma.
• EX083 — Aprovações noturnas. Como a fadiga de aprovações à noite foi tratada?
  Mostrar critérios de avaliação

  Rubrica: 3 = janelas de manutenção pré-aprovadas;; 2 = janelas;; 1 = vago;; 0 = nenhuma.
• EX084 — Controle compensatório. Que controle compensatório cobriu o fornecedor cujo equipamento não podia usar o broker?
  Mostrar critérios de avaliação

  Rubrica: 3 = sessões supervisionadas com um engenheiro da Ardwell;; 2 = supervisão;; 1 = vago;; 0 = nenhuma.

Síntese

Planos em fases, atenção às pessoas e um reporte de status honesto fazem a implementação dar certo.