Capítulo 33 — Governança, riscos e compliance de segurança: segurança e resiliência
Mapa da aula
Aula 33 publicada. Mapa, exemplo, EX097.
flowchart TD
N0["33.1 Resiliência como meta de governança"]
N1["33.2 Operar sob ataque"]
N2["33.3 Testar a recuperação"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX097"]
Desenho lógico
flowchart LR
N0["33.1 Resiliência como meta de governança"]
N1["33.2 Operar sob ataque"]
N2["33.3 Testar a recuperação"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX097"]
[33.1 Resiliência como meta de governança]
|
v
[33.2 Operar sob ataque]
|
v
[33.3 Testar a recuperação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX097]
Objetivos de aprendizagem
Você vai (1) integrar a segurança das pessoas e a resiliência à governança; (2) planejar a continuidade da operação sob ataque; (3) testar os objetivos de recuperação.
33.1 Resiliência como meta de governança
Para uma distribuidora de energia, evitar todo incidente é impossível, então a meta real do conselho é a resiliência: manter a energia fluindo e restabelecer os serviços depressa quando algo dá errado. Nadia aprende que o NIST CSF 2.0 inclui as funções Respond e Recover ao lado da proteção e da detecção, e que a ISO/IEC 27002:2022 cobre a segurança da informação durante disrupções e a prontidão de TIC para a continuidade do negócio. Ela ajuda a Ardwell a definir objetivos de tempo de recuperação para o faturamento, o portal de pagamento e os sistemas de controle, acordados com o conselho, que ganha assim um teste mensurável de resiliência.
33.2 Operar sob ataque
Nadia participa de uma oficina sobre como operar enquanto os sistemas do escritório estão criptografados por ransomware. As salas de controle precisam continuar funcionando em sistemas isolados, com procedimentos em papel para as manobras. O faturamento pode parar por dias sem prejudicar os clientes se a comunicação for clara. O portal de pagamento pode redirecionar os clientes para pagar depois. Cada decisão é registrada num plano de continuidade. Ela aprende que planejar a resiliência obriga a governança a decidir de antemão que serviços importam mais, em vez de improvisar prioridades na crise. O Prof. Brenner observa que parar o faturamento por dias só é aceitável porque a comunicação aos clientes foi planejada antes.
33.3 Testar a recuperação
Os planos precisam ser testados. A Ardwell restaura o faturamento a partir do backup num ambiente de teste e mede o tempo: nove horas contra uma meta de oito. Nadia registra a lacuna, suas causas e as correções, como deixar os scripts de restauração preparados de antemão, o que basta para fechar uma lacuna dessa dimensão. Um exercício na sala de controle mostra que os procedimentos em papel estão desatualizados. Ela aprende que os testes de recuperação costumam falhar da primeira vez, e que esse é justamente seu propósito: registrar e fechar as lacunas é o que transforma um plano no papel numa resiliência real em que o conselho pode confiar.
Exemplo resolvido
Nadia ajuda a fixar objetivos de recuperação, planeja a operação sob ransomware e registra uma restauração de nove horas contra uma meta de oito.
Caso sintético. Os objetivos e os resultados dos testes são sintéticos; o CSF 2.0 e a ISO/IEC 27002:2022 são reais.
Erros e limites
Os testes são cenários ensaiados. As crises reais trazem surpresas.
Exercícios
- EX097 — Meta do conselho. Qual é a meta real de resiliência da Ardwell? Rubrica: 3 = manter a energia fluindo e restabelecer os serviços depressa;; 2 = resiliência;; 1 = vago;; 0 = nenhuma.
- EX098 — Lacuna da restauração. Como o teste de restauração do faturamento se comparou à meta? Rubrica: 3 = nove horas contra oito;; 2 = uma hora acima;; 1 = vago;; 0 = nenhuma.
- EX099 — Propósito do teste. Por que os primeiros testes de recuperação que falham são valiosos? Rubrica: 3 = revelam lacunas a fechar;; 2 = aprendizado;; 1 = vago;; 0 = nenhuma.
Síntese
A governança de resiliência define prioridades de antemão e comprova a recuperação por meio de testes.
Continue estudando — aula 33 (capítulo 33 de 50)
← Capítulo 32 · Índice das aulas · Capítulo 34 →
Continue para a próxima aula já escrita.