Capítulo 34 — Governança, riscos e compliance de segurança: integração

Mapa da aula

Aula 34 publicada. Mapa, exemplo, EX100.

flowchart TD
  N0["34.1 Risco corporativo"]
  N1["34.2 Linguagem comum"]
  N2["34.3 Processos alinhados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX100"]

Desenho lógico

flowchart LR
  N0["34.1 Risco corporativo"]
  N1["34.2 Linguagem comum"]
  N2["34.3 Processos alinhados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX100"]

[34.1 Risco corporativo]
    |
    v
[34.2 Linguagem comum]
    |
    v
[34.3 Processos alinhados]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX100]

Objetivos de aprendizagem

Você vai (1) integrar a GRC à gestão de riscos corporativos; (2) ligar o risco de segurança aos relatórios financeiros e operacionais; (3) alinhar os processos entre os departamentos.

34.1 Risco corporativo

A Ardwell já tem um registro de riscos corporativos que cobre riscos financeiros, operacionais, regulatórios e de segurança das pessoas. Os riscos de segurança da informação viviam num registro separado, então o conselho os via isoladamente. Nadia ajuda a integrá-los, mapeando os riscos de segurança nas categorias corporativas e usando escalas comuns de probabilidade e impacto. A ISO 31000:2018 promove a integração da gestão de riscos em todas as atividades da organização, e o COBIT 2019 liga as metas de TI às metas corporativas. A integração permite ao conselho comparar o risco cibernético com os demais em pé de igualdade, num único registro.

34.2 Linguagem comum

A integração exige uma linguagem compartilhada. As equipes de segurança falavam de vulnerabilidades e ameaças; finanças falava de perdas e provisões. Nadia redige um glossário e uma tabela de tradução. Um cenário de ransomware vira um risco de disrupção operacional com uma faixa de impacto financeiro e uma obrigação de comunicação regulatória, o que dá a finanças uma faixa de perda comparável à cobertura do seguro. Ela aprende que traduzir não é simplificar, mas conectar: cada público mantém sua precisão enquanto vê como o risco se relaciona com coisas que já administra, como a cobertura de seguros e as reservas.

34.3 Processos alinhados

Nadia alinha os calendários para que as revisões de riscos de segurança alimentem o relatório trimestral de riscos corporativos, os planos da auditoria interna considerem os achados de segurança e as compras confiram a segurança dos fornecedores antes dos contratos. Cada departamento mantém seu processo, mas as passagens de bastão são definidas. Ela aprende que a integração fracassa quando significa uma equipe tomar o trabalho de outra, e dá certo quando as interfaces são claras. O Prof. Brenner observa que isso aplica a ênfase da engenharia de sistemas nas interfaces, estudada antes. A conferência dos fornecedores pelas compras é uma dessas passagens: de responsabilidade das compras, mas informada pela segurança.

Exemplo resolvido

Nadia mapeia os riscos de segurança nas categorias corporativas, monta um glossário de tradução e alinha os calendários de revisão entre os departamentos.

Caso sintético. Os registros e os processos são sintéticos; a ISO 31000:2018 e o COBIT 2019 são reais.

Erros e limites

As escalas comuns podem apagar distinções. A integração exige esforço político.

Exercícios

• EX100 — Benefício da integração. O que a integração dos registros permite ao conselho?
  Mostrar critérios de avaliação

  Rubrica: 3 = comparar o risco cibernético com os demais em pé de igualdade;; 2 = comparação;; 1 = vago;; 0 = nenhuma.
• EX101 — Exemplo de tradução. Como um cenário de ransomware foi traduzido para finanças?
  Mostrar critérios de avaliação

  Rubrica: 3 = disrupção operacional com faixa de impacto financeiro e obrigação de comunicação;; 2 = tradução;; 1 = vago;; 0 = nenhuma.
• EX102 — Fracasso da integração. Quando a integração fracassa?
  Mostrar critérios de avaliação

  Rubrica: 3 = quando uma equipe toma o trabalho de outra;; 2 = tomada;; 1 = vago;; 0 = nenhuma.

Síntese

Integrar GRC ao risco corporativo exige escalas comuns, tradução e repasses claros.