## Capítulo 36 — Governança, riscos e compliance de segurança: desempenho e escala ### Mapa da aula Aula 36 publicada. Mapa, exemplo, EX106. ```mermaid flowchart TD N0["36.1 Carga de trabalho"] N1["36.2 Gargalos"] N2["36.3 Automação e amostragem"] N3["Síntese"] N0 --> N1 --> N2 --> N3 N3 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX106"] ``` ### Desenho lógico ```mermaid flowchart LR N0["36.1 Carga de trabalho"] N1["36.2 Gargalos"] N2["36.3 Automação e amostragem"] N3["Síntese"] N0 --> N1 --> N2 --> N3 --> Q["EX106"] ``` ```text [36.1 Carga de trabalho] | v [36.2 Gargalos] | v [36.3 Automação e amostragem] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX106] ``` ### Objetivos de aprendizagem Você vai (1) estimar a carga de trabalho de um programa de GRC; (2) encontrar os gargalos à medida que ele cresce; (3) reduzir o esforço com automação e amostragem. ### 36.1 Carga de trabalho Nadia estima a carga anual do programa da Ardwell: oitenta controles com testes em várias frequências, revisões trimestrais de acessos em dez sistemas, amostragem mensal de gravações e auditorias anuais. Ela soma as horas por atividade com as estimativas dos responsáveis e chega a um total próximo de dois funcionários em tempo integral, espalhados de forma rala entre muitas pessoas. Ela aprende que os programas de GRC muitas vezes fracassam não por mau projeto, mas por esforço subestimado, o que leva a testes pulados e evidências velhas. Espalhados por muitas pessoas, dois equivalentes em tempo integral podem sumir em outras tarefas, e é assim que os testes deixam de acontecer. ### 36.2 Gargalos Como a Ardwell planeja acrescentar um segundo centro de controle e mais fornecedores, Nadia modela o crescimento. As revisões de acesso e a coleta de evidências crescem com os sistemas e os fornecedores, mas a analista de segurança que confere as evidências é uma única pessoa. No ritmo atual, a fila dela dobraria em um ano. Nadia a identifica como o gargalo e recomenda distribuir a revisão entre responsáveis pelos controles treinados, com a analista amostrando o trabalho deles, como amostradora e não como única conferente. Encontrar o ponto mais estreito permite à Ardwell investir onde mais importa. ### 36.3 Automação e amostragem Nadia lista as tarefas que poderiam ser automatizadas: coletar os níveis de patch, exportar as listas de contas e conferir os baselines de configuração. A automação reduz o esforço e melhora a consistência, embora os scripts precisem de seus próprios testes e responsáveis. A coleta automática dos níveis de patch, por exemplo, elimina uma tarefa manual e deixa a evidência mensal consistente. Para tarefas que exigem julgamento, como revisar gravações, a amostragem reduz o esforço mantendo a garantia. Ela aprende que a escala na governança vem de projetar as evidências para fluírem automaticamente dos sistemas, reservando a atenção humana para decisões, exceções e o que a automação não sabe julgar. ### Exemplo resolvido Nadia estima um esforço de cerca de dois funcionários em tempo integral, identifica a analista de evidências como gargalo e propõe automação e amostragem. > **Caso sintético.** As estimativas de carga de trabalho são sintéticas. ### Erros e limites As estimativas de horas são aproximadas. A automação pode falhar em silêncio. ### Exercícios - **EX106 — Esforço total.** Quanto esforço, aproximadamente, o programa exige? *Rubrica:* 3 = cerca de dois funcionários em tempo integral;; 2 = dois FTE;; 1 = vago;; 0 = nenhuma. - **EX107 — Pessoa-gargalo.** Quem é o gargalo à medida que a Ardwell cresce? *Rubrica:* 3 = a única analista de segurança que confere as evidências;; 2 = analista;; 1 = vago;; 0 = nenhuma. - **EX108 — Foco humano.** Para onde deve ir a atenção humana depois que as evidências forem automatizadas? *Rubrica:* 3 = decisões, exceções e tarefas de julgamento;; 2 = julgamento;; 1 = vago;; 0 = nenhuma. ### Síntese Uma governança escalável automatiza as evidências e reserva a atenção humana para o julgamento. ### Continue estudando — aula 36 (capítulo 36 de 50) [← Capítulo 35](#ch-35) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 37 →](#ch-37) Continue para a próxima aula já escrita. ## Worked answers **EX106.** Perto de dois funcionários em tempo integral, espalhados entre muitas pessoas. **EX107.** A única analista de segurança que confere as evidências. **EX108.** Para decisões, exceções e tarefas que exigem julgamento.