Capítulo 36 — Governança, riscos e compliance de segurança: desempenho e escala

Mapa da aula

Aula 36 publicada. Mapa, exemplo, EX106.

flowchart TD
  N0["36.1 Carga de trabalho"]
  N1["36.2 Gargalos"]
  N2["36.3 Automação e amostragem"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX106"]

Desenho lógico

flowchart LR
  N0["36.1 Carga de trabalho"]
  N1["36.2 Gargalos"]
  N2["36.3 Automação e amostragem"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX106"]

[36.1 Carga de trabalho]
    |
    v
[36.2 Gargalos]
    |
    v
[36.3 Automação e amostragem]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX106]

Objetivos de aprendizagem

Você vai (1) estimar a carga de trabalho de um programa de GRC; (2) encontrar os gargalos à medida que ele cresce; (3) reduzir o esforço com automação e amostragem.

36.1 Carga de trabalho

Nadia estima a carga anual do programa da Ardwell: oitenta controles com testes em várias frequências, revisões trimestrais de acessos em dez sistemas, amostragem mensal de gravações e auditorias anuais. Ela soma as horas por atividade com as estimativas dos responsáveis e chega a um total próximo de dois funcionários em tempo integral, espalhados de forma rala entre muitas pessoas. Ela aprende que os programas de GRC muitas vezes fracassam não por mau projeto, mas por esforço subestimado, o que leva a testes pulados e evidências velhas. Espalhados por muitas pessoas, dois equivalentes em tempo integral podem sumir em outras tarefas, e é assim que os testes deixam de acontecer.

36.2 Gargalos

Como a Ardwell planeja acrescentar um segundo centro de controle e mais fornecedores, Nadia modela o crescimento. As revisões de acesso e a coleta de evidências crescem com os sistemas e os fornecedores, mas a analista de segurança que confere as evidências é uma única pessoa. No ritmo atual, a fila dela dobraria em um ano. Nadia a identifica como o gargalo e recomenda distribuir a revisão entre responsáveis pelos controles treinados, com a analista amostrando o trabalho deles, como amostradora e não como única conferente. Encontrar o ponto mais estreito permite à Ardwell investir onde mais importa.

36.3 Automação e amostragem

Nadia lista as tarefas que poderiam ser automatizadas: coletar os níveis de patch, exportar as listas de contas e conferir os baselines de configuração. A automação reduz o esforço e melhora a consistência, embora os scripts precisem de seus próprios testes e responsáveis. A coleta automática dos níveis de patch, por exemplo, elimina uma tarefa manual e deixa a evidência mensal consistente. Para tarefas que exigem julgamento, como revisar gravações, a amostragem reduz o esforço mantendo a garantia. Ela aprende que a escala na governança vem de projetar as evidências para fluírem automaticamente dos sistemas, reservando a atenção humana para decisões, exceções e o que a automação não sabe julgar.

Exemplo resolvido

Nadia estima um esforço de cerca de dois funcionários em tempo integral, identifica a analista de evidências como gargalo e propõe automação e amostragem.

Caso sintético. As estimativas de carga de trabalho são sintéticas.

Erros e limites

As estimativas de horas são aproximadas. A automação pode falhar em silêncio.

Exercícios

• EX106 — Esforço total. Quanto esforço, aproximadamente, o programa exige?
  Mostrar critérios de avaliação

  Rubrica: 3 = cerca de dois funcionários em tempo integral;; 2 = dois FTE;; 1 = vago;; 0 = nenhuma.
• EX107 — Pessoa-gargalo. Quem é o gargalo à medida que a Ardwell cresce?
  Mostrar critérios de avaliação

  Rubrica: 3 = a única analista de segurança que confere as evidências;; 2 = analista;; 1 = vago;; 0 = nenhuma.
• EX108 — Foco humano. Para onde deve ir a atenção humana depois que as evidências forem automatizadas?
  Mostrar critérios de avaliação

  Rubrica: 3 = decisões, exceções e tarefas de julgamento;; 2 = julgamento;; 1 = vago;; 0 = nenhuma.

Síntese

Uma governança escalável automatiza as evidências e reserva a atenção humana para o julgamento.