Capítulo 37 — Governança, riscos e compliance de segurança: operações

Mapa da aula

Aula 37 publicada. Mapa, exemplo, EX109.

flowchart TD
  N0["37.1 Operar o serviço"]
  N1["37.2 Achados até o encerramento"]
  N2["37.3 Revisão operacional"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX109"]

Desenho lógico

flowchart LR
  N0["37.1 Operar o serviço"]
  N1["37.2 Achados até o encerramento"]
  N2["37.3 Revisão operacional"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX109"]

[37.1 Operar o serviço]
    |
    v
[37.2 Achados até o encerramento]
    |
    v
[37.3 Revisão operacional]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX109]

Objetivos de aprendizagem

Você vai (1) operar o programa de GRC como um serviço; (2) conduzir achados e incidentes até o encerramento; (3) revisar as operações regularmente.

37.1 Operar o serviço

Nadia acompanha a gestora de segurança da Ardwell por um mês. Cada semana começa com uma revisão das tarefas de controle vencidas, dos novos achados e das exceções perto do vencimento, o que impede que exceções temporárias virem lacunas permanentes. No meio da semana há reuniões com os responsáveis cujos controles falharam. O fim do mês traz a conferência de evidências e a preparação dos indicadores. Ela aprende que a governança não é um projeto anual, mas um serviço contínuo com um ritmo, e que o próprio ritmo é um controle: quando as revisões semanais deixam de acontecer, os problemas se acumulam sem ninguém ver.

37.2 Achados até o encerramento

Todo achado segue um caminho: registro com gravidade e responsável, plano de correção acordado, prazo, evidência da correção e verificação por alguém que não seja o responsável. Nadia acompanha vinte achados em aberto e nota que vários foram marcados como corrigidos sem evidência. Ela introduz a regra de que só a analista de segurança pode encerrar achados, depois de conferir a evidência. As taxas de encerramento caem por um tempo, mostrando quantos encerramentos anteriores não tinham evidência, e depois se recuperam com correções reais. Ela aprende que encerrar sem verificar produz números reconfortantes, mas não reduz o risco.

37.3 Revisão operacional

A cada trimestre, a gestora de segurança revisa o próprio programa: as tarefas estão em dia? Os achados estão envelhecendo? As exceções estão crescendo? Que controles falham repetidamente? Nadia ajuda a preparar a revisão e nota que as falhas de patch se repetem há três trimestres nos dispositivos das subestações. A revisão escala isso como problema de projeto, e não de responsável, o que leva a um projeto de substituição dos dispositivos, eliminando uma causa que nenhum esforço dos responsáveis resolveria. Ela aprende que os dados de operação revelam onde o problema real é o projeto, e não o esforço.

Exemplo resolvido

Nadia observa o ritmo semanal, exige encerramento verificado dos achados e ajuda uma revisão trimestral a escalar falhas repetidas de patch como problema de projeto.

Caso sintético. Os achados e as revisões são sintéticos.

Erros e limites

O encerramento verificado atrasa os relatórios. As revisões podem virar rotina.

Exercícios

• EX109 — Ritmo como controle. Por que o ritmo semanal é, ele mesmo, um controle?
  Mostrar critérios de avaliação

  Rubrica: 3 = quando ele falha, os problemas se acumulam sem ninguém ver;; 2 = ritmo;; 1 = vago;; 0 = nenhuma.
• EX110 — Regra de encerramento. Quem pode encerrar achados pela regra de Nadia?
  Mostrar critérios de avaliação

  Rubrica: 3 = só a analista de segurança, depois de conferir a evidência;; 2 = analista;; 1 = responsável;; 0 = nenhuma.
• EX111 — Falhas repetidas. O que as falhas repetidas de patch nas subestações acabaram sendo?
  Mostrar critérios de avaliação

  Rubrica: 3 = um problema de projeto que levou à substituição dos dispositivos;; 2 = projeto;; 1 = responsável;; 0 = nenhuma.

Síntese

As operações de GRC precisam de ritmo, de encerramento verificado e de revisões que encontrem problemas de desenho.