Capítulo 39 — Governança, riscos e compliance de segurança: manutenibilidade
Mapa da aula
Aula 39 publicada. Mapa, exemplo, EX115.
flowchart TD
N0["39.1 Manter as coisas atuais"]
N1["39.2 Mudanças nos frameworks"]
N2["39.3 Perda de conhecimento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX115"]
Desenho lógico
flowchart LR
N0["39.1 Manter as coisas atuais"]
N1["39.2 Mudanças nos frameworks"]
N2["39.3 Perda de conhecimento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX115"]
[39.1 Manter as coisas atuais]
|
v
[39.2 Mudanças nos frameworks]
|
v
[39.3 Perda de conhecimento]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX115]
Objetivos de aprendizagem
Você vai (1) manter atualizados políticas, controles e registros; (2) gerir as mudanças de edição dos frameworks; (3) evitar a perda de conhecimento.
39.1 Manter as coisas atuais
Um programa de GRC decai se não for mantido. As políticas citam sistemas desativados, os controles descrevem práticas abandonadas e as entradas do registro descrevem riscos que mudaram. Nadia fixa datas de revisão para cada documento e controle e as liga a gatilhos, como uma grande mudança de sistema ou um incidente, que forçam uma revisão antecipada; um incidente de mau uso, por exemplo, forçaria a revisão da política de acesso de fornecedores antes da data anual. Ela aprende que manutenibilidade significa projetar os artefatos de governança para serem fáceis de atualizar: curtos, com responsável, versionados e ligados às coisas que descrevem.
39.2 Mudanças nos frameworks
As normas mudam de edição. A ISO/IEC 27001 foi revisada em 2022, reorganizando seus controles de referência em quatro temas, e o NIST CSF passou à versão 2.0 em 2024, acrescentando a função Govern. Nadia aprende que cada mudança exige um plano de transição: comparar os requisitos antigos e novos, atualizar os mapeamentos, ajustar os controles e treinar a equipe. Manter os mapeamentos em dados estruturados, e não em prosa, facilita muito as transições, porque as mudanças podem ser rastreadas item por item em vez de reescritas do zero. O mapeamento da Ardwell aos temas da ISO/IEC 27001:2022, guardado como dados, pode ser conferido linha a linha.
39.3 Perda de conhecimento
Quando a gestora de segurança anuncia a aposentadoria, Nadia percebe que boa parte do programa vive na cabeça dela. Juntas, elas escrevem notas curtas sobre por que as decisões-chave foram tomadas, que responsáveis precisam de apoio e onde ficam as evidências. A gestora trabalha dois meses em dupla com sua sucessora. Nadia aprende que o conhecimento de governança, sobretudo os motivos das decisões, se perde com facilidade, e que registros de decisão, runbooks e passagens de bastão com sobreposição são controles de manutenibilidade por si só. O registro de decisão do broker, por exemplo, explica escolhas que a sucessora poderia, de outro modo, desfazer.
Exemplo resolvido
Nadia liga as revisões a gatilhos, planeja as transições de edição dos frameworks e registra o conhecimento antes de uma aposentadoria-chave.
Caso sintético. Os documentos da Ardwell são sintéticos; os fatos sobre as edições da ISO/IEC 27001 e do CSF são reais.
Erros e limites
Os gatilhos são esquecidos. As notas de passagem ficam incompletas.
Exercícios
- EX115 — Gatilhos de revisão. O que dispara a revisão antecipada dos documentos de governança? Rubrica: 3 = grandes mudanças de sistema ou incidentes;; 2 = gatilhos;; 1 = vago;; 0 = nenhuma.
- EX116 — Mudança do CSF. O que o NIST CSF 2.0 acrescentou? Rubrica: 3 = a função Govern;; 2 = Govern;; 1 = vago;; 0 = nenhuma.
- EX117 — Medida de passagem. Que medida protege contra a perda do conhecimento da gestora que se aposenta? Rubrica: 3 = notas sobre as decisões e uma passagem em dupla de dois meses;; 2 = passagem;; 1 = vago;; 0 = nenhuma.
Síntese
Uma governança sustentável é curta, tem donos, é versionada e resiste a mudanças de edição e à rotatividade da equipe.
Continue estudando — aula 39 (capítulo 39 de 50)
← Capítulo 38 · Índice das aulas · Capítulo 40 →
Continue para a próxima aula já escrita.