Capítulo 40 — Laboratório de verificação II

Mapa da aula

Aula 40 publicada. Mapa, exemplo, EX118.

flowchart TD
  N0["40.1 Testes de regressão"]
  N1["40.2 Testar as ferramentas"]
  N2["40.3 Relatar as regressões"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX118"]

Desenho lógico

flowchart LR
  N0["40.1 Testes de regressão"]
  N1["40.2 Testar as ferramentas"]
  N2["40.3 Relatar as regressões"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX118"]

[40.1 Testes de regressão]
    |
    v
[40.2 Testar as ferramentas]
    |
    v
[40.3 Relatar as regressões]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX118]

Objetivos de aprendizagem

Você vai (1) verificar de novo os controles depois de mudanças; (2) testar as próprias ferramentas de GRC; (3) relatar os achados de regressão.

40.1 Testes de regressão

Depois que a Ardwell atualiza seu sistema de tickets, Nadia executa de novo os testes de verificação das ferramentas de GRC e do broker. Ela aprende que as mudanças podem quebrar controles de formas inesperadas. A atualização muda o modo como as tarefas recorrentes são agendadas, e várias tarefas de controle trimestrais passam a vencer anualmente, o que também enfraqueceria as evidências da revisão de acessos em que os auditores confiam. Sem testes de regressão, a mudança teria reduzido em silêncio a frequência dos controles por um ano. Ela acrescenta uma verificação que compara as frequências agendadas com o registro de controles depois de cada atualização.

40.2 Testar as ferramentas

As próprias ferramentas de GRC precisam ser verificadas. Nadia testa que os anexos de evidência não podem ser alterados depois do encerramento, que só pessoas autorizadas podem encerrar achados e que os relatórios contam as tarefas corretamente. Um relatório conta duas vezes os achados reabertos, inflando o número de achados em aberto que chegaria ao conselho. Ela corrige a consulta e acrescenta um caso de teste. Ela aprende que as ferramentas que produzem evidências de governança merecem o mesmo rigor que os controles que acompanham, porque os erros da ferramenta viram erros na visão que o conselho tem do risco.

40.3 Relatar as regressões

Nadia relata as duas regressões com gravidade, causa e correção, e recomenda que as atualizações dos sistemas de GRC sigam a gestão de mudanças, com verificação antes da liberação. Também propõe manter uma pequena biblioteca de casos de teste executados depois de qualquer mudança, o que torna barato repetir a verificação e aumenta a chance de ela de fato acontecer. O Prof. Brenner observa que o trabalho de laboratório mostra um princípio-chave: a verificação não é um evento único, mas precisa ser repetida sempre que o sistema muda, porque as condições que faziam um controle funcionar podem desaparecer em silêncio.

Exemplo resolvido

Nadia encontra, depois de uma atualização, uma regressão de agendamento e um erro de contagem dupla num relatório, e cria testes de regressão para os dois.

Caso sintético. As ferramentas e os defeitos são sintéticos.

Erros e limites

As suítes de regressão envelhecem. Nem toda mudança dispara os testes.

Exercícios

• EX118 — Regressão de agendamento. O que a atualização quebrou?
  Mostrar critérios de avaliação

  Rubrica: 3 = tarefas trimestrais viraram anuais;; 2 = frequência;; 1 = vago;; 0 = nenhuma.
• EX119 — Defeito do relatório. Que erro de relatório Nadia encontrou?
  Mostrar critérios de avaliação

  Rubrica: 3 = achados reabertos contados duas vezes;; 2 = contagem dupla;; 1 = vago;; 0 = nenhuma.
• EX120 — Princípio da verificação. Que princípio o laboratório ilustra?
  Mostrar critérios de avaliação

  Rubrica: 3 = a verificação precisa ser repetida sempre que o sistema muda;; 2 = repetir;; 1 = evento único;; 0 = nenhuma.

Síntese

A reverificação após mudanças protege os controles e as ferramentas que reportam sobre eles.