Capítulo 44 — Projeto final de engenharia I

Mapa da aula

Aula 44 publicada. Mapa, exemplo, EX130.

flowchart TD
  N0["44.1 Escopo"]
  N1["44.2 Critérios de sucesso"]
  N2["44.3 Risco do projeto"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX130"]

Desenho lógico

flowchart LR
  N0["44.1 Escopo"]
  N1["44.2 Critérios de sucesso"]
  N2["44.3 Risco do projeto"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX130"]

[44.1 Escopo]
    |
    v
[44.2 Critérios de sucesso]
    |
    v
[44.3 Risco do projeto]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX130]

Objetivos de aprendizagem

Você vai (1) definir o escopo de um projeto final de engenharia de governança; (2) definir critérios de sucesso com um cliente; (3) planejar o risco e a qualidade do próprio projeto.

44.1 Escopo

No projeto final, Nadia trabalha com a nova gestora de segurança da Ardwell num serviço de monitoramento contínuo de controles: coleta automática de evidências de vinte controles de alto valor, com alertas quando um controle falha e um painel para os responsáveis. O escopo exclui os controles que exigem julgamento humano, o que mantém a meta de vinte controles alcançável. Ela escreve uma declaração de escopo, lista as partes interessadas e combina as restrições: só a biblioteca padrão e os sistemas existentes, nenhum acesso a dados de produção além do que os responsáveis já compartilham e entrega em dois períodos letivos.

44.2 Critérios de sucesso

Com a cliente, Nadia define os critérios de sucesso: evidências de pelo menos dezoito dos vinte controles coletadas automaticamente; alertas em até um dia depois de uma falha de controle nos testes; responsáveis gastando menos tempo com evidências do que antes, medido por uma pesquisa curta; e nenhum encerramento falso de achados, o que retoma sua regra anterior de que só a analista encerra achados. Cada critério tem um método de medição. Ela aprende que combinar os critérios cedo evita disputas depois e mantém o projeto focado nos resultados que a cliente valoriza, e não em funcionalidades apenas interessantes.

44.3 Risco do projeto

Nadia aplica a gestão de riscos ao próprio projeto. Os riscos incluem atrasos no acesso aos dados, mudanças nos sistemas durante o projeto, seu próprio tempo limitado e a chance de os responsáveis ignorarem os alertas. Para cada um, ela registra uma resposta: pedidos de acesso antecipados, verificações de interface, uma folga no cronograma e o envolvimento dos responsáveis no desenho dos alertas, que também reduz a chance de serem ignorados. Ela aprende que uma engenheira de GRC que não gerencia os riscos do próprio projeto mina sua credibilidade, e que os hábitos que ensina aos outros valem também para o seu trabalho.

Exemplo resolvido

Nadia define o escopo de um serviço de monitoramento contínuo para vinte controles, combina quatro critérios de sucesso mensuráveis e gerencia os riscos do próprio projeto.

Caso sintético. O projeto final é sintético.

Erros e limites

Os escopos crescem. As pesquisas medem percepção, não tempo.

Exercícios

• EX130 — Controles excluídos. Que controles ficam fora do escopo?
  Mostrar critérios de avaliação

  Rubrica: 3 = os que exigem julgamento humano;; 2 = julgamento;; 1 = vago;; 0 = nenhuma.
• EX131 — Critério de cobertura. Qual é o critério de sucesso de cobertura de evidências?
  Mostrar critérios de avaliação

  Rubrica: 3 = pelo menos dezoito de vinte controles automatizados;; 2 = 18/20;; 1 = vago;; 0 = nenhuma.
• EX132 — Risco dos alertas. Como Nadia responde ao risco de os responsáveis ignorarem os alertas?
  Mostrar critérios de avaliação

  Rubrica: 3 = envolvendo os responsáveis no desenho dos alertas;; 2 = envolvimento;; 1 = vago;; 0 = nenhuma.

Síntese

Um projeto final começa com escopo claro, critérios de sucesso mensuráveis e risco de projeto gerenciado.