Capítulo 1 — Pergunta de pesquisa e método de revisão da literatura

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Da preocupação à pergunta"]
  N1["1.2 Torná-la respondível"]
  N2["1.3 Buscar de forma sistemática"]
  N3["1.4 Ler normas como fontes"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Da preocupação à pergunta"]
  N1["1.2 Torná-la respondível"]
  N2["1.3 Buscar de forma sistemática"]
  N3["1.4 Ler normas como fontes"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX001"]

[1.1 Da preocupação à pergunta]
    |
    v
[1.2 Torná-la respondível]
    |
    v
[1.3 Buscar de forma sistemática]
    |
    v
[1.4 Ler normas como fontes]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) transformar uma preocupação de governança numa pergunta pesquisável; (2) buscar e triar a literatura de forma sistemática; (3) registrar as fontes para que outros possam repetir a busca.

1.1 Da preocupação à pergunta

Lucas Ferreira, mestrando no fictício Marlow Institute of Technology, trabalha meio período no escritório de segurança da Tessaly Logistics, uma empresa fictícia com 1.200 funcionários e um sistema de gestão certificado pela ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022). Os auditores continuam encontrando funcionários com acessos de que já não precisam. O gestor dele pergunta se revisar os acessos a cada trimestre, em vez de uma vez por ano, ajudaria. Lucas transforma isso numa pergunta de pesquisa: nas unidades de negócio da Tessaly, a revisão trimestral de acessos está associada a uma taxa menor de acesso excessivo do que a revisão anual, e a que custo em horas de revisores?

1.2 Torná-la respondível

Sua orientadora, a Dra. Ingrid Solberg, cobra precisão. O acesso excessivo precisa ser definido: uma conta que detém uma permissão que o papel atual do titular não exige, julgada contra um catálogo de papéis escrito. A unidade de análise é a conta, não a pessoa. O desfecho é medido num único momento por um revisor independente. O custo são as horas registradas pelos revisores. Lucas também anota o que o estudo não consegue mostrar: ele é observacional, porque as unidades escolheram a própria frequência de revisão, então qualquer diferença pode refletir outras características das unidades.

1.3 Buscar de forma sistemática

Lucas consulta duas bases acadêmicas e os sites de organismos de normalização com uma string de busca escrita que combina access review, entitlement, recertificação e achados de auditoria. Para cada busca, ele registra num log a data, a base, a string e o número de resultados. Tria títulos e resumos com regras de inclusão: fontes empíricas ou normativas sobre revisão periódica de acessos ou eficácia de controles em organizações. Mantém uma lista dos itens excluídos com os motivos. Esse log permite que a Dra. Solberg, ou qualquer pessoa, repita a busca e veja se Lucas deixou passar trabalhos relevantes.

1.4 Ler normas como fontes

As normas são um tipo especial de literatura. A ISO/IEC 27002:2022 orienta sobre direitos de acesso, incluindo a revisão dos direitos em intervalos planejados, mas não prescreve uma frequência. O NIST SP 800-53 Rev. 5 inclui um controle de gestão de contas cuja frequência de revisão é definida pela organização. Lucas observa que as normas expressam o consenso sobre boas práticas, e não efeitos testados, então definem a pergunta, mas não conseguem respondê-la. Ele as parafraseia em vez de copiá-las e cita cada uma pela edição, para que o leitor saiba exatamente a que texto se refere.

Exemplo resolvido

Lucas define o acesso excessivo contra um catálogo de papéis, registra buscas reproduzíveis e trata as normas como contexto, e não como evidência de efeito.

Caso sintético. A Tessaly, o Marlow e todos os dados são sintéticos; a ISO/IEC 27002:2022 e o SP 800-53 Rev. 5 são reais.

Erros e limites

Desenhos observacionais não provam causa. Logs de busca deixam escapar a literatura cinzenta.

Exercícios

• EX001 — Unidade de análise. Qual é a unidade de análise no estudo de Lucas?
  Mostrar critérios de avaliação

  Rubrica: 3 = a conta;; 2 = contas;; 1 = pessoas;; 0 = nenhuma.
• EX002 — Definição de excesso. Como se define o acesso excessivo?
  Mostrar critérios de avaliação

  Rubrica: 3 = uma permissão que o papel atual do titular não exige, segundo o catálogo de papéis;; 2 = catálogo de papéis;; 1 = vago;; 0 = nenhuma.
• EX003 — Medida de custo. Como Lucas mede o custo?
  Mostrar critérios de avaliação

  Rubrica: 3 = horas registradas pelos revisores;; 2 = horas;; 1 = vago;; 0 = nenhuma.
• EX004 — Limite do desenho. Por que o estudo não consegue provar causa?
  Mostrar critérios de avaliação

  Rubrica: 3 = as unidades escolheram a própria frequência de revisão;; 2 = observacional;; 1 = vago;; 0 = nenhuma.
• EX005 — Campos do log de busca. O que Lucas registra para cada busca?
  Mostrar critérios de avaliação

  Rubrica: 3 = data, base, string e número de resultados;; 2 = log;; 1 = vago;; 0 = nenhuma.
• EX006 — Orientação de frequência. A ISO/IEC 27002:2022 prescreve uma frequência de revisão?
  Mostrar critérios de avaliação

  Rubrica: 3 = não, pede intervalos planejados;; 2 = não;; 1 = sim;; 0 = nenhuma.
• EX007 — Papel das normas. O que as normas podem fazer por essa pergunta?
  Mostrar critérios de avaliação

  Rubrica: 3 = defini-la, mas não respondê-la;; 2 = contexto;; 1 = evidência de efeito;; 0 = nenhuma.

Síntese

Uma pergunta precisa e respondível e uma busca reproduzível vêm antes de quaisquer dados.