<a id="ch-02"></a>

## Capítulo 2 — Governança, riscos e compliance de segurança: seminário avançado

<!-- open-cyber-academy:lesson-figures:start ch-02 -->
### Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

```mermaid
flowchart TD
  N0["2.1 Panorama dos frameworks"]
  N1["2.2 Análise de cobertura"]
  N2["Laboratório — Cobertura de requisitos, controles e e"]
  N3["2.3 Crítica ao mapeamento"]
  N4["2.4 Discussão no seminário"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]
```

### Desenho lógico

```mermaid
flowchart LR
  N0["2.1 Panorama dos frameworks"]
  N1["2.2 Análise de cobertura"]
  N2["Laboratório — Cobertura de requisitos, controles e e"]
  N3["2.3 Crítica ao mapeamento"]
  N4["2.4 Discussão no seminário"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX008"]
```

```text
[2.1 Panorama dos frameworks]
    |
    v
[2.2 Análise de cobertura]
    |
    v
[Laboratório — Cobertura de requisitos, controles e e]
    |
    v
[2.3 Crítica ao mapeamento]
    |
    v
[2.4 Discussão no seminário]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]
```
<!-- open-cyber-academy:lesson-figures:end ch-02 -->


### Objetivos de aprendizagem

Você vai (1) comparar os principais frameworks de governança e de controles; (2) analisar a cobertura de requisito a controle e a evidência; (3) apresentar um argumento crítico em seminário.

### 2.1 Panorama dos frameworks

No seminário, Lucas compara frameworks. A ISO/IEC 27001:2022 especifica os requisitos de um sistema de gestão da segurança da informação e lista no Anexo A controles de referência extraídos da ISO/IEC 27002:2022. O NIST CSF 2.0 organiza os resultados em seis funções, incluindo a nova função Govern. O COBIT 2019 trata da governança da informação e da tecnologia corporativas, separando governança de gestão. O NIST SP 800-53 Rev. 5 oferece um catálogo detalhado de controles. Ele observa que esses frameworks se sobrepõem bastante, mas diferem em finalidade, granularidade e na possibilidade de certificação, e guarda uma tabela dessas diferenças para os capítulos seguintes.

### 2.2 Análise de cobertura

O compliance muitas vezes pergunta se cada requisito tem um controle e uma evidência de que o controle funciona. Lucas monta um pequeno exemplo sintético para a Tessaly: dez requisitos de política, oito controles e um registro de quais controles têm evidência atual. O laboratório encontra oito requisitos mapeados a pelo menos um controle, mas só seis com evidência; dois requisitos estão sem mapeamento e dois estão mapeados a controles sem evidência. A cobertura é, portanto, de 80% no papel, mas de só 60% em termos demonstráveis, uma lacuna que os auditores provavelmente vão encontrar.

### Laboratório — Cobertura de requisitos, controles e evidências

```python
"""Requirement-to-control-to-evidence coverage on synthetic data (stdlib only)."""
reqs = {"R1": ["C1"], "R2": ["C2", "C3"], "R3": [], "R4": ["C4"], "R5": ["C5"],
        "R6": ["C6"], "R7": ["C2"], "R8": [], "R9": ["C7"], "R10": ["C8"]}
evidence = {"C1": True, "C2": True, "C3": False, "C4": True, "C5": False,
            "C6": True, "C7": True, "C8": False}
mapped = [r for r, c in reqs.items() if c]
evidenced = [r for r in mapped if any(evidence[c] for c in reqs[r])]
print(f"requirements {len(reqs)}; mapped {len(mapped)}; evidenced {len(evidenced)}")
print("unmapped:", ", ".join(r for r, c in reqs.items() if not c))
print("mapped but no evidence:", ", ".join(r for r in mapped if r not in evidenced))
print(f"coverage mapped {len(mapped)/len(reqs):.0%}; evidenced {len(evidenced)/len(reqs):.0%}")
```

Execute com `python3 lab_map.py`. Saída verificada:

```text
requirements 10; mapped 8; evidenced 6
unmapped: R3, R8
mapped but no evidence: R5, R10
coverage mapped 80%; evidenced 60%
```

### 2.3 Crítica ao mapeamento

No artigo do seminário, Lucas argumenta que o mapeamento pode criar uma ilusão de garantia. Um requisito mapeado a um controle parece coberto, mas o controle pode estar mal desenhado, mal operado ou evidenciado por um documento que ninguém confere. Spears e Barki (2010) constataram que envolver os usuários de negócio na gestão de riscos de segurança melhorou o alinhamento com os processos de negócio, o que sugere que a cobertura depende de pessoas, e não só de tabelas. Ele recomenda que os mapeamentos registrem a qualidade e a data das evidências, e não apenas um vínculo, para que as lacunas continuem visíveis.

### 2.4 Discussão no seminário

Os colegas o contestam. Um argumenta que o mapeamento continua valioso porque revela requisitos sem mapeamento, como R3 e R8 no laboratório, que de outro modo seriam esquecidos. Outro observa que conferir evidências custa tempo, então as organizações fazem amostragem em vez de conferir tudo. Lucas aceita os dois pontos e refina sua tese: o mapeamento é um primeiro passo necessário, mas a garantia exige evidência testada, e a profundidade dos testes deve acompanhar o risco. Esse refinamento liga o seminário à pergunta da dissertação sobre as revisões de acesso.

### Exemplo resolvido

Lucas compara quatro frameworks, encontra cobertura de 80% mapeada, mas de 60% evidenciada, e argumenta que a garantia exige evidência testada.

> **Caso sintético.** Os dados de cobertura são sintéticos; os frameworks são reais.

### Erros e limites

Percentuais de cobertura escondem a qualidade dos controles. Os frameworks mudam de edição.

### Exercícios

- **EX008 — Norma certificável.** Qual dos frameworks discutidos especifica requisitos certificáveis de SGSI? *Rubrica:* 3 = ISO/IEC 27001:2022;; 2 = 27001;; 1 = CSF;; 0 = nenhuma.
- **EX009 — Separação do COBIT.** O que o COBIT 2019 separa? *Rubrica:* 3 = governança de gestão;; 2 = governança;; 1 = vago;; 0 = nenhuma.
- **EX010 — Número mapeado.** Quantos requisitos o laboratório encontrou mapeados? *Rubrica:* 3 = oito de dez;; 2 = 8;; 1 = 10;; 0 = nenhuma.
- **EX011 — Cobertura evidenciada.** Que parcela dos requisitos tinha evidência? *Rubrica:* 3 = 60%;; 2 = seis;; 1 = 80%;; 0 = nenhuma.
- **EX012 — Itens sem mapeamento.** Que requisitos estavam sem mapeamento? *Rubrica:* 3 = R3 e R8;; 2 = dois;; 1 = vago;; 0 = nenhuma.
- **EX013 — Ilusão de garantia.** Por que o mapeamento pode criar uma ilusão de garantia? *Rubrica:* 3 = controles mapeados podem estar mal desenhados, mal operados ou mal evidenciados;; 2 = qualidade oculta;; 1 = vago;; 0 = nenhuma.
- **EX014 — Tese refinada.** Como Lucas refinou sua tese depois da discussão? *Rubrica:* 3 = o mapeamento é necessário; a garantia exige evidência testada conforme o risco;; 2 = refinou;; 1 = vago;; 0 = nenhuma.

### Síntese

Os frameworks se sobrepõem; uma cobertura demonstrável exige evidências, e não apenas mapeamentos.

<!-- open-cyber-academy:chapter-navigation:start ch-02 -->
### Continue estudando — aula 02 (capítulo 02 de 08)

[← Capítulo 01](#ch-01) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 03 →](#ch-03)

Continue para a próxima aula já escrita.
<!-- open-cyber-academy:chapter-navigation:end -->

## Worked answers

<a id="answer-ex008"></a>
**EX008.** ISO/IEC 27001:2022.

<a id="answer-ex009"></a>
**EX009.** Governança de gestão da informação e da tecnologia corporativas.

<a id="answer-ex010"></a>
**EX010.** Oito de dez.

<a id="answer-ex011"></a>
**EX011.** 60%, seis de dez.

<a id="answer-ex012"></a>
**EX012.** R3 e R8.

<a id="answer-ex013"></a>
**EX013.** Porque um controle mapeado pode estar mal desenhado, mal operado ou evidenciado por documentos que ninguém confere.

<a id="answer-ex014"></a>
**EX014.** O mapeamento é um primeiro passo necessário, mas a garantia exige evidência testada, com profundidade proporcional ao risco.