Capítulo 2 — Governança, riscos e compliance de segurança: seminário avançado | Mestrado Governança de segurança, risco e conformidade

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Panorama dos frameworks"]
  N1["2.2 Análise de cobertura"]
  N2["Laboratório — Cobertura de requisitos, controles e e"]
  N3["2.3 Crítica ao mapeamento"]
  N4["2.4 Discussão no seminário"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Panorama dos frameworks"]
  N1["2.2 Análise de cobertura"]
  N2["Laboratório — Cobertura de requisitos, controles e e"]
  N3["2.3 Crítica ao mapeamento"]
  N4["2.4 Discussão no seminário"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX008"]

[2.1 Panorama dos frameworks]
    |
    v
[2.2 Análise de cobertura]
    |
    v
[Laboratório — Cobertura de requisitos, controles e e]
    |
    v
[2.3 Crítica ao mapeamento]
    |
    v
[2.4 Discussão no seminário]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) comparar os principais frameworks de governança e de controles; (2) analisar a cobertura de requisito a controle e a evidência; (3) apresentar um argumento crítico em seminário.

2.1 Panorama dos frameworks

No seminário, Lucas compara frameworks. A ISO/IEC 27001:2022 especifica os requisitos de um sistema de gestão da segurança da informação e lista no Anexo A controles de referência extraídos da ISO/IEC 27002:2022. O NIST CSF 2.0 organiza os resultados em seis funções, incluindo a nova função Govern. O COBIT 2019 trata da governança da informação e da tecnologia corporativas, separando governança de gestão. O NIST SP 800-53 Rev. 5 oferece um catálogo detalhado de controles. Ele observa que esses frameworks se sobrepõem bastante, mas diferem em finalidade, granularidade e na possibilidade de certificação, e guarda uma tabela dessas diferenças para os capítulos seguintes.

2.2 Análise de cobertura

O compliance muitas vezes pergunta se cada requisito tem um controle e uma evidência de que o controle funciona. Lucas monta um pequeno exemplo sintético para a Tessaly: dez requisitos de política, oito controles e um registro de quais controles têm evidência atual. O laboratório encontra oito requisitos mapeados a pelo menos um controle, mas só seis com evidência; dois requisitos estão sem mapeamento e dois estão mapeados a controles sem evidência. A cobertura é, portanto, de 80% no papel, mas de só 60% em termos demonstráveis, uma lacuna que os auditores provavelmente vão encontrar.

Laboratório — Cobertura de requisitos, controles e evidências

"""Requirement-to-control-to-evidence coverage on synthetic data (stdlib only)."""
reqs = {"R1": ["C1"], "R2": ["C2", "C3"], "R3": [], "R4": ["C4"], "R5": ["C5"],
        "R6": ["C6"], "R7": ["C2"], "R8": [], "R9": ["C7"], "R10": ["C8"]}
evidence = {"C1": True, "C2": True, "C3": False, "C4": True, "C5": False,
            "C6": True, "C7": True, "C8": False}
mapped = [r for r, c in reqs.items() if c]
evidenced = [r for r in mapped if any(evidence[c] for c in reqs[r])]
print(f"requirements {len(reqs)}; mapped {len(mapped)}; evidenced {len(evidenced)}")
print("unmapped:", ", ".join(r for r, c in reqs.items() if not c))
print("mapped but no evidence:", ", ".join(r for r in mapped if r not in evidenced))
print(f"coverage mapped {len(mapped)/len(reqs):.0%}; evidenced {len(evidenced)/len(reqs):.0%}")

Execute com python3 lab_map.py. Saída verificada:

requirements 10; mapped 8; evidenced 6
unmapped: R3, R8
mapped but no evidence: R5, R10
coverage mapped 80%; evidenced 60%

2.3 Crítica ao mapeamento

No artigo do seminário, Lucas argumenta que o mapeamento pode criar uma ilusão de garantia. Um requisito mapeado a um controle parece coberto, mas o controle pode estar mal desenhado, mal operado ou evidenciado por um documento que ninguém confere. Spears e Barki (2010) constataram que envolver os usuários de negócio na gestão de riscos de segurança melhorou o alinhamento com os processos de negócio, o que sugere que a cobertura depende de pessoas, e não só de tabelas. Ele recomenda que os mapeamentos registrem a qualidade e a data das evidências, e não apenas um vínculo, para que as lacunas continuem visíveis.

2.4 Discussão no seminário

Os colegas o contestam. Um argumenta que o mapeamento continua valioso porque revela requisitos sem mapeamento, como R3 e R8 no laboratório, que de outro modo seriam esquecidos. Outro observa que conferir evidências custa tempo, então as organizações fazem amostragem em vez de conferir tudo. Lucas aceita os dois pontos e refina sua tese: o mapeamento é um primeiro passo necessário, mas a garantia exige evidência testada, e a profundidade dos testes deve acompanhar o risco. Esse refinamento liga o seminário à pergunta da dissertação sobre as revisões de acesso.

Exemplo resolvido

Lucas compara quatro frameworks, encontra cobertura de 80% mapeada, mas de 60% evidenciada, e argumenta que a garantia exige evidência testada.

Caso sintético. Os dados de cobertura são sintéticos; os frameworks são reais.

Erros e limites

Percentuais de cobertura escondem a qualidade dos controles. Os frameworks mudam de edição.

Exercícios

EX008 — Norma certificável. Qual dos frameworks discutidos especifica requisitos certificáveis de SGSI?
Mostrar critérios de avaliação
Rubrica: 3 = ISO/IEC 27001:2022;; 2 = 27001;; 1 = CSF;; 0 = nenhuma.
EX009 — Separação do COBIT. O que o COBIT 2019 separa?
Mostrar critérios de avaliação
Rubrica: 3 = governança de gestão;; 2 = governança;; 1 = vago;; 0 = nenhuma.
EX010 — Número mapeado. Quantos requisitos o laboratório encontrou mapeados?
Mostrar critérios de avaliação
Rubrica: 3 = oito de dez;; 2 = 8;; 1 = 10;; 0 = nenhuma.
EX011 — Cobertura evidenciada. Que parcela dos requisitos tinha evidência?
Mostrar critérios de avaliação
Rubrica: 3 = 60%;; 2 = seis;; 1 = 80%;; 0 = nenhuma.
EX012 — Itens sem mapeamento. Que requisitos estavam sem mapeamento?
Mostrar critérios de avaliação
Rubrica: 3 = R3 e R8;; 2 = dois;; 1 = vago;; 0 = nenhuma.
EX013 — Ilusão de garantia. Por que o mapeamento pode criar uma ilusão de garantia?
Mostrar critérios de avaliação
Rubrica: 3 = controles mapeados podem estar mal desenhados, mal operados ou mal evidenciados;; 2 = qualidade oculta;; 1 = vago;; 0 = nenhuma.
EX014 — Tese refinada. Como Lucas refinou sua tese depois da discussão?
Mostrar critérios de avaliação
Rubrica: 3 = o mapeamento é necessário; a garantia exige evidência testada conforme o risco;; 2 = refinou;; 1 = vago;; 0 = nenhuma.

Síntese

Os frameworks se sobrepõem; uma cobertura demonstrável exige evidências, e não apenas mapeamentos.