Capítulo 2 — Governança de segurança e o sistema de gestão | Pós-graduação Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Governança de segurança e o sistema de gestão

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX006.

flowchart TD
  N0["2.1 Estrutura de governança"]
  N1["2.2 Conceitos de sistema de gestão"]
  N2["2.3 Apetite a risco"]
  N3["2.4 Escopo"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX006"]

Desenho lógico

flowchart LR
  N0["2.1 Estrutura de governança"]
  N1["2.2 Conceitos de sistema de gestão"]
  N2["2.3 Apetite a risco"]
  N3["2.4 Escopo"]
  N0 --> N1 --> N2 --> N3 --> Q["EX006"]

[2.1 Estrutura de governança]
    |
    v
[2.2 Conceitos de sistema de gestão]
    |
    v
[2.3 Apetite a risco]
    |
    v
[2.4 Escopo]
    |
    v
[Exemplo resolvido] --> [Exercício EX006]

Objetivos de aprendizagem

Você vai (1) projetar uma estrutura de governança para a segurança; (2) aplicar os conceitos de sistema de gestão da ISO/IEC 27001; (3) definir o apetite a risco com um conselho.

2.1 Estrutura de governança

O conselho do Moorfield é formado por três dentistas sócios e dois representantes dos investidores. As decisões de segurança vinham sendo tomadas informalmente por Elena e pelo diretor de operações. Elena propõe uma estrutura: o conselho aprova a política e o apetite a risco todos os anos, um comitê de segurança formado por Elena, pelo diretor de operações e por um líder clínico se reúne mensalmente e os gerentes das clínicas respondem pelos controles locais. O Dr. Qureshi observa que papéis claros tornam evidente quem decide, quem age e quem precisa ser informado. O conselho aprova a estrutura na sua reunião trimestral seguinte.

2.2 Conceitos de sistema de gestão

Elena estuda a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022), que estabelece os requisitos de um sistema de gestão da segurança da informação. Ela pede que a organização entenda seu contexto e suas partes interessadas, obtenha o comprometimento da liderança, avalie e trate os riscos, forneça recursos, opere os controles, avalie o desempenho e melhore. A ISO/IEC 27000:2026 dá a visão geral da família e de seus termos. Elena percebe que o Moorfield já realiza muitas dessas atividades, mas sem registros, então não consegue mostrar que elas acontecem de forma coerente. Ela lista as atividades existentes do Moorfield em relação a cada cláusula e marca quais têm registros, quais têm registros parciais e quais não têm nenhum.

2.3 Apetite a risco

Elena redige uma declaração de apetite a risco para o conselho. O Moorfield aceitará um risco muito baixo para a confidencialidade dos prontuários dos pacientes, um risco baixo de indisponibilidade dos sistemas clínicos durante o horário de funcionamento e um risco moderado para os sistemas administrativos, como o de marketing. O conselho debate a redação e acrescenta que nenhuma clínica deve ficar impossibilitada de atender pacientes por mais de meio dia. O Dr. Qureshi observa que as declarações de apetite transformam valores em regras para priorizar o trabalho. A declaração final cabe numa página e é assinada pelo presidente do conselho.

2.4 Escopo

Elena define o escopo do sistema de gestão do Moorfield: todas as clínicas, a sede, o sistema de prontuários, os sistemas de imagem e o processamento de pagamentos. O laboratório de prótese, administrado por uma empresa separada, fica excluído, mas é tratado como fornecedor. Ela escreve o escopo num parágrafo, com um diagrama. O Dr. Qureshi adverte que um escopo pouco claro causa confusão depois, sobretudo quando um auditor ou uma seguradora pergunta o que o programa realmente abrange. O conselho aprova o escopo, e Elena o acrescenta à abertura do documento do programa de segurança, para que todos os que lerem o programa saibam o que ele abrange.

Exemplo resolvido

Elena projeta uma estrutura com conselho, comitê e gerentes de clínica, mapeia o Moorfield para os conceitos da ISO/IEC 27001, redige um apetite a risco com um limite clínico de meio dia e define o escopo.

Caso sintético. Os arranjos do conselho são sintéticos; as normas são parafraseadas.

Erros e limites

As atividades sem registros não conseguem mostrar que acontecem de forma coerente.

Exercícios

EX006 — Membros do comitê. Quem faz parte do comitê de segurança? Rubrica: 3 = Elena, o diretor de operações, um líder clínico;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX007 — Registros faltantes. O que falta ao Moorfield, apesar de realizar as atividades? Rubrica: 3 = registros;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX008 — Acréscimo do conselho. Que limite o conselho acrescenta? Rubrica: 3 = nenhuma clínica sem atender pacientes por mais de meio dia;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX009 — Parte excluída. O que fica excluído do escopo? Rubrica: 3 = o laboratório de prótese;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.
EX010 — Norma de visão geral. Que norma dá a visão geral da família? Rubrica: 3 = ISO/IEC 27000:2026;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

Continue estudando — aula 02 (capítulo 02 de 12)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.