Capítulo 7 — Arquitetura e engenharia de segurança: integração organizacional
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["7.1 Arquitetura e governança"]
N1["7.2 Um comitê de revisão que funciona"]
N2["7.3 Ligação com outras funções"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["7.1 Arquitetura e governança"]
N1["7.2 Um comitê de revisão que funciona"]
N2["7.3 Ligação com outras funções"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX031"]
[7.1 Arquitetura e governança]
|
v
[7.2 Um comitê de revisão que funciona]
|
v
[7.3 Ligação com outras funções]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) incorporar a arquitetura à governança da Corvane; (2) ligar a arquitetura ao sistema de gestão; (3) desenhar um comitê de revisão de arquitetura que funcione.
7.1 Arquitetura e governança
Os projetos de Priya só duram se passarem a fazer parte do modo como a Corvane funciona. Ela liga a arquitetura ao sistema de gestão da segurança da informação exigido pela ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022): avaliação de riscos, declaração de aplicabilidade, auditoria interna e análise crítica pela direção. Cada registro de decisão de arquitetura agora referencia os riscos que trata e os controles que implementa. Quando o auditor interno testa um controle, consegue rastreá-lo de volta a uma decisão de projeto e a seus motivos, fechando a lacuna entre os documentos de arquitetura e as evidências de auditoria. Isso também encurta a preparação para as auditorias.
7.2 Um comitê de revisão que funciona
O antigo comitê de revisão de arquitetura da Corvane se reunia mensalmente, revisava todos os projetos e se tornou um gargalo que as equipes evitavam. Priya o redesenha. Os projetos respondem a um formulário curto de triagem; só chegam ao comitê os que acrescentam fornecedores, fluxos de dados de pacientes, conexões de dispositivos clínicos ou exposição à internet. O comitê se reúne semanalmente por trinta minutos, publica as decisões em até dois dias e usa um modelo padrão. Em um trimestre, mais projetos se apresentam voluntariamente, porque o processo é rápido e previsível, em vez de ser uma fonte de atraso.
7.3 Ligação com outras funções
Priya mapeia onde a arquitetura toca compras, engenharia clínica, privacidade e finanças. Compras acrescenta perguntas de segurança às licitações; a engenharia clínica passa a integrar o comitê nos projetos de dispositivos; o encarregado de privacidade revisa todo novo fluxo de dados de pacientes; finanças vê cedo os custos de arquitetura. Ela usa as famílias de controles do NIST SP 800-53 Rev. 5 para garantir que nenhuma área fique sem responsável. A integração funciona quando cada função vê a arquitetura como uma ajuda para seus próprios objetivos, e não como uma aprovação extra imposta de fora. Cada interface tem um contato nomeado.
Exemplo resolvido
Priya liga os registros de decisão aos processos da ISO/IEC 27001 (no Brasil, ABNT NBR ISO/IEC 27001), redesenha o comitê de revisão com triagem e reuniões semanais curtas e mapeia quatro interfaces com responsáveis.
Caso sintético. A governança da Corvane é sintética; a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) e o SP 800-53 Rev. 5 são reais.
Erros e limites
A triagem pode deixar passar projetos arriscados que respondem não. Comitês rápidos podem virar carimbadores.
Exercícios
-
EX031 — Rastreabilidade para a auditoria. Como ligar os registros ao SGSI ajudou os auditores? Rubrica: 3 = eles conseguem rastrear um controle até sua decisão de projeto;; 2 = rastreabilidade;; 1 = vago;; 0 = nenhuma.
-
EX032 — Problema do comitê antigo. O que havia de errado com o antigo comitê de revisão? Rubrica: 3 = revisava tudo mensalmente e virou um gargalo;; 2 = gargalo;; 1 = rápido demais;; 0 = nenhuma.
-
EX033 — Gatilhos da triagem. Que características de um projeto disparam a revisão pelo comitê? Rubrica: 3 = fornecedores, fluxos de dados de pacientes, dispositivos clínicos, exposição à internet;; 2 = dois;; 1 = todos os projetos;; 0 = nenhuma.
-
EX034 — Efeito do comitê. O que mudou em um trimestre após o redesenho? Rubrica: 3 = mais projetos se apresentaram voluntariamente;; 2 = voluntário;; 1 = vago;; 0 = nenhuma.
-
EX035 — Princípio de integração. Quando a integração com outras funções funciona? Rubrica: 3 = quando cada função vê a arquitetura ajudando seus próprios objetivos;; 2 = objetivos comuns;; 1 = imposições;; 0 = nenhuma.
Síntese
A arquitetura perdura quando está incorporada ao sistema de gestão e a um processo de revisão rápido e previsível.
Continue estudando — aula 07 (capítulo 07 de 12)
← Capítulo 06 · Índice das aulas · Capítulo 08 →
Continue para a próxima aula já escrita.