Capítulo 2 — Governança, riscos e compliance de segurança: prática atual
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX006.
flowchart TD
N0["2.1 Frameworks em uso"]
N1["2.2 A prática da Halbrook"]
N2["2.3 Tendências"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX006"]
Desenho lógico
flowchart LR
N0["2.1 Frameworks em uso"]
N1["2.2 A prática da Halbrook"]
N2["2.3 Tendências"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX006"]
[2.1 Frameworks em uso]
|
v
[2.2 A prática da Halbrook]
|
v
[2.3 Tendências]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX006]
Objetivos de aprendizagem
Você vai (1) levantar os frameworks atuais de GRC e seus usos; (2) avaliar a prática da Halbrook contra eles; (3) identificar as tendências que moldam a área.
2.1 Frameworks em uso
Daniel mapeia os frameworks usados na Halbrook. O programa de segurança segue a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) e tem certificação. O conselho recebe relatórios estruturados pelas funções do NIST CSF 2.0. A gestão de riscos corporativos segue os princípios da ISO 31000:2018 (ABNT NBR ISO 31000:2018). A auditoria interna usa o COBIT 2019 nas revisões de governança de TI. Os fornecedores entregam relatórios SOC 2 ou certificados ISO. Ele observa que cada framework responde a uma pergunta diferente e que as organizações maduras os combinam, em vez de escolher um só. A ISO 31000 diz à Halbrook como gerir riscos; o SOC 2 de um fornecedor diz quanto ela pode confiar nos controles dele.
2.2 A prática da Halbrook
Daniel avalia a prática da Halbrook com franqueza. As políticas e a certificação são maduras. A avaliação de riscos usa uma matriz cinco por cinco que o conselho tem dificuldade de comparar com os riscos financeiros. A supervisão de fornecedores depende de questionários que levam semanas e raramente são lidos a fundo. Os relatórios ao conselho são longos e, em sua maioria, listam atividades. Ele conclui que as fraquezas da Halbrook estão menos nos controles do que no modo de expressar o risco, de supervisionar os fornecedores e de informar o conselho. Essas três fraquezas viram os fios de seu trabalho posterior: curvas de excedência de perda, níveis de fornecedores e apetite quantificado para o conselho.
2.3 Tendências
Daniel identifica tendências: o interesse crescente em quantificar o risco cibernético em termos financeiros; reguladores que esperam que os conselhos supervisionem diretamente o risco cibernético, o que se reflete na função Govern do NIST CSF 2.0; a gestão de riscos da cadeia de suprimentos ganhando centralidade; e o monitoramento contínuo de controles substituindo as fotografias anuais. Ele aprende que as tendências devem ser pesadas contra a maturidade da organização, e que adotar um método da moda sem dados ou competências para sustentá-lo pode piorar a governança. A Halbrook, com certificação madura mas poucos dados de perdas, só pode adotar a quantificação começando por poucos cenários e faixas honestas.
Exemplo resolvido
Daniel mapeia cinco frameworks em uso na Halbrook, encontra fraquezas na expressão do risco, na supervisão de fornecedores e nos relatórios ao conselho e identifica quatro tendências.
Caso sintético. A prática da Halbrook é sintética; os frameworks citados são reais.
Erros e limites
As listas de tendências envelhecem depressa. A autoavaliação pode ser generosa.
Exercícios
- EX006 — Estrutura do conselho. Que framework estrutura os relatórios ao conselho da Halbrook? Rubrica: 3 = NIST CSF 2.0;; 2 = CSF;; 1 = COBIT;; 0 = nenhuma.
- EX007 — Problema da matriz. Por que o conselho tem dificuldade com a matriz cinco por cinco? Rubrica: 3 = é difícil compará-la com os riscos financeiros;; 2 = comparabilidade;; 1 = vago;; 0 = nenhuma.
- EX008 — Fraqueza com fornecedores. O que há de fraco na supervisão de fornecedores? Rubrica: 3 = questionários lentos, raramente lidos a fundo;; 2 = questionários;; 1 = vago;; 0 = nenhuma.
- EX009 — Cautela com tendências. Por que pesar as tendências contra a maturidade? Rubrica: 3 = métodos sem dados ou competências podem piorar a governança;; 2 = maturidade;; 1 = vago;; 0 = nenhuma.
- EX010 — Combinar frameworks. Por que as organizações maduras combinam frameworks? Rubrica: 3 = cada um responde a uma pergunta diferente;; 2 = complementares;; 1 = vago;; 0 = nenhuma.
Síntese
A prática atual combina frameworks; as lacunas da Halbrook estão em expressar o risco, supervisionar fornecedores e informar o conselho.
Continue estudando — aula 02 (capítulo 02 de 12)
← Capítulo 01 · Índice das aulas · Capítulo 03 →
Continue para a próxima aula já escrita.