Capítulo 8 — Governança, riscos e compliance de segurança: casos difíceis

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX036.

flowchart TD
  N0["8.1 Um fornecedor crítico falha"]
  N1["8.2 Evidências incompletas"]
  N2["8.3 Escalonamento"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX036"]

Desenho lógico

flowchart LR
  N0["8.1 Um fornecedor crítico falha"]
  N1["8.2 Evidências incompletas"]
  N2["8.3 Escalonamento"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX036"]

[8.1 Um fornecedor crítico falha]
    |
    v
[8.2 Evidências incompletas]
    |
    v
[8.3 Escalonamento]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX036]

Objetivos de aprendizagem

Você vai (1) lidar com conflitos entre compliance e risco; (2) decidir com evidências incompletas; (3) escalar de forma adequada.

8.1 Um fornecedor crítico falha

O relatório SOC 2 tipo 2 de um fornecedor de sinistros de nível alto mostra exceções: as revisões de acesso não foram feitas durante dois trimestres. O fornecedor é crítico, e substituí-lo levaria um ano. Daniel precisa recomendar o que fazer. Ele considera as opções: aceitar com controles compensatórios, exigir um plano de remediação com marcos, aumentar o monitoramento ou iniciar um plano de saída. Recomenda um plano de remediação, monitoramento extra do acesso do fornecedor aos dados da Halbrook e uma avaliação de saída em paralelo. A avaliação de saída em paralelo evita que a Halbrook fique presa se os marcos da remediação atrasarem.

8.2 Evidências incompletas

Um novo provedor de nuvem para análise de fraudes oferece apenas um certificado ISO/IEC 27001:2022 recente, cujo escopo não inclui claramente o serviço de análise. Daniel não consegue confirmar os controles diretamente. Recomenda um piloto limitado com dados sintéticos, direitos contratuais de auditoria e o pedido de uma declaração de escopo. Ele aprende que os casos difíceis raramente oferecem evidências completas, e que a boa prática é limitar a exposição enquanto as evidências são reunidas, em vez de escolher entre confiança cega e recusa. O piloto com dados sintéticos permite que os analistas de fraude testem o serviço sem expor dados de segurados a controles não confirmados.

8.3 Escalonamento

Um diretor de negócio quer seguir com o provedor de análise usando dados reais de segurados antes que a declaração de escopo chegue. Daniel escala para o diretor de riscos (CRO) com um memorando curto: a decisão necessária, as opções, o risco e sua recomendação. O CRO apoia o piloto apenas com dados sintéticos. Daniel aprende que o escalonamento é uma ferramenta normal de governança, e que um memorando claro faz dele um processo de decisão, e não uma disputa pessoal. O memorando também deixa um registro mostrando que tanto o pedido do diretor quanto o raciocínio de risco foram considerados.

Exemplo resolvido

Daniel trata as exceções do SOC 2 num fornecedor crítico, limita a exposição a um provedor incerto e escala uma decisão sobre dados com um memorando claro.

Caso sintético. Os fornecedores e as decisões são sintéticos; o SOC 2 e a ISO/IEC 27001:2022 são reais.

Erros e limites

Os controles compensatórios podem mascarar o risco. O escalonamento pode desgastar relações.

Exercícios

• EX036 — Exceção no SOC 2. Que exceção o relatório do fornecedor mostrou?
  Mostrar critérios de avaliação

  Rubrica: 3 = revisões de acesso não feitas durante dois trimestres;; 2 = revisão de acesso;; 1 = vago;; 0 = nenhuma.
• EX037 — Plano para o fornecedor crítico. O que Daniel recomendou para o fornecedor crítico?
  Mostrar critérios de avaliação

  Rubrica: 3 = plano de remediação, monitoramento extra e avaliação de saída em paralelo;; 2 = três;; 1 = substituir imediatamente;; 0 = nenhuma.
• EX038 — Dúvida de escopo. Por que o certificado do provedor era insuficiente?
  Mostrar critérios de avaliação

  Rubrica: 3 = o escopo não incluía claramente o serviço de análise;; 2 = escopo;; 1 = vago;; 0 = nenhuma.
• EX039 — Exposição limitada. Como Daniel limitou a exposição enquanto reunia evidências?
  Mostrar critérios de avaliação

  Rubrica: 3 = piloto com dados sintéticos e direitos de auditoria;; 2 = piloto;; 1 = vago;; 0 = nenhuma.
• EX040 — Memorando de escalonamento. O que continha o memorando de Daniel?
  Mostrar critérios de avaliação

  Rubrica: 3 = decisão necessária, opções, risco e recomendação;; 2 = memorando;; 1 = vago;; 0 = nenhuma.

Síntese

Casos difíceis exigem limitar a exposição, ler a garantia com cuidado e escalar com clareza.