Capítulo 12 — Portfólio de prática e revisão final

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX060.

flowchart TD
  N0["12.1 O portfólio"]
  N1["12.2 A apresentação ao conselho"]
  N2["12.3 O plano de 90 dias"]
  N3["12.5 Revisão final"]
  N4["12.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N6["Capítulo 1"]
  N7["Capítulo 2"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX060"]

Desenho lógico

flowchart LR
  N0["12.1 O portfólio"]
  N1["12.2 A apresentação ao conselho"]
  N2["12.3 O plano de 90 dias"]
  N3["12.5 Revisão final"]
  N4["12.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N6["Capítulo 1"]
  N7["Capítulo 2"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX060"]

[12.1 O portfólio]
    |
    v
[12.2 A apresentação ao conselho]
    |
    v
[12.3 O plano de 90 dias]
    |
    v
[12.5 Revisão final]
    |
    v
[12.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Capítulo 1]
    |
    v
[Capítulo 2]
    |
    v
[Exemplo resolvido] --> [Exercício EX060]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• montar um portfólio profissional que mostre, com evidências, o que você consegue fazer como coordenador;
• apresentar ao conselho, em dez minutos, a segurança da infraestrutura crítica, com as decisões solicitadas;
• escrever um plano realista de 90 dias para um novo cargo de coordenação;
• avaliar o seu próprio trabalho em relação ao resultado do curso e identificar o que ainda precisa aprender.

Este capítulo encerra o curso: ele reúne os resultados dos Capítulos 1–11 e testa se você consegue operar um fluxo de trabalho repetível e comunicar constatações.

12.1 O portfólio

O portfólio de um coordenador não é um certificado; é um conjunto de produtos de trabalho que outra pessoa poderia verificar. Monte-o a partir dos exercícios que você concluiu, sanitizados e claramente marcados como trabalho do curso sobre dados sintéticos:

Tabela da aula; deslize para ver todas as colunas →

Acrescente uma reflexão de uma página: o que você faria diferente e uma área sobre a qual precisa aprender mais (por exemplo, os fundamentos técnicos de TO do curso técnico, ou as obrigações legais da sua jurisdição).

12.2 A apresentação ao conselho

Os conselhos dos operadores de serviços essenciais carregam cada vez mais uma responsabilidade explícita pela gestão de riscos de cibersegurança (por exemplo, os requisitos da NIS2 para os órgãos de gestão, Directive (EU) 2022/2555, Article 20). Uma apresentação de dez minutos tem cinco partes:

1. Contexto — o serviço, a consequência que importa e o quadro de ameaças no nível dos alertas públicos.
2. Onde estamos — os principais riscos classificados por consequência, com donos e datas; os níveis de garantia dos controles-chave.
3. O que aprendemos — o último exercício ou incidente, em duas ou três constatações.
4. O que estamos fazendo — o plano, com o progresso em relação a ele.
5. O que precisamos de vocês — decisões: aceitações de risco, orçamento, declarações de apetite, prioridades.

Evite jargão, notas únicas e medo. Os conselhos agem a partir de consequências claras, planos críveis e pedidos específicos.

12.3 O plano de 90 dias

Os primeiros 90 dias de um novo coordenador, destilados deste livro:

• Dias 1–30: ouvir e mapear. Conhecer todas as partes interessadas que "decidem" e que "precisam ser informadas"; esboçar o mapa de dependências; ler o registro de riscos, o histórico de incidentes e a lista de fornecedores; registrar o que é pressuposto.
• Dias 31–60: resolver a titularidade. Donos para todo risco de nível 5; uma RACI para incidentes; um cartão de escalonamento; um registro de notificações; uma primeira revisão de acesso de fornecedores.
• Dias 61–90: testar e relatar. Um primeiro exercício de mesa sobre o cenário de alta consequência mais provável; um AAR e um plano de melhoria; uma primeira apresentação ao conselho com as decisões solicitadas.

Resista à tentação de começar com um novo framework, uma nova ferramenta ou uma política longa. Titularidade, informação e ensaio primeiro.

12.4 Exemplo resolvido: a apresentação ao conselho de outubro (sintético)

A apresentação de dez minutos da coordenadora ao comitê de auditoria e riscos da Kestrel Water, presidido por T. Lindqvist, em resumo:

1. Contexto. "O nosso trabalho é água segura para 180.000 pessoas, incluindo o Kestrel General Hospital. Alertas públicos descrevem ataques a controladores de água expostos à internet (CISA AA23-335A); verificamos e não temos nenhum exposto, o que foi confirmado em setembro."
2. Onde estamos. "Três riscos poderiam afetar a saúde ou o hospital; todos agora têm donos. A MFA de fornecedores está implementada para cinco de seis fornecedores e verificada por teste para dois; a restauração do historiador foi testada em agosto, em 19 horas, contra um objetivo de 24 horas."
3. O que aprendemos. "O exercício DRY CREEK mostrou que não sabíamos quem liga para o hospital e que suspender um fornecedor é lento quando não sabemos quem depende dele. As duas coisas foram corrigidas; vamos testar de novo em janeiro."
4. O que estamos fazendo. "Cinco de sete ações do exercício encerradas e verificadas; duas vencem em novembro."
5. O que precisamos. "Primeiro, aceitar a exceção do controlador da KW-10 até março, com medidas compensatórias. Segundo, aprovar as cláusulas contratuais de fornecedores para todas as renovações. Terceiro, definir uma declaração de apetite: nenhum risco de nível 5 sem tratamento financiado por mais de 12 meses."

Cada número tem uma fonte no portfólio. Nada é uma nota única.

12.5 Revisão final

O resultado do curso pede que você opere um fluxo de trabalho repetível e comunique constatações. Confira-se em relação ao ciclo:

• Enquadrar e identificar — você consegue descrever um serviço pela consequência e encontrar riscos na conversa?
• Analisar e decidir — você consegue escrever riscos assumíveis, classificá-los de forma reproduzível e registrar decisões e aceitações?
• Organizar — você consegue atribuir papéis, governar mudanças e escalar?
• Verificar — você consegue distinguir declarado de testado e desenhar verificações proporcionais?
• Comunicar — você consegue cumprir prazos e informar clientes, o público e o conselho com honestidade?
• Melhorar — você consegue testar com um exercício e encerrar ações com evidências?

Onde a resposta for "ainda não", o número do capítulo diz para onde voltar.

12.6 Atividade prática

Monte o seu portfólio a partir das suas respostas aos exercícios. Peça a um par que o revise segundo a rubrica final (EX060) e que tente verificar três afirmações apenas a partir das suas evidências.

Escolha afirmações que importem, como "MFA de fornecedores verificada por teste para dois fornecedores" ou "historiador restaurado em 19 horas", e veja se o seu par consegue encontrar, só pelo portfólio, o registro, a data e o dono por trás de cada uma. Onde não conseguir, corrija a evidência, e não a redação. Marque claramente cada item como trabalho do curso sobre dados sintéticos e remova qualquer coisa que possa identificar uma organização ou pessoa real antes de compartilhá-lo.

12.7 Erros comuns e limites

• Portfólios de certificados em vez de produtos de trabalho.
• Apresentações ao conselho sem pedidos.
• Planos de 90 dias que começam por ferramentas.
• Apresentar trabalho sintético do curso como constatações organizacionais reais.

• Este curso não faz de você um especialista técnico em TO nem um advogado; saiba quando chamar um.

• Relatar uma afirmação ao conselho sem fonte no portfólio, de modo que ninguém consegue conferi-la depois.

• Pedir uma decisão ao conselho sem dizer o que acontece se ele a recusar, por exemplo por quanto tempo a exceção da KW-10 continuaria de outra forma.
• Atualizar o portfólio uma vez e deixá-lo envelhecer depois do fim do curso.

Exercícios — capítulo 12

EX056 — Índice do portfólio. Objetivo: reunir evidências. Insumos: as suas respostas aos exercícios. Passos: produzir o índice do portfólio com o artefato, o capítulo e a afirmação que cada um sustenta. Evidência esperada: índice com pelo menos oito artefatos. Rubrica: 3 = cada artefato ligado a uma afirmação e a um exercício específicos, sanitizado e rotulado como sintético; 2 = índice sem afirmações; 1 = lista de capítulos; 0 = nada.

EX057 — Apresentação ao conselho. Objetivo: comunicar à governança. Insumos: a seção 12.2 e o seu portfólio. Passos: escrever o roteiro da apresentação (no máximo 600 palavras). Evidência esperada: roteiro. Rubrica: 3 = cinco partes, consequências em linguagem simples, números com fonte, níveis de garantia declarados, três pedidos específicos; nenhuma nota única; 2 = sem pedidos; 1 = relatório técnico; 0 = nada.

EX058 — Plano de 90 dias. Objetivo: planejar um cargo. Insumos: um novo cargo de coordenador numa rede hospitalar regional. Passos: escrever o plano de 90 dias com três fases e entregas. Evidência esperada: plano. Rubrica: 3 = adapta-se à saúde (liderança clínica como tomadora de decisões, dispositivos médicos, segurança do paciente, dependências internas críticas), titularidade antes das ferramentas, exercício e relatório ao conselho até o dia 90; 2 = genérico; 1 = começa pelas ferramentas; 0 = nada.

EX059 — Verifique uma afirmação. Objetivo: testar as evidências. Insumos: a afirmação "a restauração do historiador foi testada em agosto, em 19 horas". Passos: listar as evidências que você esperaria encontrar no portfólio para sustentá-la e duas perguntas que um auditor cético faria. Evidência esperada: lista e perguntas. Rubrica: 3 = plano de teste, autorização, log cronometrado, registro do resultado, verificação da completude dos dados; perguntas sobre o escopo (restauração completa ou parcial) e o ambiente (isolado ou semelhante à produção); 2 = apenas as evidências; 1 = "confiar no engenheiro"; 0 = nada.

EX060 — Autoavaliação. Objetivo: refletir em relação ao resultado do curso. Insumos: seção 12.5. Passos: atribuir-se de 0 a 3 nas seis áreas do ciclo, com evidência para cada uma, e um plano de aprendizagem para as duas mais baixas. Evidência esperada: seis notas e um plano. Rubrica: 3 = notas honestas, cada uma sustentada por um artefato do portfólio, plano de aprendizagem específico, com recursos e datas; 2 = notas sem evidência; 1 = tudo 3; 0 = nada.

Síntese do capítulo

Um coordenador profissional demonstra competência por meio de produtos de trabalho verificáveis: mapas, registros, cadastros, RACIs, cartões de controle, briefings de casos, registros de notificações, relatórios de exercícios e planos de melhoria. Apresente-se aos conselhos com consequências, evidências e pedidos específicos; comece um novo cargo pela titularidade, pela informação e pelo ensaio; e avalie-se com honestidade em relação ao ciclo completo — enquadrar, decidir, organizar, verificar, comunicar, melhorar.