Capítulo 12 — Portfólio de prática e revisão final
Mapa da aula
Aula 12 publicada. Mapa, exemplo, EX056.
flowchart TD
N0["12.1 Portfólio"]
N1["12.2 Revisão final"]
N2["12.3 Próximos passos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX056"]
Desenho lógico
flowchart LR
N0["12.1 Portfólio"]
N1["12.2 Revisão final"]
N2["12.3 Próximos passos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX056"]
[12.1 Portfólio]
|
v
[12.2 Revisão final]
|
v
[12.3 Próximos passos]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX056]
Objetivos de aprendizagem
Você vai (1) montar um portfólio de prática; (2) refletir sobre as competências adquiridas; (3) planejar os próximos passos na prática de GRC.
12.1 Portfólio
Lena monta seu portfólio: o mapa de partes interessadas e a declaração de finalidade, a avaliação de riscos do aplicativo, a comparação das autoavaliações, o fluxo de achados e a análise de envelhecimento, o teste de controle por amostragem, o relatório ao conselho e a revisão do relatório do fornecedor. Para cada item, escreve uma nota curta sobre o que fez, que evidências o sustentam e o que aprendeu. Ela remove quaisquer dados reais de associados ou de funcionários, mantendo apenas material sintético ou anonimizado. Cada nota liga um artefato ao capítulo em que foi produzido, para que os avaliadores possam seguir seu raciocínio.
12.2 Revisão final
O Sr. Reyes e um segundo avaliador revisam o portfólio. Perguntam como ela lidaria com um regulador que questionasse o tamanho da sua amostra; ela explica a taxa tolerável e a confiança e se oferece para ampliar a amostra, se necessário. Perguntam o que ela achou mais difícil; ela responde que foi resistir às pressões para suavizar os relatórios mantendo boas relações. Eles a julgam competente e destacam sua força em ligar as evidências às conclusões. A pergunta sobre a amostra mostra por que ela registrou a taxa tolerável e a confiança ao fazer o teste no capítulo 7.
12.3 Próximos passos
Lena planeja seus próximos passos: assumir a responsabilidade pelo risco de fornecedores na Marston, aprofundar seu conhecimento da ISO/IEC 27001:2022 (ABNT NBR ISO/IEC 27001:2022) para apoiar uma possível certificação e ser mentora de uma colega júnior no manuseio de evidências. Ela se compromete a revisar seus métodos todo ano, à medida que as normas e as ameaças mudam. O Sr. Reyes lembra que a prática de GRC depende de julgamento, honestidade e acompanhamento constante, tanto quanto de frameworks. Assumir o risco de fornecedores também fecha a lacuna de governança que ela identificou no caso da cooperativa congênere.
Exemplo resolvido
Lena monta um portfólio de sete itens, responde aos avaliadores sobre amostragem e pressões e planeja seus próximos passos.
Caso sintético. O portfólio é sintético; a ISO/IEC 27001:2022 é real.
Erros e limites
Os portfólios mostram trabalhos selecionados. Os planos mudam com as funções.
Exercícios
- EX056 — Nota do portfólio. Que nota acompanha cada item do portfólio? Rubrica: 3 = o que fez, as evidências que o sustentam, o que aprendeu;; 2 = nota;; 1 = vago;; 0 = nenhuma.
- EX057 — Dados no portfólio. Que dados Lena removeu do portfólio? Rubrica: 3 = dados reais de associados ou funcionários;; 2 = dados reais;; 1 = vago;; 0 = nenhuma.
- EX058 — Questionamento da amostra. Como Lena responderia a um regulador que questionasse o tamanho da amostra? Rubrica: 3 = explicaria a taxa tolerável e a confiança e se ofereceria para ampliar;; 2 = explicar;; 1 = vago;; 0 = nenhuma.
- EX059 — Parte mais difícil. O que Lena achou mais difícil? Rubrica: 3 = resistir às pressões para suavizar relatórios mantendo as relações;; 2 = pressão;; 1 = vago;; 0 = nenhuma.
- EX060 — Próxima função. Que responsabilidade Lena vai assumir em seguida? Rubrica: 3 = a responsabilidade pelo risco de fornecedores;; 2 = trabalho com fornecedores em geral, sem a responsabilidade pelo risco;; 1 = vago;; 0 = nenhuma.
Síntese
Um portfólio de prática demonstra competência e dá direção à prática contínua de GRC.
Continue estudando — aula 12 (capítulo 12 de 12)
← Capítulo 11 · Índice das aulas · Próximo curso pelo índice →
O índice aponta para o próximo curso do percurso de estudos.
Resoluções
Respostas-modelo para EX001–EX060. Lena Hoffmann, o Sr. Victor Reyes, a Ashby Professional Academy, a Marston Credit Union e todos os números são sintéticos; o relatório SOC 2 revisado é fictício. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Confidencialidade e integridade.
EX002. Porque os associados esperam acessar suas contas a qualquer hora.
EX003. A equipe da central de atendimento.
EX004. Controles não verificados quanto à eficácia e decisões de risco tomadas informalmente pela TI (também relatórios fracos ao conselho).
EX005. Porque a disciplina de compliance é uma base sólida para o trabalho mais amplo de governança.
EX006. Uma gestão de riscos sólida e a comunicação tempestiva de incidentes.
EX007. As obrigações do PCI DSS v4.0 de proteger os dados dos portadores de cartão.
EX008. Onde a Marston não tem um meio claro de mostrar que atende a uma expectativa.
EX009. Manter o risco de segurança dentro do apetite, cumprir as obrigações e dar às partes interessadas evidências confiáveis.
EX010. Por exemplo, nenhum achado de alta severidade em atraso (ou os principais riscos dentro do apetite, revisões regulatórias sem ressalvas).
EX011. Mudar sistemas ou aprovar exceções por conta própria.
EX012. Só quando necessário para uma revisão específica, com aprovação e registro em log.
EX013. Uma pasta restrita, nomes consistentes, origens registradas e remoção dos dados de associados desnecessários.
EX014. Pediram que ela avaliasse procedimentos que ela mesma tinha escrito.
EX015. Declarou-o e pediu a uma colega que revisasse essa área.
EX016. Estabelecer o contexto, identificar, analisar, avaliar, tratar, e monitorar e analisar criticamente.
EX017. Tomada de conta levando a perdas financeiras dos associados.
EX018. Quando recuperadas em até quatro horas.
EX019. Autenticação mais forte para novos favorecidos e monitoramento de transações.
EX020. Para mostrar aos reguladores e auditores que os riscos foram considerados e geridos de forma deliberada.
EX021. Tende a ser otimista.
EX022. Gestão de fornecedores, com diferença de 1,33.
EX023. Porque os testes de restauração produzem evidências claras.
EX024. Porque os contratos incluíam cláusulas de segurança, mas ninguém verificava se os fornecedores as cumpriam.
EX025. Endurecer as definições das notas para exigir evidências e concentrar a revisão nas maiores diferenças.
EX026. Lena verifica as evidências antes de encerrar o achado.
EX027. Trinta dias.
EX028. Com uma medida provisória acordada e um plano mais longo e realista.
EX029. Os achados de alta severidade em atraso.
EX030. Para o executivo a quem o dono responde.
EX031. Cinquenta e nove.
EX032. Noventa e nove.
EX033. Porque a autenticação de novos favorecidos protege o dinheiro dos associados, então uma taxa apertada é adequada.
EX034. Se o log de autenticação mostrava um segundo fator bem-sucedido antes do pagamento.
EX035. Cobre só o canal do aplicativo (e mostra que a autenticação ocorreu, não que resiste a todos os ataques).
EX036. Exceções no relatório de garantia do fornecedor que ninguém acompanhou.
EX037. Os relatórios de garantia eram recebidos, mas não lidos.
EX038. Ninguém era dono do risco de fornecedores e o conselho nunca o viu relatado.
EX039. Acompanhadas como achados no fluxo.
EX040. A proporção de fornecedores críticos com relatórios revisados (ou o tempo de acompanhamento das exceções).
EX041. As decisões que se pede ao conselho que tome.
EX042. Porque suavizar a linguagem poderia enganar conselheiros que têm deveres legais de supervisão.
EX043. Junto com o plano de remediação e o progresso.
EX044. Adiar o registro de um achado para depois da visita do regulador.
EX045. Ajuda para preparar um plano de remediação a ser apresentado com o achado.
EX046. Quatro de oito.
EX047. Dois, com 48 e 95 dias.
EX048. O dono saiu da Marston e ninguém o assumiu.
EX049. Reatribuindo automaticamente os achados quando os donos saem.
EX050. Revisados por trimestre, para que sejam corrigidos ou formalmente aceitos.
EX051. O módulo de monitoramento de fraudes que a Marston também usa.
EX052. Porque o período do relatório terminou nove meses antes.
EX053. A remoção atrasada dos acessos de desligados e uma varredura trimestral de vulnerabilidades não realizada.
EX054. Revisar o acesso dos próprios usuários ao portal do fornecedor.
EX055. Porque as organizações supõem que o fornecedor cuida de tudo.
EX056. O que ela fez, as evidências que o sustentam e o que aprendeu.
EX057. Quaisquer dados reais de associados ou de funcionários, mantendo apenas material sintético ou anonimizado.
EX058. Explicando a taxa tolerável e o nível de confiança e oferecendo-se para ampliar a amostra.
EX059. Resistir às pressões para suavizar os relatórios mantendo boas relações.
EX060. A responsabilidade pelo risco de fornecedores na Marston.