Capítulo 2 — Governança, riscos e compliance de segurança: contexto de serviços e partes interessadas

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX006.

flowchart TD
  N0["2.1 Partes interessadas"]
  N1["2.2 Expectativas"]
  N2["2.3 Finalidade do programa"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX006"]

Desenho lógico

flowchart LR
  N0["2.1 Partes interessadas"]
  N1["2.2 Expectativas"]
  N2["2.3 Finalidade do programa"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX006"]

[2.1 Partes interessadas]
    |
    v
[2.2 Expectativas]
    |
    v
[2.3 Finalidade do programa]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX006]

Objetivos de aprendizagem

Você vai (1) identificar as partes interessadas na segurança de uma cooperativa de crédito; (2) mapear suas expectativas; (3) definir a finalidade do programa de GRC.

2.1 Partes interessadas

Lena mapeia as partes interessadas: os associados, que confiam suas economias à Marston; o conselho, eleito pelos associados; o regulador financeiro; o fundo garantidor de depósitos; as bandeiras de cartão, por meio das obrigações do PCI DSS v4.0; os auditores; e fornecedores como o provedor do core bancário. Cada um tem expectativas sobre a segurança. Os associados esperam que seu dinheiro e seus dados estejam seguros. O regulador espera uma gestão de riscos sólida e a comunicação tempestiva de incidentes. As bandeiras esperam a proteção dos dados dos portadores de cartão. Ela aprende que a GRC atende a muitos públicos ao mesmo tempo; o fundo garantidor e as bandeiras, por exemplo, pedirão evidências diferentes sobre os mesmos controles.

2.2 Expectativas

Lena lista as expectativas de cada parte interessada, como elas são expressas e como a Marston mostra que as atende. As expectativas do regulador chegam por meio de normas e de visitas de supervisão; a Marston mostra conformidade por meio de políticas, relatórios de risco e resultados de auditoria. As expectativas do conselho chegam por meio do apetite a risco; a Marston mostra seu desempenho por meio de relatórios. Ela aprende que mapear as expectativas para as evidências revela onde a Marston não tem um meio claro de mostrar que atende a uma expectativa. Para os associados, por exemplo, a Marston não tem relatório algum mostrando que seus dados estão seguros, o que vira uma lacuna a fechar cedo.

2.3 Finalidade do programa

Com esse contexto, Lena redige uma declaração de finalidade para o programa de GRC da Marston: manter o risco de segurança dentro do apetite do conselho, cumprir as obrigações legais e contratuais e dar aos associados, ao conselho e aos reguladores evidências confiáveis de que sua confiança é justificada. O Sr. Reyes pergunta como ela saberia se o programa deu certo. Ela acrescenta resultados mensuráveis, como os principais riscos dentro do apetite, nenhum achado alto em atraso e revisões regulatórias sem ressalvas. Cada resultado pode ser verificado por trimestre, e assim a declaração de finalidade vira algo pelo qual o conselho pode cobrar o programa.

Exemplo resolvido

Lena mapeia sete partes interessadas, liga as expectativas às evidências e redige uma declaração de finalidade com resultados mensuráveis.

Caso sintético. O contexto da Marston é sintético; o PCI DSS v4.0 é real.

Erros e limites

As visões das partes interessadas mudam. As declarações de finalidade podem ser vagas.

Exercícios

• EX006 — Expectativa do regulador. O que o regulador espera?
  Mostrar critérios de avaliação

  Rubrica: 3 = gestão de riscos sólida e comunicação tempestiva de incidentes;; 2 = expectativas;; 1 = vago;; 0 = nenhuma.
• EX007 — Dever perante as bandeiras. Que obrigação vem das bandeiras de cartão?
  Mostrar critérios de avaliação

  Rubrica: 3 = PCI DSS v4.0;; 2 = PCI;; 1 = vago;; 0 = nenhuma.
• EX008 — Benefício do mapeamento. O que o mapeamento das expectativas para as evidências revela?
  Mostrar critérios de avaliação

  Rubrica: 3 = expectativas que a Marston ainda não consegue mostrar que atende;; 2 = lacunas;; 1 = vago;; 0 = nenhuma.
• EX009 — Finalidade do programa. Qual é a finalidade do programa de GRC da Marston?
  Mostrar critérios de avaliação

  Rubrica: 3 = manter o risco dentro do apetite, cumprir as obrigações, dar evidências confiáveis;; 2 = finalidade;; 1 = vago;; 0 = nenhuma.
• EX010 — Resultado de sucesso. Cite um resultado mensurável que Lena acrescentou.
  Mostrar critérios de avaliação

  Rubrica: 3 = nenhum achado alto em atraso;; 2 = resultado;; 1 = vago;; 0 = nenhuma.

Síntese

O contexto das partes interessadas define o que o programa de GRC precisa alcançar e evidenciar.