Capítulo 4 — Governança, riscos e compliance de segurança: métodos centrais
Mapa da aula
Aula 04 publicada. Mapa, exemplo, EX016.
flowchart TD
N0["4.1 O processo"]
N1["4.2 Apetite"]
N2["4.3 Decisões de tratamento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX016"]
Desenho lógico
flowchart LR
N0["4.1 O processo"]
N1["4.2 Apetite"]
N2["4.3 Decisões de tratamento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX016"]
[4.1 O processo]
|
v
[4.2 Apetite]
|
v
[4.3 Decisões de tratamento]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX016]
Objetivos de aprendizagem
Você vai (1) conduzir uma avaliação de riscos com um processo consagrado; (2) ligar os riscos ao apetite; (3) registrar as decisões de tratamento.
4.1 O processo
Lena aprende o processo de riscos descrito na ISO 31000:2018 (ABNT NBR ISO 31000:2018) e aplicado à segurança da informação na ISO/IEC 27005:2022: estabelecer o contexto, identificar os riscos, analisá-los e avaliá-los, tratá-los, e monitorar e analisar criticamente. Ela conduz uma avaliação do aplicativo de mobile banking da Marston com o dono do produto e as equipes de segurança de TI e de prevenção a fraudes. Eles identificam riscos como tomada de conta, pagamentos fraudulentos a novos favorecidos e indisponibilidades do aplicativo, cada um descrito com causas e consequências. Escrever cada risco como uma causa que leva a uma consequência, como senhas roubadas levando a pagamentos fraudulentos a novos favorecidos, facilita mirar os tratamentos.
4.2 Apetite
O conselho da Marston declarou um apetite baixo para perdas financeiras dos associados por fraude e um apetite moderado para indisponibilidades curtas do serviço. Lena compara cada risco com o apetite. A tomada de conta que leva a perdas dos associados está acima do apetite e precisa ser tratada. As indisponibilidades curtas do aplicativo ficam dentro do apetite se recuperadas em até quatro horas. Ela aprende que o apetite transforma a análise em decisões: diz à organização quais riscos exigem ação e quais podem ser aceitos. Como as quatro horas de recuperação são o limiar, a Marston também precisa conseguir mostrar que de fato se recupera em até quatro horas.
4.3 Decisões de tratamento
Para a tomada de conta, a equipe escolhe uma autenticação mais forte para novos favorecidos e o monitoramento de transações. O dono do produto aceita ser o dono do tratamento, com uma data-alvo. Para as indisponibilidades, a equipe aceita a capacidade atual de recuperação e documenta a aceitação. Lena registra cada decisão com seu dono, data e motivos. Ela aprende que as decisões registradas mostram aos reguladores e aos auditores que os riscos foram considerados e geridos de forma deliberada. O Sr. Reyes observa que a aceitação documentada das indisponibilidades deve nomear o dono do produto e ser revista se as indisponibilidades passarem a exceder quatro horas.
Exemplo resolvido
Lena conduz uma avaliação de riscos do aplicativo, compara os riscos com o apetite e registra as decisões de tratamento e de aceitação.
Caso sintético. Os riscos e o apetite são sintéticos; a ISO 31000:2018 e a ISO/IEC 27005:2022 são reais.
Erros e limites
As oficinas dependem de quem participa. As declarações de apetite podem ser vagas.
Exercícios
- EX016 — Etapas do processo. Cite as principais etapas do processo de riscos. Rubrica: 3 = contexto, identificar, analisar, avaliar, tratar, monitorar;; 2 = etapas;; 1 = vago;; 0 = nenhuma.
- EX017 — Acima do apetite. Que risco estava acima do apetite? Rubrica: 3 = tomada de conta levando a perdas dos associados;; 2 = tomada de conta;; 1 = indisponibilidades;; 0 = nenhuma.
- EX018 — Tolerância a indisponibilidades. Quando as indisponibilidades do aplicativo ficam dentro do apetite? Rubrica: 3 = se recuperadas em até quatro horas;; 2 = 4 horas;; 1 = vago;; 0 = nenhuma.
- EX019 — Tratamento da tomada de conta. Que tratamentos foram escolhidos para a tomada de conta? Rubrica: 3 = autenticação mais forte para novos favorecidos e monitoramento de transações;; 2 = dois;; 1 = vago;; 0 = nenhuma.
- EX020 — Registro das decisões. Por que registrar as decisões de tratamento? Rubrica: 3 = para mostrar que os riscos foram geridos de forma deliberada;; 2 = evidência;; 1 = vago;; 0 = nenhuma.
Síntese
Um processo estabelecido e ligado ao apetite transforma a análise de risco em decisões registradas.
Continue estudando — aula 04 (capítulo 04 de 12)
← Capítulo 03 · Índice das aulas · Capítulo 05 →
Continue para a próxima aula já escrita.