Capítulo 5 — Governança, riscos e compliance de segurança: ferramentas e interpretação
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX021.
flowchart TD
N0["5.1 Autoavaliação"]
N1["5.2 A comparação"]
N2["Laboratório — Autoavaliação versus revisão independe"]
N3["5.3 Interpretar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX021"]
Desenho lógico
flowchart LR
N0["5.1 Autoavaliação"]
N1["5.2 A comparação"]
N2["Laboratório — Autoavaliação versus revisão independe"]
N3["5.3 Interpretar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX021"]
[5.1 Autoavaliação]
|
v
[5.2 A comparação]
|
v
[Laboratório — Autoavaliação versus revisão independe]
|
v
[5.3 Interpretar]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX021]
Objetivos de aprendizagem
Você vai (1) usar os resultados da autoavaliação de controles; (2) compará-los com uma revisão independente; (3) interpretar as diferenças com cuidado.
5.1 Autoavaliação
A Marston pede aos donos dos controles que deem notas a seus controles todo trimestre, de zero, não implantado, a quatro, plenamente eficaz e evidenciado. Lena aprende que a autoavaliação (CSA) é barata e engaja os donos, mas tende a ser otimista. Para testar isso, ela compara as notas dos donos com uma revisão independente da auditoria interna em quatro domínios de controle: gestão de acessos, gestão de mudanças, backups e gestão de fornecedores. Ambos usaram a mesma escala e as mesmas definições. Usar definições idênticas significa que qualquer diferença entre os dois conjuntos de notas reflete julgamento, e não escalas diferentes.
5.2 A comparação
O laboratório calcula as notas médias. A gestão de acessos se dá três vírgula vinte e cinco, contra dois vírgula cinco na revisão, uma diferença de três quartos de ponto. A gestão de mudanças se dá dois vírgula sessenta e sete, contra um vírgula sessenta e sete, uma diferença de um ponto. Os backups se dão quatro, contra três vírgula cinco. A gestão de fornecedores se dá dois vírgula sessenta e sete, contra um vírgula trinta e três, a maior diferença, de um vírgula trinta e três. Todos os domínios se dão notas acima da revisão. O padrão é consistente, mas é o tamanho de cada diferença que orienta a atenção de Lena na seção seguinte.
Laboratório — Autoavaliação versus revisão independente
"""Control self-assessment: mean rating (0-4) per domain and the gap to independent review."""
self_r = {"access": [3, 3, 4, 3], "change": [3, 2, 3], "backup": [4, 4], "vendor": [3, 3, 2]}
review = {"access": [2, 3, 3, 2], "change": [2, 1, 2], "backup": [4, 3], "vendor": [1, 2, 1]}
for d in self_r:
s = sum(self_r[d])/len(self_r[d]); r = sum(review[d])/len(review[d])
print(f"{d}: self {s:.2f} review {r:.2f} gap {s-r:+.2f}")
Execute com python3 lab_csa.py. Saída verificada:
access: self 3.25 review 2.50 gap +0.75
change: self 2.67 review 1.67 gap +1.00
backup: self 4.00 review 3.50 gap +0.50
vendor: self 2.67 review 1.33 gap +1.33
5.3 Interpretar
Lena não conclui que os donos são desonestos. Ela pergunta por que as diferenças variam. Os donos da gestão de fornecedores consideraram os controles funcionando porque os contratos incluem cláusulas de segurança, enquanto os revisores descobriram que ninguém verifica se os fornecedores as cumprem. Os backups têm a menor diferença porque os testes de restauração produzem evidências claras. Ela recomenda endurecer as definições das notas, exigindo evidências, e concentrar a revisão independente nos domínios com as maiores diferenças, a começar pela gestão de fornecedores. Exigir evidências para a nota quatro impediria, por exemplo, que a gestão de fornecedores alegasse eficácia só com base em cláusulas contratuais.
Exemplo resolvido
Lena compara as autoavaliações com a revisão independente, constata que todos os domínios se superestimam, com a gestão de fornecedores no pior caso, 1,33, e explica por que as diferenças variam.
Caso sintético. As notas são sintéticas.
Erros e limites
Amostras pequenas de controles. Os revisores podem ser rigorosos demais.
Exercícios
- EX021 — Viés da autoavaliação. Qual é o viés típico da autoavaliação? Rubrica: 3 = otimismo;; 2 = otimista;; 1 = pessimista;; 0 = nenhuma.
- EX022 — Maior diferença. Que domínio teve a maior diferença? Rubrica: 3 = gestão de fornecedores, +1,33;; 2 = fornecedores;; 1 = backup;; 0 = nenhuma.
- EX023 — Menor diferença. Por que os backups tiveram a menor diferença? Rubrica: 3 = os testes de restauração produzem evidências claras;; 2 = evidências;; 1 = vago;; 0 = nenhuma.
- EX024 — Causa nos fornecedores. Por que os donos da gestão de fornecedores superestimaram seus controles? Rubrica: 3 = os contratos tinham cláusulas, mas ninguém verificava o cumprimento;; 2 = suposição;; 1 = vago;; 0 = nenhuma.
- EX025 — Recomendação. O que Lena recomendou? Rubrica: 3 = definições de notas baseadas em evidências e revisão focada nas maiores diferenças;; 2 = duas;; 1 = vago;; 0 = nenhuma.
Síntese
A autoavaliação engaja os donos, mas a revisão independente mostra onde o otimismo esconde fraquezas.
Continue estudando — aula 05 (capítulo 05 de 12)
← Capítulo 04 · Índice das aulas · Capítulo 06 →
Continue para a próxima aula já escrita.