Capítulo 6 — Governança, riscos e compliance de segurança: modelo do sistema
Mapa da aula
Aula 06 publicada. Mapa, exemplo, EX021.
flowchart TD
N0["6.1 A GRC e os técnicos"]
N1["6.2 Os papéis na Fenwick"]
N2["6.3 Ligar as tarefas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX021"]
Desenho lógico
flowchart LR
N0["6.1 A GRC e os técnicos"]
N1["6.2 Os papéis na Fenwick"]
N2["6.3 Ligar as tarefas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX021"]
[6.1 A GRC e os técnicos]
|
v
[6.2 Os papéis na Fenwick]
|
v
[6.3 Ligar as tarefas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX021]
Objetivos de aprendizagem
Você vai (1) explicar como a GRC se encaixa no trabalho técnico; (2) modelar os papéis de governança da Fenwick; (3) ligar as tarefas técnicas às políticas e aos riscos.
6.1 A GRC e os técnicos
Amina aprende que a governança define regras e prioridades, a gestão de riscos decide o que mais importa e o compliance verifica se as obrigações são cumpridas. Os técnicos fazem tudo isso funcionar: configuram sistemas, coletam evidências e corrigem problemas. A Sra. Bell explica que entender a GRC ajuda os técnicos a ver por que as tarefas importam. Uma verificação da linha de base não é trabalho inútil; ela apoia uma política, reduz um risco e produz evidências que um avaliador pode pedir. Ela dá um exemplo: a verificação de criptografia reduz o risco de notebook perdido e responde a uma pergunta que o avaliador de pagamentos com cartão pode fazer.
6.2 Os papéis na Fenwick
O diretor financeiro da Fenwick responde pela segurança. Um líder de TI gerencia uma equipe de três técnicos. Os gerentes das filiais são donos de tarefas locais, como confirmar os desligamentos da equipe. Um avaliador externo verifica todo ano a conformidade dos pagamentos com cartão. Amina desenha esses papéis e o fluxo de informação entre eles, observando que os técnicos relatam os problemas ao líder de TI, que relata os riscos ao diretor financeiro. O desenho também mostra que o avaliador externo depende de evidências produzidas pelos técnicos, como as listas de regras de firewall.
6.3 Ligar as tarefas
Amina monta uma tabela que liga as tarefas técnicas às políticas, aos riscos e às obrigações. A criptografia dos notebooks se liga à política de proteção de dados e ao risco de aparelho perdido. As revisões das regras de firewall se ligam à política de rede e às obrigações de pagamento com cartão. As revisões de logs se ligam à política de monitoramento e ao risco de uso indevido de contas. Ela aprende que essa tabela ajuda os técnicos a priorizar quando o tempo é curto e explica aos gestores por que o trabalho técnico merece recursos. Com pouco tempo, por exemplo, a revisão do firewall passa à frente de uma revisão de logs, porque também carrega obrigações de pagamento com cartão.
Exemplo resolvido
Amina explica a ligação da GRC com o trabalho técnico, modela os papéis da Fenwick e mapeia as tarefas técnicas para políticas, riscos e obrigações.
Caso sintético. Os papéis da Fenwick são sintéticos.
Erros e limites
As tabelas simplificam ligações complexas. Os papéis mudam.
Exercícios
- EX021 — Finalidade da linha de base. Por que uma verificação da linha de base não é trabalho inútil? Rubrica: 3 = apoia uma política, reduz um risco e produz evidências;; 2 = finalidade;; 1 = vago;; 0 = nenhuma.
- EX022 — Responsável. Quem responde pela segurança na Fenwick? Rubrica: 3 = o diretor financeiro;; 2 = diretor financeiro, hesitando com outra opção;; 1 = líder de TI;; 0 = nenhuma.
- EX023 — Ligações do firewall. Que política e que obrigação as revisões de firewall apoiam? Rubrica: 3 = a política de rede e as obrigações de pagamento com cartão;; 2 = ligações;; 1 = vago;; 0 = nenhuma.
- EX024 — Uso da tabela. Como a tabela de tarefas ajuda os técnicos? Rubrica: 3 = a priorizar quando o tempo é curto;; 2 = prioridades;; 1 = vago;; 0 = nenhuma.
Síntese
Ligar as tarefas técnicas a políticas, riscos e obrigações mostra por que elas importam.
Continue estudando — aula 06 (capítulo 06 de 18)
← Capítulo 05 · Índice das aulas · Capítulo 07 →
Continue para a próxima aula já escrita.