Capítulo 9 — Governança, riscos e compliance de segurança: ferramentas e métodos
Mapa da aula
Aula 09 publicada. Mapa, exemplo, EX033.
flowchart TD
N0["9.1 Método de riscos"]
N1["9.2 Checklists"]
N2["9.3 Escolher ferramentas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX033"]
Desenho lógico
flowchart LR
N0["9.1 Método de riscos"]
N1["9.2 Checklists"]
N2["9.3 Escolher ferramentas"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX033"]
[9.1 Método de riscos]
|
v
[9.2 Checklists]
|
v
[9.3 Escolher ferramentas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX033]
Objetivos de aprendizagem
Você vai (1) usar um método simples de riscos; (2) aplicar um checklist de controles; (3) escolher ferramentas adequadas a uma equipe pequena.
9.1 Método de riscos
A Fenwick usa um método simples: listar os riscos, dar notas de um a cinco para probabilidade e impacto, multiplicá-las para obter uma pontuação e tratar primeiro os mais altos. Amina ajuda a pontuar os riscos da loja on-line. Ela aprende que o método é rápido, mas tem limites: riscos muito diferentes podem ter a mesma pontuação, e um evento raro mas grave pode parecer baixo. Ela anota esses limites e sugere discutir em mais detalhe os riscos do topo, em vez de depender só das pontuações. Uma chance em vinte de violação no gateway de pagamento, por exemplo, pode pontuar menos que lentidões frequentes da loja, apesar de um impacto muito pior.
9.2 Checklists
Amina usa um checklist de controles baseado nos recursos para pequenas empresas do NIST CSF 2.0 para revisar o básico da Fenwick: inventário, contas, atualizações, backups, logs e resposta a incidentes. Cada item é marcado como implantado, parcialmente implantado ou ausente, com evidência. O checklist revela que falta um plano escrito de resposta a incidentes. Ela aprende que os checklists ajudam as equipes pequenas a cobrir o essencial sem precisar de conhecimento profundo em todas as áreas. O plano de resposta a incidentes ausente vira uma entrada do registro com dono, e não uma anotação esquecida no checklist.
9.3 Escolher ferramentas
A pequena equipe de TI da Fenwick não consegue operar um software de governança complexo. Amina recomenda usar as ferramentas que eles já têm: o sistema de chamados para as tarefas, planilhas com validação para o registro e scripts curtos para as verificações. Ela aprende que a melhor ferramenta é aquela que a equipe vai de fato usar e manter, e que acrescentar software sem gente para operá-lo muitas vezes aumenta o risco em vez de reduzi-lo. A Sra. Bell observa que uma planilha com validação, mantida em dia por três técnicos, entrega à Fenwick mais do que uma plataforma de governança sem uso.
Exemplo resolvido
Amina pontua os riscos da loja com um método simples, revisa o básico com um checklist baseado no CSF e recomenda as ferramentas já existentes.
Caso sintético. As notas e os resultados do checklist são sintéticos; os recursos do CSF 2.0 são reais.
Erros e limites
As pontuações escondem a gravidade. Os checklists deixam o contexto de fora.
Exercícios
- EX033 — Limite do método. Qual é um limite do método de multiplicar notas? Rubrica: 3 = eventos raros e graves podem parecer baixos;; 2 = gravidade;; 1 = vago;; 0 = nenhuma.
- EX034 — Item ausente. O que o checklist revelou como ausente? Rubrica: 3 = um plano escrito de resposta a incidentes;; 2 = plano de incidentes;; 1 = vago;; 0 = nenhuma.
- EX035 — Escolha de ferramentas. Que ferramentas Amina recomendou? Rubrica: 3 = chamados, planilhas com validação e scripts curtos;; 2 = ferramentas existentes;; 1 = vago;; 0 = nenhuma.
- EX036 — Marcação do checklist. Como cada item do checklist é marcado? Rubrica: 3 = implantado, parcialmente implantado ou ausente, com evidência;; 2 = três estados;; 1 = vago;; 0 = nenhuma.
Síntese
Métodos simples, listas de verificação e ferramentas conhecidas são adequados a equipes técnicas pequenas.
Continue estudando — aula 09 (capítulo 09 de 18)
← Capítulo 08 · Índice das aulas · Capítulo 10 →
Continue para a próxima aula já escrita.