Capítulo 10 — Governança, riscos e compliance de segurança: orientação
Mapa da aula
Aula 10 publicada. Mapa, exemplo, EX028.
flowchart TD
N0["10.1 Três partes"]
N1["10.2 Obrigações"]
N2["10.3 Papéis"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX028"]
Desenho lógico
flowchart LR
N0["10.1 Três partes"]
N1["10.2 Obrigações"]
N2["10.3 Papéis"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX028"]
[10.1 Três partes]
|
v
[10.2 Obrigações]
|
v
[10.3 Papéis]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX028]
Objetivos de aprendizagem
Você vai (1) explicar governança, gestão de riscos e compliance num grupo de clínicas; (2) identificar as obrigações da Riverton; (3) descrever os papéis envolvidos.
10.1 Três partes
Priya começa as disciplinas de GRC. Governança significa que os líderes da Riverton definem a direção e acompanham o progresso: decidem que riscos são aceitáveis e quem é responsável. Gestão de riscos significa encontrar, avaliar e tratar os riscos de forma estruturada, seguindo princípios como os da ISO 31000:2018 (ABNT NBR ISO 31000:2018). Compliance significa cumprir as obrigações vindas da legislação de dados de saúde, das regras de pagamento com cartão e dos contratos. Ela aprende que as três partes precisam funcionar juntas para que a segurança seja gerida, e não improvisada. Na Riverton, por exemplo, o diretor-geral decidir o risco aceitável é governança, e verificar as obrigações do PCI DSS é compliance.
10.2 Obrigações
Priya lista as obrigações da Riverton: a lei de proteção de dados que cobre os prontuários, as regras de sigilo do setor de saúde, o PCI DSS v4.0 para os pagamentos com cartão por meio do seu banco, e os contratos com o provedor do sistema do consultório e com os laboratórios de prótese. Ela separa os deveres legais dos contratuais e dos padrões voluntários que a Riverton pode adotar, como o alinhamento ao NIST CSF 2.0. Aprende que saber de onde vem uma obrigação ajuda a definir sua prioridade e quem precisa ser envolvido. O Sr. Lind acrescenta que os contratos com os laboratórios também entram na lista, já que depois se descobre que dois laboratórios não têm acordo escrito.
10.3 Papéis
O diretor-geral da Riverton responde pelo risco. Um gerente de operações coordena a segurança com uma pequena equipe de TI e um prestador externo de suporte. Os gerentes das clínicas são donos dos controles locais, como o acesso da própria equipe. Um encarregado de proteção de dados orienta sobre os dados dos pacientes. Priya desenha um organograma simples desses papéis e observa que as responsabilidades do prestador externo não estão escritas em lugar nenhum. Recomenda esclarecê-las no contrato. Deveres não escritos significam, por exemplo, que ninguém sabe dizer se o prestador de suporte deve aplicar os patches nos roteadores das clínicas.
Exemplo resolvido
Priya explica as três partes de GRC, lista as obrigações da Riverton por origem e descobre que as responsabilidades do prestador de suporte não estão documentadas.
Caso sintético. A estrutura da Riverton é sintética; a ISO 31000:2018, o PCI DSS v4.0 e o CSF 2.0 são reais.
Erros e limites
As obrigações legais exigem orientação profissional. Os papéis mudam com o crescimento.
Exercícios
- EX028 — Sentido de compliance. O que compliance significa para a Riverton? Rubrica: 3 = cumprir as obrigações da lei, das regras de cartão e dos contratos;; 2 = obrigações;; 1 = vago;; 0 = nenhuma.
- EX029 — Origem da obrigação. Por que a origem de uma obrigação importa? Rubrica: 3 = define a prioridade e quem se envolve;; 2 = prioridade;; 1 = vago;; 0 = nenhuma.
- EX030 — Papel não documentado. As responsabilidades de quem não estavam escritas? Rubrica: 3 = as do prestador externo de suporte;; 2 = prestador;; 1 = vago;; 0 = nenhuma.
Síntese
A orientação em GRC conecta direção, gestão de riscos e obrigações por meio de papéis claros.
Continue estudando — aula 10 (capítulo 10 de 30)
← Capítulo 09 · Índice das aulas · Capítulo 11 →
Continue para a próxima aula já escrita.