## Capítulo 11 — Governança, riscos e compliance de segurança: ativos e contexto ### Mapa da aula Aula 11 publicada. Mapa, exemplo, EX031. ```mermaid flowchart TD N0["11.1 Contexto"] N1["11.2 Classificação"] N2["11.3 Critérios de risco"] N3["Síntese"] N0 --> N1 --> N2 --> N3 N3 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX031"] ``` ### Desenho lógico ```mermaid flowchart LR N0["11.1 Contexto"] N1["11.2 Classificação"] N2["11.3 Critérios de risco"] N3["Síntese"] N0 --> N1 --> N2 --> N3 --> Q["EX031"] ``` ```text [11.1 Contexto] | v [11.2 Classificação] | v [11.3 Critérios de risco] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX031] ``` ### Objetivos de aprendizagem Você vai (1) estabelecer o contexto da avaliação de riscos; (2) classificar os ativos de informação; (3) definir os critérios de risco com a direção. ### 11.1 Contexto Antes de avaliar os riscos, Priya documenta o contexto da Riverton: seus serviços, pacientes, reguladores, fornecedores, planos de crescimento e postura diante do risco. A ISO 31000:2018 começa seu processo estabelecendo escopo, contexto e critérios. O diretor-geral explica que a Riverton planeja abrir três novas clínicas no ano que vem e que a reputação junto aos pacientes é seu maior ativo. Esses fatos definem quais riscos importam mais e quanta interrupção a Riverton pode aceitar. Três novas clínicas no ano que vem significam que o desenho padrão de clínica precisa estar pronto antes da inauguração. ### 11.2 Classificação Priya classifica as informações em três níveis: pública, como o horário de funcionamento; interna, como as escalas da equipe; e confidencial, como os prontuários e as imagens. Cada nível tem regras de manuseio para armazenamento, compartilhamento e descarte. Os prontuários exigem criptografia e mensagens seguras; os dados internos ficam dentro dos sistemas da Riverton. Ela aprende que classificações simples têm mais chance de ser seguidas do que esquemas complexos, com muitos níveis que a equipe não consegue lembrar. As radiografias caem em confidencial, e por isso herdam automaticamente as regras de criptografia e de mensagens seguras. ### 11.3 Critérios de risco Com a direção, Priya define critérios de probabilidade e impacto. Os níveis de impacto descrevem os efeitos sobre os pacientes, as finanças, os reguladores e a reputação. Por exemplo, um impacto grave significa clínicas fechadas por mais de um dia ou uma violação de dados notificável que atinja muitos pacientes. Os níveis de probabilidade usam faixas de frequência. Ela aprende que critérios acordados tornam as avaliações consistentes entre avaliadores, e que defini-los com a direção garante que reflitam as prioridades reais da Riverton. Definir o impacto grave como clínicas fechadas por mais de um dia, por exemplo, permite que dois avaliadores pontuem igual o mesmo cenário de ransomware. ### Exemplo resolvido Priya documenta o contexto da Riverton, define três níveis de classificação e acorda com a direção os critérios de impacto e probabilidade. > **Caso sintético.** O contexto e os critérios da Riverton são sintéticos; a ISO 31000:2018 é real. ### Erros e limites Os critérios envolvem julgamento. As classificações são aplicadas de forma errada. ### Exercícios - **EX031 — Fato de crescimento.** Que mudança planejada afeta o contexto da Riverton? *Rubrica:* 3 = três novas clínicas no ano que vem;; 2 = crescimento;; 1 = vago;; 0 = nenhuma. - **EX032 — Níveis de classificação.** Quais são os três níveis de classificação? *Rubrica:* 3 = pública, interna, confidencial;; 2 = três;; 1 = vago;; 0 = nenhuma. - **EX033 — Impacto grave.** Dê o exemplo de impacto grave. *Rubrica:* 3 = clínicas fechadas por mais de um dia ou violação notificável que atinja muitos pacientes;; 2 = grave;; 1 = vago;; 0 = nenhuma. ### Síntese Contexto, classificação e critérios acordados tornam as avaliações de risco consistentes e relevantes. ### Continue estudando — aula 11 (capítulo 11 de 30) [← Capítulo 10](#ch-10) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 12 →](#ch-12) Continue para a próxima aula já escrita. ## Worked answers **EX031.** A abertura de três novas clínicas no ano que vem. **EX032.** Pública, interna e confidencial. **EX033.** Clínicas fechadas por mais de um dia, ou uma violação notificável que atinja muitos pacientes.