Capítulo 11 — Governança, riscos e compliance de segurança: ativos e contexto

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 Contexto"]
  N1["11.2 Classificação"]
  N2["11.3 Critérios de risco"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 Contexto"]
  N1["11.2 Classificação"]
  N2["11.3 Critérios de risco"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[11.1 Contexto]
    |
    v
[11.2 Classificação]
    |
    v
[11.3 Critérios de risco]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) estabelecer o contexto da avaliação de riscos; (2) classificar os ativos de informação; (3) definir os critérios de risco com a direção.

11.1 Contexto

Antes de avaliar os riscos, Priya documenta o contexto da Riverton: seus serviços, pacientes, reguladores, fornecedores, planos de crescimento e postura diante do risco. A ISO 31000:2018 começa seu processo estabelecendo escopo, contexto e critérios. O diretor-geral explica que a Riverton planeja abrir três novas clínicas no ano que vem e que a reputação junto aos pacientes é seu maior ativo. Esses fatos definem quais riscos importam mais e quanta interrupção a Riverton pode aceitar. Três novas clínicas no ano que vem significam que o desenho padrão de clínica precisa estar pronto antes da inauguração.

11.2 Classificação

Priya classifica as informações em três níveis: pública, como o horário de funcionamento; interna, como as escalas da equipe; e confidencial, como os prontuários e as imagens. Cada nível tem regras de manuseio para armazenamento, compartilhamento e descarte. Os prontuários exigem criptografia e mensagens seguras; os dados internos ficam dentro dos sistemas da Riverton. Ela aprende que classificações simples têm mais chance de ser seguidas do que esquemas complexos, com muitos níveis que a equipe não consegue lembrar. As radiografias caem em confidencial, e por isso herdam automaticamente as regras de criptografia e de mensagens seguras.

11.3 Critérios de risco

Com a direção, Priya define critérios de probabilidade e impacto. Os níveis de impacto descrevem os efeitos sobre os pacientes, as finanças, os reguladores e a reputação. Por exemplo, um impacto grave significa clínicas fechadas por mais de um dia ou uma violação de dados notificável que atinja muitos pacientes. Os níveis de probabilidade usam faixas de frequência. Ela aprende que critérios acordados tornam as avaliações consistentes entre avaliadores, e que defini-los com a direção garante que reflitam as prioridades reais da Riverton. Definir o impacto grave como clínicas fechadas por mais de um dia, por exemplo, permite que dois avaliadores pontuem igual o mesmo cenário de ransomware.

Exemplo resolvido

Priya documenta o contexto da Riverton, define três níveis de classificação e acorda com a direção os critérios de impacto e probabilidade.

Caso sintético. O contexto e os critérios da Riverton são sintéticos; a ISO 31000:2018 é real.

Erros e limites

Os critérios envolvem julgamento. As classificações são aplicadas de forma errada.

Exercícios

• EX031 — Fato de crescimento. Que mudança planejada afeta o contexto da Riverton?
  Mostrar critérios de avaliação

  Rubrica: 3 = três novas clínicas no ano que vem;; 2 = crescimento;; 1 = vago;; 0 = nenhuma.
• EX032 — Níveis de classificação. Quais são os três níveis de classificação?
  Mostrar critérios de avaliação

  Rubrica: 3 = pública, interna, confidencial;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX033 — Impacto grave. Dê o exemplo de impacto grave.
  Mostrar critérios de avaliação

  Rubrica: 3 = clínicas fechadas por mais de um dia ou violação notificável que atinja muitos pacientes;; 2 = grave;; 1 = vago;; 0 = nenhuma.

Síntese

Contexto, classificação e critérios acordados tornam as avaliações de risco consistentes e relevantes.