## Capítulo 13 — Governança, riscos e compliance de segurança: cenários de risco ### Mapa da aula Aula 13 publicada. Mapa, exemplo, EX037. ```mermaid flowchart TD N0["13.1 Escrever cenários"] N1["13.2 Causas e consequências"] N2["13.3 Escolher cenários"] N3["Síntese"] N0 --> N1 --> N2 --> N3 N3 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX037"] ``` ### Desenho lógico ```mermaid flowchart LR N0["13.1 Escrever cenários"] N1["13.2 Causas e consequências"] N2["13.3 Escolher cenários"] N3["Síntese"] N0 --> N1 --> N2 --> N3 --> Q["EX037"] ``` ```text [13.1 Escrever cenários] | v [13.2 Causas e consequências] | v [13.3 Escolher cenários] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX037] ``` ### Objetivos de aprendizagem Você vai (1) escrever cenários de risco para a Riverton; (2) identificar causas e consequências; (3) escolher cenários para análise detalhada. ### 13.1 Escrever cenários Priya escreve os cenários de risco como histórias curtas, com uma causa, um evento e consequências. Um ransomware criptografa os computadores da recepção de uma clínica e se espalha para o arquivo de imagens, parando o atendimento por dias. Uma recepcionista envia o prontuário de um paciente ao laboratório errado. Um script malicioso no site de agendamento captura dados de cartão. Um notebook com listas de pacientes sem criptografia é furtado de um carro. Ela aprende que os cenários ajudam os gestores a imaginar os riscos de forma concreta e a julgá-los com bom senso. A história do notebook furtado, por exemplo, aponta direto para a criptografia como o controle que mudaria seu desfecho. ### 13.2 Causas e consequências Para cada cenário, Priya lista as causas, como phishing ou falta de segmentação, e as consequências para os pacientes, as finanças, os reguladores e a reputação. No cenário de ransomware, as consequências incluem consultas canceladas, perda de receita, notificação ao regulador se houver prontuários afetados e reclamações de pacientes. Ela aprende que listar as causas aponta para os controles preventivos, enquanto listar as consequências aponta para o planejamento de recuperação e resposta. No ransomware, o phishing como causa aponta para os controles de e-mail, e as consultas canceladas apontam para a recuperação. Nos prontuários enviados ao destinatário errado, a causa costuma ser uma escolha apressada na recepção. ### 13.3 Escolher cenários Com o gerente de operações, Priya escolhe quatro cenários para análise detalhada, com base no impacto provável e na preocupação da direção: ransomware numa clínica, prontuários enviados ao destinatário errado, captura de dados de cartão (skimming) no site de agendamento e notebooks perdidos. Os demais cenários ficam registrados para revisão posterior. Ela aprende que o esforço de análise deve se concentrar nos cenários que mais importam, e que uma lista curta e bem escolhida é mais útil do que uma lista longa que ninguém analisa. Registrar os outros cenários os mantém no registro para a próxima revisão, em vez de descartá-los. ### Exemplo resolvido Priya escreve quatro cenários com causas e consequências e os seleciona para análise detalhada. > **Caso sintético.** Os cenários são sintéticos. ### Erros e limites Os cenários refletem os limites da imaginação. A seleção envolve julgamento. ### Exercícios - **EX037 — Estrutura do cenário.** Que três partes cada cenário contém? *Rubrica:* 3 = causa, evento e consequências;; 2 = três;; 1 = vago;; 0 = nenhuma. - **EX038 — Uso das causas.** Para onde apontam as causas listadas? *Rubrica:* 3 = para os controles preventivos;; 2 = prevenção;; 1 = recuperação;; 0 = nenhuma. - **EX039 — Lista curta.** Por que se concentrar numa lista curta de cenários? *Rubrica:* 3 = o esforço deve ir para onde mais importa;; 2 = foco;; 1 = vago;; 0 = nenhuma. ### Síntese Cenários concretos ligam as causas à prevenção e as consequências à resposta. ### Continue estudando — aula 13 (capítulo 13 de 30) [← Capítulo 12](#ch-12) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 14 →](#ch-14) Continue para a próxima aula já escrita. ## Worked answers **EX037.** Uma causa, um evento e consequências. **EX038.** Os controles preventivos. **EX039.** Porque o esforço de análise deve ir para os cenários que mais importam.