Capítulo 13 — Governança, riscos e compliance de segurança: cenários de risco

Mapa da aula

Aula 13 publicada. Mapa, exemplo, EX037.

flowchart TD
  N0["13.1 Escrever cenários"]
  N1["13.2 Causas e consequências"]
  N2["13.3 Escolher cenários"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX037"]

Desenho lógico

flowchart LR
  N0["13.1 Escrever cenários"]
  N1["13.2 Causas e consequências"]
  N2["13.3 Escolher cenários"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX037"]

[13.1 Escrever cenários]
    |
    v
[13.2 Causas e consequências]
    |
    v
[13.3 Escolher cenários]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX037]

Objetivos de aprendizagem

Você vai (1) escrever cenários de risco para a Riverton; (2) identificar causas e consequências; (3) escolher cenários para análise detalhada.

13.1 Escrever cenários

Priya escreve os cenários de risco como histórias curtas, com uma causa, um evento e consequências. Um ransomware criptografa os computadores da recepção de uma clínica e se espalha para o arquivo de imagens, parando o atendimento por dias. Uma recepcionista envia o prontuário de um paciente ao laboratório errado. Um script malicioso no site de agendamento captura dados de cartão. Um notebook com listas de pacientes sem criptografia é furtado de um carro. Ela aprende que os cenários ajudam os gestores a imaginar os riscos de forma concreta e a julgá-los com bom senso. A história do notebook furtado, por exemplo, aponta direto para a criptografia como o controle que mudaria seu desfecho.

13.2 Causas e consequências

Para cada cenário, Priya lista as causas, como phishing ou falta de segmentação, e as consequências para os pacientes, as finanças, os reguladores e a reputação. No cenário de ransomware, as consequências incluem consultas canceladas, perda de receita, notificação ao regulador se houver prontuários afetados e reclamações de pacientes. Ela aprende que listar as causas aponta para os controles preventivos, enquanto listar as consequências aponta para o planejamento de recuperação e resposta. No ransomware, o phishing como causa aponta para os controles de e-mail, e as consultas canceladas apontam para a recuperação. Nos prontuários enviados ao destinatário errado, a causa costuma ser uma escolha apressada na recepção.

13.3 Escolher cenários

Com o gerente de operações, Priya escolhe quatro cenários para análise detalhada, com base no impacto provável e na preocupação da direção: ransomware numa clínica, prontuários enviados ao destinatário errado, captura de dados de cartão (skimming) no site de agendamento e notebooks perdidos. Os demais cenários ficam registrados para revisão posterior. Ela aprende que o esforço de análise deve se concentrar nos cenários que mais importam, e que uma lista curta e bem escolhida é mais útil do que uma lista longa que ninguém analisa. Registrar os outros cenários os mantém no registro para a próxima revisão, em vez de descartá-los.

Exemplo resolvido

Priya escreve quatro cenários com causas e consequências e os seleciona para análise detalhada.

Caso sintético. Os cenários são sintéticos.

Erros e limites

Os cenários refletem os limites da imaginação. A seleção envolve julgamento.

Exercícios

• EX037 — Estrutura do cenário. Que três partes cada cenário contém?
  Mostrar critérios de avaliação

  Rubrica: 3 = causa, evento e consequências;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX038 — Uso das causas. Para onde apontam as causas listadas?
  Mostrar critérios de avaliação

  Rubrica: 3 = para os controles preventivos;; 2 = prevenção;; 1 = recuperação;; 0 = nenhuma.
• EX039 — Lista curta. Por que se concentrar numa lista curta de cenários?
  Mostrar critérios de avaliação

  Rubrica: 3 = o esforço deve ir para onde mais importa;; 2 = foco;; 1 = vago;; 0 = nenhuma.

Síntese

Cenários concretos ligam as causas à prevenção e as consequências à resposta.