Capítulo 15 — Governança, riscos e compliance de segurança: laboratório guiado

Mapa da aula

Aula 15 publicada. Mapa, exemplo, EX043.

flowchart TD
  N0["15.1 Oficina"]
  N1["15.2 Registro"]
  N2["15.3 Donos e prazos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX043"]

Desenho lógico

flowchart LR
  N0["15.1 Oficina"]
  N1["15.2 Registro"]
  N2["15.3 Donos e prazos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX043"]

[15.1 Oficina]
    |
    v
[15.2 Registro]
    |
    v
[15.3 Donos e prazos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX043]

Objetivos de aprendizagem

Você vai (1) conduzir uma oficina guiada de avaliação de riscos; (2) registrar os resultados num registro; (3) acordar os donos dos tratamentos.

15.1 Oficina

Priya conduz uma oficina guiada com o gerente de operações, dois gerentes de clínica, o líder de TI e o encarregado de proteção de dados. Eles revisam os quatro cenários, as estimativas de perda esperada e os critérios. Cada participante dá sua opinião sobre probabilidade e impacto antes da discussão, para evitar que quem fala primeiro ancore todos os outros. As diferenças são discutidas e o grupo acorda as notas, registrando nas anotações qualquer discordância forte. Colher as opiniões antes da discussão importa aqui, porque o líder de TI e os gerentes de clínica podem ver a probabilidade do ransomware de modos muito diferentes.

15.2 Registro

Priya registra os resultados no registro de riscos da Riverton: cenário, dono, controles atuais, notas, faixa de perda esperada e tratamento proposto. Para o ransomware, o tratamento inclui concluir a segmentação de rede e testar os backups offline. Para os prontuários enviados errado, inclui mensagens seguras e orientação à equipe. Ela aprende que uma entrada do registro deve ser completa o bastante para que alguém que faltou à oficina entenda o risco e o que será feito. A entrada do ransomware, por exemplo, deve citar a segmentação e o teste dos backups offline, para que o leitor saiba exatamente o que muda.

15.3 Donos e prazos

Cada tratamento recebe um dono e uma data-alvo acordados na oficina. O líder de TI é dono da segmentação, prevista para quatro meses; os gerentes das clínicas são donos da adoção das mensagens seguras, prevista para dois meses. Priya agenda uma revisão de acompanhamento. Ela aprende que tratamentos sem dono e sem prazo raramente acontecem, e que acordá-los na própria reunião, em vez de atribuí-los depois, aumenta o comprometimento. O Sr. Lind sugere verificar primeiro, no acompanhamento, a meta de dois meses das mensagens seguras, já que ela vence antes da segmentação.

Exemplo resolvido

Priya conduz uma oficina com opiniões iniciais independentes, registra quatro riscos e acorda donos e prazos para os tratamentos.

Caso sintético. A oficina é sintética.

Erros e limites

As oficinas refletem quem comparece. Os prazos escorregam.

Exercícios

• EX043 — Defesa contra a ancoragem. Como Priya evitou a ancoragem na oficina?
  Mostrar critérios de avaliação

  Rubrica: 3 = cada participante deu sua opinião antes da discussão;; 2 = opiniões independentes;; 1 = vago;; 0 = nenhuma.
• EX044 — Tratamento do ransomware. Que tratamentos foram propostos para o ransomware?
  Mostrar critérios de avaliação

  Rubrica: 3 = segmentação de rede e teste dos backups offline;; 2 = dois;; 1 = vago;; 0 = nenhuma.
• EX045 — Comprometimento. Por que acordar donos e prazos na própria reunião?
  Mostrar critérios de avaliação

  Rubrica: 3 = aumenta o comprometimento;; 2 = comprometimento;; 1 = vago;; 0 = nenhuma.

Síntese

Oficinas guiadas, com visões independentes e donos acordados, produzem registros acionáveis.