Capítulo 16 — Governança, riscos e compliance de segurança: métodos II
Mapa da aula
Aula 16 publicada. Mapa, exemplo, EX046.
flowchart TD
N0["16.1 Opções de tratamento"]
N1["16.2 Risco residual"]
N2["16.3 Aceitação"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX046"]
Desenho lógico
flowchart LR
N0["16.1 Opções de tratamento"]
N1["16.2 Risco residual"]
N2["16.3 Aceitação"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX046"]
[16.1 Opções de tratamento]
|
v
[16.2 Risco residual]
|
v
[16.3 Aceitação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX046]
Objetivos de aprendizagem
Você vai (1) escolher opções de tratamento de riscos; (2) estimar o risco residual após o tratamento; (3) documentar as decisões de aceitação de riscos.
16.1 Opções de tratamento
Priya aprende quatro opções de tratamento: evitar a atividade, reduzir o risco com controles, compartilhá-lo por meio de seguro ou contratos, ou aceitá-lo. Para o skimming no site de agendamento, a Riverton poderia evitar o risco passando o pagamento com cartão para uma página hospedada pelo seu provedor de pagamentos, tirando por completo os dados de cartão do próprio site. Para o ransomware, ela escolhe reduzir o risco com segmentação e backups e compartilhar parte dele por meio de seguro cibernético. Cada escolha depende do custo, da eficácia e do apetite acordado com a direção.
16.2 Risco residual
Depois de escolher os tratamentos, Priya estima o risco residual. Com segmentação e backups testados, o custo esperado do cenário de ransomware cai, porque a propagação fica limitada e a recuperação é mais rápida. Passar para uma página de pagamento hospedada reduz drasticamente o risco de skimming, já que os dados de cartão deixam de passar pelo site da Riverton. Ela registra as estimativas residuais ao lado das originais, para que os gestores vejam o que cada tratamento consegue e se o risco restante está dentro do apetite. A estimativa do skimming, por exemplo, deve cair bem abaixo dos onze mil originais quando os dados de cartão saírem do site da Riverton.
16.3 Aceitação
Algum risco permanece. O diretor-geral aceita formalmente o risco residual dos notebooks perdidos, porque a criptografia torna improvável a exposição dos dados e os custos de reposição são modestos. Priya registra a aceitação com a data, os motivos, as condições e uma data de revisão. A ISO/IEC 27001:2022 espera que os donos dos riscos aprovem os planos de tratamento e aceitem os riscos residuais. Ela aprende que a aceitação formal torna as decisões responsabilizáveis e impede que os riscos sejam ignorados em silêncio. O Sr. Lind pergunta o que mudaria a decisão, e Priya registra a condição de que notebooks sem criptografia encontrados depois a reabririam.
Exemplo resolvido
Priya aplica quatro opções de tratamento, estima o risco residual após a segmentação e a página de pagamento hospedada e registra a aceitação formal dos notebooks.
Caso sintético. Os tratamentos e as estimativas são sintéticos; a ISO/IEC 27001:2022 é real.
Erros e limites
As estimativas residuais são incertas. As condições do seguro limitam a cobertura.
Exercícios
- EX046 — Exemplo de evitar. Como a Riverton pode evitar o risco de skimming? Rubrica: 3 = passar o pagamento com cartão para uma página hospedada;; 2 = página hospedada;; 1 = vago;; 0 = nenhuma.
- EX047 — Finalidade do residual. Por que registrar o residual ao lado das estimativas originais? Rubrica: 3 = para mostrar o que os tratamentos conseguem diante do apetite;; 2 = comparação;; 1 = vago;; 0 = nenhuma.
- EX048 — Risco aceito. Que risco residual o diretor-geral aceitou? Rubrica: 3 = notebooks perdidos;; 2 = notebooks;; 1 = ransomware;; 0 = nenhuma.
Síntese
As escolhas de tratamento, as estimativas residuais e a aceitação formal completam o processo de risco.
Continue estudando — aula 16 (capítulo 16 de 30)
← Capítulo 15 · Índice das aulas · Capítulo 17 →
Continue para a próxima aula já escrita.