Capítulo 21 — Governança, riscos e compliance de segurança: integração de serviços
Mapa da aula
Aula 21 publicada. Mapa, exemplo, EX061.
flowchart TD
N0["21.1 Integração"]
N1["21.2 Mudanças e incidentes"]
N2["21.3 Chamados como evidência"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX061"]
Desenho lógico
flowchart LR
N0["21.1 Integração"]
N1["21.2 Mudanças e incidentes"]
N2["21.3 Chamados como evidência"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX061"]
[21.1 Integração]
|
v
[21.2 Mudanças e incidentes]
|
v
[21.3 Chamados como evidência]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX061]
Objetivos de aprendizagem
Você vai (1) integrar a GRC ao gerenciamento de serviços de TI; (2) ligar mudanças e incidentes aos riscos; (3) usar os chamados como evidência.
21.1 Integração
A equipe de TI da Riverton usa um sistema de chamados para solicitações, incidentes e mudanças. Priya propõe integrar a ele as tarefas de governança: os testes de controles viram chamados agendados, os tratamentos de risco viram itens de trabalho acompanhados e as exceções viram chamados com data de expiração. Ela aprende que integrar ao gerenciamento de serviços já existente reduz o esforço duplicado e garante que o trabalho de governança fique visível para quem o executa, em vez de viver numa planilha à parte. Os chamados de exceção com data de expiração, por exemplo, tornam o registro de desvios do capítulo 8 algo que a equipe de TI vê todo dia.
21.2 Mudanças e incidentes
Priya liga as mudanças e os incidentes aos riscos. Uma mudança que altera as redes das clínicas precisa referenciar o risco de segmentação de rede e ser conferida contra o desenho padrão. Um incidente envolvendo um e-mail enviado ao destinatário errado atualiza a probabilidade desse risco. Ela aprende que essa ligação transforma a atividade diária de TI em evidência sobre o risco e a eficácia dos controles, ajudando a governança a se manter atual entre as revisões formais. Ligar o incidente do e-mail enviado errado ao seu risco, por exemplo, dá à próxima revisão do registro evidências reais sobre a probabilidade.
21.3 Chamados como evidência
Os auditores podem amostrar chamados para verificar os controles. Um chamado agendado de teste de backup inclui a data, as etapas, o resultado e o registro de teste anexado. Priya define campos obrigatórios para que os chamados contenham informação suficiente para servir de evidência. Ela aprende que a evidência embutida no trabalho normal é mais confiável e menos trabalhosa do que a evidência montada pouco antes de uma auditoria, o que muitas vezes revela lacunas que não podem ser corrigidas retroativamente. Campos obrigatórios como o registro de teste anexado tornam um chamado utilizável por um auditor sem pedir ao líder de TI que o explique.
Exemplo resolvido
Priya integra os testes de controles, os tratamentos e as exceções ao sistema de chamados e define os campos de evidência.
Caso sintético. A configuração dos chamados é sintética.
Erros e limites
Os campos dos chamados são pulados. As ligações exigem disciplina.
Exercícios
- EX061 — Exceções como chamados. Como as exceções são tratadas no sistema de chamados? Rubrica: 3 = como chamados com data de expiração;; 2 = expiração;; 1 = vago;; 0 = nenhuma.
- EX062 — Ligação com incidentes. Como um incidente de e-mail enviado errado afeta o registro? Rubrica: 3 = atualiza a probabilidade desse risco;; 2 = atualização;; 1 = vago;; 0 = nenhuma.
- EX063 — Momento da evidência. Por que a evidência embutida no trabalho normal é melhor? Rubrica: 3 = mais confiável e menos trabalhosa que a montada antes da auditoria;; 2 = embutida;; 1 = vago;; 0 = nenhuma.
Síntese
Integrar GRC à gestão de serviços faz com que o trabalho diário produza evidências de governança.
Continue estudando — aula 21 (capítulo 21 de 30)
← Capítulo 20 · Índice das aulas · Capítulo 22 →
Continue para a próxima aula já escrita.