Capítulo 23 — Governança, riscos e compliance de segurança: avaliação
Mapa da aula
Aula 23 publicada. Mapa, exemplo, EX067.
flowchart TD
N0["23.1 Perguntas da avaliação"]
N1["23.2 Achados"]
N2["23.3 Recomendações"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX067"]
Desenho lógico
flowchart LR
N0["23.1 Perguntas da avaliação"]
N1["23.2 Achados"]
N2["23.3 Recomendações"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX067"]
[23.1 Perguntas da avaliação]
|
v
[23.2 Achados]
|
v
[23.3 Recomendações]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX067]
Objetivos de aprendizagem
Você vai (1) avaliar o primeiro ano do programa de GRC; (2) usar evidências para julgar o progresso; (3) recomendar melhorias.
23.1 Perguntas da avaliação
Depois de um ano, Priya ajuda a avaliar o programa da Riverton. Ela pergunta: os principais riscos estão menores? Os controles estão operando? As evidências estão em dia? Os donos estão engajados? Reúne dados do registro, dos resultados de testes, das tendências dos indicadores, do registro de evidências e de uma pesquisa curta com os gerentes das clínicas. Ela aprende que a avaliação deve usar várias fontes, já que qualquer medida isolada pode enganar, e que as perguntas devem ser definidas antes de olhar os dados. Definir as perguntas antes impede que a avaliação destaque só as medidas que melhoraram.
23.2 Achados
O risco de ransomware está menor: a segmentação está concluída em doze das catorze clínicas e os backups são testados todo mês. O risco de skimming caiu drasticamente após a passagem para a página de pagamento hospedada. Os testes de controles passam com mais frequência do que no piloto. A atualidade das evidências melhorou, embora os relatórios de fornecedores continuem atrasados. Os gerentes das clínicas dizem que as tarefas estão mais claras, mas que a revisão de acesso continua demorada. Priya apresenta os achados com as evidências de cada um. O atraso dos relatórios de fornecedores repete o problema de atualidade do capítulo 9, então a causa está nos contratos, e não nas clínicas.
23.3 Recomendações
Priya recomenda concluir a segmentação nas duas últimas clínicas, automatizar as listas da revisão de acesso, incluir o pedido de relatórios dos fornecedores nas renovações de contrato e simplificar o checklist dos gerentes de clínica. Também recomenda preparar a certificação ISO/IEC 27001:2022 para o ano que vem. Ela aprende que as avaliações são úteis quando levam a melhorias específicas e que reconhecer o progresso motiva a equipe a continuar o trabalho. Cada recomendação responde a um achado específico, como a revisão de acesso ainda demorada, e pode ser acompanhada como ação com dono no sistema de chamados.
Exemplo resolvido
Priya avalia o programa com cinco fontes, constata a redução dos riscos de ransomware e de cartão e recomenda quatro melhorias.
Caso sintético. Os dados da avaliação são sintéticos; a ISO/IEC 27001:2022 é real.
Erros e limites
Um ano é pouco tempo. As respostas da pesquisa podem ser educadas demais.
Exercícios
- EX067 — Fontes da avaliação. Que fontes a avaliação usou? Rubrica: 3 = registro, resultados de testes, indicadores, registro de evidências e pesquisa;; 2 = cinco;; 1 = vago;; 0 = nenhuma.
- EX068 — Progresso da segmentação. Quantas clínicas concluíram a segmentação? Rubrica: 3 = doze de catorze;; 2 = 12/14;; 1 = vago;; 0 = nenhuma.
- EX069 — Carga restante. Que tarefa continuou demorada? Rubrica: 3 = a revisão de acesso;; 2 = revisão de acesso, hesitando com outra opção;; 1 = vago;; 0 = nenhuma.
Síntese
A avaliação com várias fontes mostra o progresso e aponta melhorias específicas.
Continue estudando — aula 23 (capítulo 23 de 30)
← Capítulo 22 · Índice das aulas · Capítulo 24 →
Continue para a próxima aula já escrita.