Capítulo 28 — Prática de campo
Mapa da aula
Aula 28 publicada. Mapa, exemplo, EX082.
flowchart TD
N0["28.1 Estágio"]
N1["28.2 Apoio à avaliação"]
N2["28.3 Conduta profissional"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX082"]
Desenho lógico
flowchart LR
N0["28.1 Estágio"]
N1["28.2 Apoio à avaliação"]
N2["28.3 Conduta profissional"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX082"]
[28.1 Estágio]
|
v
[28.2 Apoio à avaliação]
|
v
[28.3 Conduta profissional]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX082]
Objetivos de aprendizagem
Você vai (1) aplicar competências de GRC num estágio supervisionado; (2) apoiar uma avaliação externa; (3) refletir sobre a conduta profissional.
28.1 Estágio
Priya passa um período de estágio com a equipe de operações da Riverton. Ela apoia o trabalho de rotina: revisar indicadores, verificar a atualidade das evidências, cobrar ações atrasadas e ajudar os gerentes das clínicas nas revisões de acesso. Aprende que boa parte do trabalho de GRC é acompanhamento constante, e não análise dramática, e que paciência e boas relações com a equipe ocupada das clínicas importam tanto quanto o conhecimento técnico. Cobrar ações atrasadas, por exemplo, depende de os gerentes confiarem que ela está ajudando, e não fiscalizando. Essas relações depois facilitam levantar achados incômodos.
28.2 Apoio à avaliação
O banco da Riverton pede uma autoavaliação PCI DSS por causa dos pagamentos com cartão. Com a página de pagamento hospedada e as maquininhas segmentadas, o escopo da Riverton é pequeno. Priya ajuda a reunir as evidências: diagramas de rede, inventários das maquininhas e a confirmação de conformidade do provedor de pagamentos. Ela aprende que as decisões de arquitetura anteriores tornaram a avaliação muito mais fácil, e que o trabalho de compliance é moldado por escolhas de desenho feitas muito antes de a avaliação começar. Os dados de cartão nunca tocarem o site da Riverton tiram do escopo a maioria dos sistemas que uma avaliação maior examinaria.
28.3 Conduta profissional
Durante o estágio, uma gerente de clínica pede a Priya que marque como concluída uma revisão de acesso atrasada, para evitar um escalonamento. Ela recusa com educação, explica que o registro precisa refletir a realidade e se oferece para ajudar a concluir a revisão naquela tarde. As duas a terminam juntas. Ela reflete que conduta profissional significa manter os registros honestos enquanto ajuda as pessoas a cumprir suas obrigações, e que recusar com gentileza e oferecer ajuda preserva a relação de trabalho. Concluir a revisão naquela tarde permitiu que o registro mostrasse com honestidade que ela foi feita, só um pouco atrasada.
Exemplo resolvido
Priya apoia o trabalho de rotina de GRC, ajuda numa autoavaliação PCI DSS de escopo pequeno e se recusa a falsificar um registro enquanto ajuda a concluir a revisão.
Caso sintético. O estágio é sintético; o PCI DSS é real.
Erros e limites
A qualidade dos estágios varia. A pressão pode ser sutil.
Exercícios
- EX082 — Trabalho de rotina. Em que consiste boa parte do trabalho de GRC? Rubrica: 3 = acompanhamento constante;; 2 = acompanhamento;; 1 = análise;; 0 = nenhuma.
- EX083 — Motivo do escopo pequeno. Por que o escopo PCI DSS da Riverton era pequeno? Rubrica: 3 = página de pagamento hospedada e maquininhas segmentadas;; 2 = desenho;; 1 = vago;; 0 = nenhuma.
- EX084 — Resposta íntegra. Como Priya respondeu ao pedido de marcar uma revisão como concluída? Rubrica: 3 = recusou e ajudou a concluí-la;; 2 = ajuda honesta;; 1 = vago;; 0 = nenhuma.
Síntese
A prática de campo mostra que o trabalho de GRC é constante, moldado pelo desenho e fundamentado em registros honestos.
Continue estudando — aula 28 (capítulo 28 de 30)
← Capítulo 27 · Índice das aulas · Capítulo 29 →
Continue para a próxima aula já escrita.