Capítulo 30 — Avaliação do projeto final
Mapa da aula
Aula 30 publicada. Mapa, exemplo, EX088.
flowchart TD
N0["30.1 Apresentação"]
N1["30.2 Avaliação"]
N2["30.3 Reflexão"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX088"]
Desenho lógico
flowchart LR
N0["30.1 Apresentação"]
N1["30.2 Avaliação"]
N2["30.3 Reflexão"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX088"]
[30.1 Apresentação]
|
v
[30.2 Avaliação]
|
v
[30.3 Reflexão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX088]
Objetivos de aprendizagem
Você vai (1) apresentar um projeto final aos avaliadores; (2) avaliá-lo contra critérios; (3) refletir sobre seu desenvolvimento como tecnólogo.
30.1 Apresentação
Priya apresenta seu projeto final ao Sr. Lind e ao gerente de operações da Riverton. Explica o problema, o desenho, os testes, o retorno dos usuários e a documentação, e depois demonstra um resumo semanal. Os avaliadores perguntam como a ferramenta lida com arquivos ausentes; ela mostra que a ferramenta relata as fontes ausentes com clareza, em vez de omiti-las em silêncio. Também perguntam como ela protegeu os dados dos pacientes; ela explica que a ferramenta lê apenas registros de governança, e não prontuários. O Sr. Lind acrescenta que ler apenas registros de governança também mantém a ferramenta fora do escopo das regras de tratamento de dados de pacientes.
30.2 Avaliação
Os avaliadores julgam pelos critérios acordados no início: utilidade para a Riverton, correção, manutenibilidade, documentação e conduta profissional. O gerente de operações relata que o resumo substituiu a pauta de uma reunião semanal e que as ações atrasadas diminuíram depois de sua introdução, embora outras mudanças também tenham contribuído. Priya recebe notas altas, com a sugestão de acrescentar gráficos simples de tendência numa versão futura. A ressalva do gerente de que outras mudanças também contribuíram é o mesmo limite de atribuição que Priya declarou em seu próprio estudo.
30.3 Reflexão
Priya reflete sobre os três anos. Aprendeu a ver a GRC como trabalho prático: conhecer os ativos, mapear os dados, estimar os riscos, documentar os controles, acompanhar os indicadores e corrigir as causas-raiz. Também aprendeu que são as pessoas que fazem a governança funcionar e que a comunicação clara e respeitosa importa tanto quanto as ferramentas. O Sr. Lind observa que o hábito dela de conferir as evidências antes de declarar sucesso vai lhe servir bem em qualquer função. A recusa em marcar como concluída uma revisão de acesso durante o estágio é um exemplo desse hábito na prática.
Exemplo resolvido
Priya apresenta e demonstra seu projeto final, é avaliada em cinco critérios e reflete sobre seu desenvolvimento.
Caso sintético. A avaliação é sintética.
Erros e limites
As avaliações amostram competências. As melhorias relatadas têm várias causas.
Exercícios
- EX088 — Arquivos ausentes. Como a ferramenta lida com arquivos de origem ausentes? Rubrica: 3 = relata-os com clareza;; 2 = explícita;; 1 = em silêncio;; 0 = nenhuma.
- EX089 — Dados de pacientes. A ferramenta lê prontuários? Rubrica: 3 = não, apenas registros de governança;; 2 = não;; 1 = sim;; 0 = nenhuma.
- EX090 — Sugestão futura. O que os avaliadores sugeriram para uma versão futura? Rubrica: 3 = gráficos simples de tendência;; 2 = gráficos;; 1 = vago;; 0 = nenhuma.
Síntese
Uma avaliação de projeto final confirma o valor prático e reflete sobre o crescimento como tecnólogo de GRC.
Continue estudando — aula 30 (capítulo 30 de 30)
← Capítulo 29 · Índice das aulas · Próximo curso pelo índice →
O índice aponta para o próximo curso do percurso de estudos.
Resoluções
Respostas-modelo para EX001–EX090. Priya Natarajan, o Sr. Oskar Lind, o Halden Institute of Technology, o Riverton Dental Group e todos os números são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Porque os dentistas os compraram diretamente dos fornecedores, por fora da TI.
EX002. Hardware, software, dados e serviços.
EX003. Os aparelhos de imagem e os prontuários.
EX004. Num segmento de rede separado dos demais aparelhos.
EX005. Os pedidos aos laboratórios enviados por e-mail comum.
EX006. Separar o Wi-Fi de visitantes dos aparelhos da clínica.
EX007. Porque a mesma verificação roda do mesmo jeito toda vez.
EX008. Ativos com dados de pacientes sem dono e ativos sem atualização há mais de um ano.
EX009. Acrescentou cabeçalhos, a data da verificação e explicações, e ordenou os resultados por clínica.
EX010. Por exemplo, o código da clínica, a etiqueta patrimonial ou a matrícula do dono.
EX011. Para relacionamentos muitos-para-muitos, como controles que tratam vários riscos.
EX012. As contagens por clínica estavam erradas porque a mesma clínica era escrita de formas diferentes.
EX013. Um callback quando os dados bancários de um fornecedor mudam.
EX014. A maioria dos controles existia nos sistemas da Riverton, mas não estava ativada de forma consistente.
EX015. A segurança do paciente, apresentada de forma respeitosa e prática.
EX016. Com tratamento à parte, como o isolamento de rede, registrado no registro de riscos.
EX017. O acesso dos usuários e a configuração.
EX018. Um tempo de bloqueio maior com um método rápido de desbloqueio.
EX019. São criadas com uma data de término que as desativa automaticamente, com prorrogações confirmadas pelo gerente.
EX020. As anotações clínicas.
EX021. Porque é impossível saber quem fez o quê nos prontuários.
EX022. Aparelhos clínicos, recepção, maquininhas de cartão e Wi-Fi de visitantes.
EX023. Porque todas as clínicas devem ser iguais, e assim as diferenças saltam aos olhos.
EX024. O que difere, por quê, o risco, as medidas compensatórias e uma data de revisão.
EX025. Porque evidências antigas dizem pouco sobre se os controles funcionam hoje.
EX026. Três.
EX027. O relatório SOC 2 do fornecedor, porque o provedor do sistema do consultório guarda todos os prontuários.
EX028. Cumprir as obrigações vindas da legislação de dados de saúde, das regras de pagamento com cartão e dos contratos.
EX029. Porque ajuda a definir a prioridade e quem precisa ser envolvido.
EX030. As do prestador externo de suporte.
EX031. A abertura de três novas clínicas no ano que vem.
EX032. Pública, interna e confidencial.
EX033. Clínicas fechadas por mais de um dia, ou uma violação notificável que atinja muitos pacientes.
EX034. Onze.
EX035. Dois laboratórios.
EX036. Coletava histórico médico de que não precisava.
EX037. Uma causa, um evento e consequências.
EX038. Os controles preventivos.
EX039. Porque o esforço de análise deve ir para os cenários que mais importam.
EX040. Ransomware numa clínica, a 27 mil.
EX041. 55 mil.
EX042. Prontuários enviados ao destinatário errado, a 8 mil por ano.
EX043. Cada participante deu sua opinião antes da discussão.
EX044. Concluir a segmentação de rede e testar os backups offline.
EX045. Porque acordá-los na própria reunião aumenta o comprometimento.
EX046. Passando o pagamento com cartão para uma página hospedada pelo seu provedor de pagamentos.
EX047. Para que os gestores vejam o que cada tratamento consegue e se o risco restante está dentro do apetite.
EX048. O risco residual dos notebooks perdidos.
EX049. South.
EX050. Revisão de acesso na North, bloqueio de tela na East, revisão de acesso na East e backup na West.
EX051. Porque os gerentes das clínicas não receberam as listas de contas a tempo.
EX052. O líder de TI restaura cinco arquivos de amostra do arquivo de imagens e registra um resultado de teste datado.
EX053. Porque sua falha afeta o cumprimento de várias obrigações ao mesmo tempo.
EX054. Porque a Riverton não desenvolve software, embora os controles de fornecedores cubram seus provedores.
EX055. Dez.
EX056. Junho (12) e julho (14).
EX057. Duas violações seguidas são escaladas para o gerente de operações.
EX058. Problemas de desenho, de operação e de evidência.
EX059. Porque desbloquear repetidamente atrasava o check-in dos pacientes.
EX060. O testador verificou um computador reserva não gerenciado, registrando uma falsa falha.
EX061. Como chamados com data de expiração.
EX062. Atualiza a probabilidade do risco de e-mail enviado ao destinatário errado.
EX063. Porque é mais confiável e menos trabalhosa do que a evidência montada pouco antes de uma auditoria.
EX064. b.osei e d.wu.
EX065. f.temp era a conta de um substituto nunca removida; g.test foi deixada pelo provedor após a implantação.
EX066. Porque um desligado pode ter voltado ou um fornecedor pode ter um motivo válido, então uma pessoa precisa conferir.
EX067. O registro, os resultados dos testes, as tendências dos indicadores, o registro de evidências e uma pesquisa com os gerentes.
EX068. Doze de catorze.
EX069. A revisão de acesso.
EX070. Pelo número de direitos inadequados encontrados por uma segunda verificação.
EX071. Por sorteio de nomes, sete para cada grupo.
EX072. Quarenta minutos com as listas novas e noventa com as antigas.
EX073. Um checklist de configuração segura, os controles de que o gerente da clínica é dono, os requisitos de evidência e uma sessão curta de treinamento.
EX074. Dois termos usados de forma inconsistente.
EX075. Uma versão do checklist em uma página.
EX076. Uma pessoa que nunca fez a tarefa.
EX077. A revisão mensal dos indicadores, especificamente o que conta como escalonamento.
EX078. Um mês.
EX079. Um aparelho de imagem estava ligado ao segmento da recepção.
EX080. O relatório de validação.
EX081. Porque corrigir problemas antes de entrar em operação é muito mais barato do que depois que os pacientes chegam.
EX082. Acompanhamento constante, como cobrar ações e conferir evidências.
EX083. Por causa da página de pagamento hospedada e das maquininhas segmentadas.
EX084. Recusou com educação e ajudou a gerente a concluir a revisão naquela tarde.
EX085. Ações atrasadas, evidências vencidas, violações de limiares e controles que falharam, cada um com seu dono.
EX086. Porque uma ação resolvida ainda aparecia quando seu arquivo de origem não tinha sido atualizado.
EX087. Simplicidade, documentação e um mantenedor nomeado.
EX088. Relata as fontes ausentes com clareza, em vez de omiti-las em silêncio.
EX089. Não; lê apenas registros de governança.
EX090. Acrescentar gráficos simples de tendência.