Capítulo 9 — Evidências e medição
Mapa da aula
Aula 09 publicada. Mapa, exemplo, EX025.
flowchart TD
N0["9.1 Registro de evidências"]
N1["9.2 Verificar a atualidade"]
N2["Laboratório — Verificar a atualidade das evidências"]
N3["9.3 Relatar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX025"]
Desenho lógico
flowchart LR
N0["9.1 Registro de evidências"]
N1["9.2 Verificar a atualidade"]
N2["Laboratório — Verificar a atualidade das evidências"]
N3["9.3 Relatar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX025"]
[9.1 Registro de evidências]
|
v
[9.2 Verificar a atualidade]
|
v
[Laboratório — Verificar a atualidade das evidências]
|
v
[9.3 Relatar]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX025]
Objetivos de aprendizagem
Você vai (1) manter um registro de evidências dos controles; (2) verificar a atualidade das evidências; (3) relatar as evidências vencidas.
9.1 Registro de evidências
A Riverton coleta evidências de que os controles funcionam: testes de restauração de backup, revisões de acesso, revisões de firewall, ciência das políticas, relatórios de garantia de fornecedores e relatórios de criptografia. Priya monta um registro com cada item, sua data e a idade máxima permitida antes de ser renovado. Ela aprende que as evidências têm prazo de validade: um teste de backup do ano passado diz pouco sobre se os backups funcionam hoje, então as regras de atualidade importam tanto quanto a própria evidência. A idade máxima de cada item vira a regra aplicada na verificação de atualidade que vem a seguir.
9.2 Verificar a atualidade
O laboratório verifica seis itens contra seus limites no último dia de setembro. Três estão vencidos. A revisão de acesso do segundo trimestre tem noventa e quatro dias, contra um limite de noventa. A revisão das regras de firewall tem duzentos e trinta e dois dias, contra cento e oitenta. O relatório SOC 2 do fornecedor tem quatrocentos e cinquenta e sete dias, contra um ano. O teste de backup, a ciência das políticas e o relatório de criptografia estão em dia. Priya observa que a revisão de acesso está só um pouco atrasada: quatro dias além dos noventa pedem um lembrete, enquanto o SOC 2 com quatrocentos e cinquenta e sete dias pede escalonamento.
Laboratório — Verificar a atualidade das evidências
"""Evidence freshness: items older than their allowed age (synthetic Riverton evidence log)."""
from datetime import date
today = date(2026, 9, 30)
log = [("backup restore test", date(2026, 7, 2), 90), ("access review Q2", date(2026, 6, 28), 90),
("firewall rule review", date(2026, 2, 10), 180), ("policy acknowledgement", date(2025, 11, 1), 365),
("vendor SOC 2 report", date(2025, 6, 30), 365), ("encryption report", date(2026, 9, 15), 30)]
stale = [(n, (today - d).days, m) for n, d, m in log if (today - d).days > m]
for n, age, m in stale: print(f"STALE {n}: {age} days old, limit {m}")
print(f"items {len(log)}; stale {len(stale)}; fresh {len(log) - len(stale)}")
Execute com python3 lab_fresh.py. Saída verificada:
STALE access review Q2: 94 days old, limit 90
STALE firewall rule review: 232 days old, limit 180
STALE vendor SOC 2 report: 457 days old, limit 365
items 6; stale 3; fresh 3
9.3 Relatar
Priya relata os itens vencidos com seus donos e o tamanho de cada atraso. Trata o relatório do fornecedor como o mais grave, porque se refere ao provedor do sistema do consultório, que guarda todos os prontuários. Ela pede ao provedor o relatório mais recente. Aprende que medir a atualidade das evidências transforma um arquivo de garantia num controle vivo, e que atrasos pequenos merecem um lembrete, enquanto lacunas longas pedem escalonamento. Pedir ao provedor o relatório mais recente também testa se o contrato dá à Riverton o direito de recebê-lo.
Exemplo resolvido
Priya monta um registro de evidências com limites de atualidade, encontra três itens vencidos e escala o relatório antigo do fornecedor.
Caso sintético. Os itens de evidência são sintéticos.
Erros e limites
Evidências atuais ainda podem ser fracas. Os limites são decisões de julgamento.
Exercícios
- EX025 — Prazo de validade. Por que as evidências têm prazo de validade? Rubrica: 3 = testes antigos dizem pouco sobre a operação atual do controle;; 2 = atualidade;; 1 = vago;; 0 = nenhuma.
- EX026 — Contagem de vencidos. Quantos dos seis itens estavam vencidos? Rubrica: 3 = três;; 2 = 3;; 1 = vago;; 0 = nenhuma.
- EX027 — O mais grave. Que item vencido era o mais grave, e por quê? Rubrica: 3 = o relatório SOC 2 do fornecedor, pois o provedor guarda todos os prontuários;; 2 = fornecedor;; 1 = revisão de acesso;; 0 = nenhuma.
Síntese
Regras de atualidade das evidências mantêm a garantia em dia e destacam o que precisa ser renovado.
Continue estudando — aula 09 (capítulo 09 de 30)
← Capítulo 08 · Índice das aulas · Capítulo 10 →
Continue para a próxima aula já escrita.