📖 Resumo - Domínio 5: Governança, Risco e Conformidade

1️⃣ Documentos de Governança

Tipos Específicos de Políticas

• AUP (Acceptable Use Policy): Define uso aceitável de recursos corporativos (email, internet, dispositivos). Tem força legal.
• NDA (Non-Disclosure Agreement): Acordo de confidencialidade para proteger segredos comerciais.
• Data Classification Policy: Define categorias de dados baseadas em sensibilidade.

2️⃣ Change Management

CAB (Change Advisory Board)

• Comitê que analisa mudanças propostas
• Composto por stakeholders: TI, segurança, áreas de negócio, gestão

Tipos de Mudança

• Normal Change: Mudança planejada, segue processo completo
• Emergency Change: Mudança crítica não planejada (incidente, patch urgente). Processo acelerado.
• Standard Change: Mudança de baixo risco, pré-aprovada.

3️⃣ Conceitos de Risco

Conceito	Descrição
Inherent Risk	Risco natural sem controles implementados. É o baseline.
Residual Risk	Risco que permanece após a implementação de controles.
Risk Appetite	Quantidade total de risco que a organização está disposta a aceitar. Decisão estratégica.
Risk Tolerance	Variação aceitável no apetite de risco. Nível operacional.
Risk Assessment	Processo de identificar, analisar e priorizar riscos.

4️⃣ Análise Quantitativa de Riscos

Métrica	Descrição
ALE	Annual Loss Expectancy. Perda anual esperada.
SLE	Single Loss Expectancy. Perda por ocorrência.
ARO	Annual Rate of Occurrence. Frequência anual.
EF	Exposure Factor. Percentual de perda.

Exemplo Prático

5️⃣ Business Continuity

BIA (Business Impact Analysis)

• Identifica processos críticos de negócio
• Define RTO, RPO e MTD para cada processo
• Base para Disaster Recovery Plan (DRP) e Business Continuity Plan (BCP)

Métricas de Continuidade

• RTO (Recovery Time Objective): Tempo máximo que um processo pode ficar offline.
• RPO (Recovery Point Objective): Quantidade máxima de dados que pode ser perdida.
• MTD (Maximum Tolerable Downtime): Tempo máximo que organização pode operar sem o processo.
• MTBF (Mean Time Between Failures): Tempo médio entre falhas (confiabilidade).
• MTTR (Mean Time To Repair): Tempo médio para reparo.

6️⃣ Vendor Management (Gestão de Terceiros)

• Due Diligence: Avaliação pré-contrato do fornecedor. Inclui background check, controles de segurança, saúde financeira.
• Due Care: Ações contínuas após o contrato. Monitoramento, auditorias, verificação de conformidade.
• SLA (Service Level Agreement): Contrato que define níveis de serviço: uptime, tempo de resposta, penalidades.
• Right-to-Audit: Cláusula que permite auditar o fornecedor.
• Vendor lock-in: Dependência excessiva de um fornecedor.

7️⃣ Auditoria

Tipo	Descrição
Internal Audit	Realizado por equipe interna independente (reporta ao board).
External Audit	Realizado por firma externa independente. Mais credibilidade.
First-Party	Auto-avaliação (a própria organização se avalia).
Second-Party	Avaliação de fornecedor/parceiro (vendor audit).
Third-Party	Avaliação independente (certificação externa).

8️⃣ Classificação de Dados

9️⃣ Regulamentações e Compliance

🔟 Data Destruction

Método	Descrição
Shredding	Destruição física de papel ou discos. Cross-cut shredder é mais seguro.
Wiping	Sobrescrever dados em disco com padrões de bits. DoD 5220.22-M para alta segurança.
Degaussing	Campo magnético para apagar mídias magnéticas (HDDs, fitas). Torna a mídia inutilizável.
Incineration	Queima controlada de mídias. Destruição completa.

1️⃣1️⃣ Políticas de Pessoal

Background Check (Verificação de Antecedentes)

• Verificação criminal, histórico profissional, educação, crédito (para cargos financeiros).
• Realizada antes da contratação.

Ciclo de Vida do Funcionário

• Onboarding (Admissão): Concessão gradual de acessos (least privilege), treinamento de segurança, assinatura de políticas (AUP, NDA).
• Role Changes (Mudança de Função): Revisão de privilégios, remoção de acessos antigos.
• Offboarding (Desligamento): Revogação imediata de todos os acessos, recolhimento de ativos (laptop, badge).

Princípios Fundamentais

• PoLP (Principle of Least Privilege): Usuários recebem apenas as permissões mínimas necessárias.
• SoD (Segregação de Funções): Divide tarefas críticas entre múltiplas pessoas para prevenir fraudes.