Nota de política
Quem é responsável pelo risco cibernético em ambientes de elevada exigência?
Nota de política · Separar aconselhamento, responsabilidade operacional e aceitação do risco residual.
A escolha de política
Um CISO pode explicar a exposição sem poder aceitar consequências para toda a missão. O NIST CSF 2.0 aborda a governação; o RMF estrutura a gestão de riscos de segurança e privacidade ao longo do ciclo de vida. [1][2] Cada organização continua a precisar de definir as suas autoridades.
Uma distribuição proposta
Propomos que o responsável pela missão defina consequências, o responsável pelo sistema execute o tratamento, o CISO questione pressupostos e evidências e a autoridade designada aceite o risco residual. Uma pessoa pode acumular funções; o registo deve indicar a autoridade exercida. É o nosso modelo, não uma regra jurídica universal.
Exceções com prazo
Para um acesso urgente, comparar recusa, acesso temporário restrito e acesso completo com controlos compensatórios. Registar escolha, motivo, âmbito, prazo, monitorização e condição de escalada. A falta de orçamento não justifica aceitação indefinida. O acesso temporário também tem custos operacionais: identificar quem os suporta.
Avaliar a governação
Rever exceções expiradas, tratamentos atrasados e decisões reabertas após incidentes. A auditoria deve poder questionar provas sem assumir a decisão operacional que avalia. O teste é a rastreabilidade: um sucessor consegue perceber o que foi aceite, por quem, com que provas e até quando?
Um registo que sobreviva à mudança de direção
Documentar missão, cenário plausível, opções, consequências, limites das provas e autoridade decisora. Acrescentar responsável pelo tratamento e condições de revisão. Uma cor ou pontuação não basta. Um sucessor deve compreender por que continuar foi preferível a restringir ou suspender, mesmo após a saída dos participantes.
Uma exceção ilustrativa
Imagine um prestador que precisa de acesso antes da partida de um navio. Recusar pode atrasar a operação; acesso ilimitado pode criar dependência inaceitável de identidade externa. Uma sessão supervisionada, permissões limitadas e prazo podem ser viáveis. Justificar o cenário tratado e a prova de encerramento. É um exemplo hipotético.
Separar aprovação e avaliação
Quem implementa fornece provas; decisões importantes beneficiam de análise de pressupostos omitidos. Evitar cadeias intermináveis de aprovação. Definir decisões sujeitas a revisão independente, informação necessária e revisão de urgências. A governação deve esclarecer o compromisso a tempo da missão e registar a incerteza aceite.
Referências
- NIST · The Cybersecurity Framework (CSF) 2.0 · 26 February 2024
- NIST · SP 800-37 Rev. 2 · December 2018
Cyber Policy Review · Análise editorial. Paráfrases originais, sem citações literais. As referências não implicam certificação ou apoio institucional.
Publicações