Aula 8 · 25 min
Tudo o que você levantou só vale se a diretoria entender e agir. O relatório tem uma página de resumo na língua do dono, os achados com prova, o que você não conseguiu ver e um plano de 30 dias com dono e prazo. No fim, o painel do que mudou no mercado, atualizado a cada trimestre.
Começar a aula
Objetivo: entregar à diretoria o relatório com evidências e o plano de 30 dias da empresa-laboratório, aprovados pela rubrica de 8 critérios.
A primeira é para o dono; as outras, para quem corrige e para quem confere. Clique em cada parte.
Escopo escrito no topo do relatório: avaliação e triagem de riscos de IA. Não é pentest, nem resposta a incidente, nem parecer jurídico.
O mesmo achado, escrito para quem decide.
Comece pelo efeito no negócio: dinheiro, cliente, multa, reputação. Depois a causa técnica, em uma linha.
Evite adjetivo ("gravíssimo"). Use o fato e o número.
Qualquer pessoa com o app aberto consegue ver os pedidos de todos os clientes. Correção: regra de acesso no banco, 1 dia de trabalho do Rafael.
A diretoria não lê 12 itens iguais. Agrupe: agora, 7 dias, 30 dias.
Cada linha com uma pessoa responsável. "A TI" não é pessoa.
Agora: chave exposta (Rafael), admin sem login (Rafael), agente obedecendo ordem do cliente (Patrícia + fornecedor do agente).
Nada de "a empresa está segura" nem "isso é ilegal". Diga o que viu, o que não viu e a quem recorrer.
Recomendar avaliação jurídica ou teste de invasão por terceiro é parte do trabalho, não fraqueza.
Recomendamos que o jurídico avalie a base legal do envio de conversas ao fornecedor do resumo (F10).
Apresente o resumo em 10 minutos, combine o plano e marque a reverificação no dia 30.
No dia 30, refaça a checagem dos itens corrigidos e entregue a tabela antes × depois.
10 min resumo · 10 min plano e donos · 10 min perguntas · data da reverificação.
O relatório e o plano andam juntos. Troque os campos entre < > pelos seus.
RELATÓRIO DE AVALIAÇÃO DE RISCOS DE IA <Empresa> · período <datas> · avaliador <nome> · termo assinado em <data> Escopo: avaliação e triagem de riscos de IA. Não é pentest, nem resposta a incidente, nem parecer jurídico. Não emite certificação. 1. RESUMO EXECUTIVO (1 página) O que avaliamos: <n> itens de IA (<apps, agentes, integrações, planilhas, fornecedores>). O que encontramos: <n> riscos — <n> críticos, <n> altos, <n> médios, <n> baixos. Os mais graves, em linguagem de negócio: 1. <consequência> — causa: <uma linha> — ação: <o quê, quem, quando> 2. ... 3. ... O que fazer esta semana: <lista curta> O que precisa de outro profissional: <jurídico / resposta a incidente / fornecedor> 2. INVENTÁRIO E RESPONSÁVEIS <tabela resumida: item | dono | dados | ações | TI conhecia?> 3. ACHADOS COM EVIDÊNCIA <id | item | categoria | código OWASP | evidência (segredo mascarado) | impacto e porquê | exposição e porquê | nota | classe> 4. PLANO DE 30 DIAS (ver plano anexo) 5. LIMITAÇÕES E NÃO VERIFICADO - Fora do escopo: <...> - Não verificado: <item> — motivo: <...> - Esta avaliação não garante ausência de outras falhas. 6. PRÓXIMOS PASSOS - Checklist de governança (20 itens) com status: anexo. - Revisão trimestral em: <data>. - Quem chamar: segurança <contato>, jurídico <contato>, fornecedores <contatos>.
PLANO DE 30 DIAS · <empresa> · início <data> prazo;achado;ação;dono;como conferir;status AGORA (dias 1-2) — críticos <dia 1>;<F1 chave exposta>;<revogar a chave e mover a chamada para o servidor; limite de gasto>;<Rafael>;<chave antiga recusada; app sem chave no navegador>;aberto <dia 2>;<...>;<...>;<...>;<...>;aberto ATÉ 7 DIAS — altos <dia 7>;<...>;<...>;<...>;<...>;aberto ATÉ 30 DIAS — médios + governança <dia 20>;<linha de base do painel>;<levantar 3 meses anteriores>;<Patrícia>;<número de antes registrado>;aberto <dia 25>;<política de uso de IA>;<publicar e explicar à equipe>;<Carlos>;<política assinada e divulgada>;aberto DIA 30 — reverificação <dia 30>;todos os corrigidos;repetir a checagem e entregar tabela antes × depois;<avaliador>;tabela entregue;aberto
RUBRICA — o relatório é aprovado com 8 de 8 [ ] 1. Escopo e limites escritos no topo (não é pentest, nem incidente, nem parecer) [ ] 2. Resumo executivo cabe em 1 página e começa pela consequência no negócio [ ] 3. Todo achado tem evidência verificável; nenhum segredo aparece inteiro [ ] 4. Toda nota tem o porquê do impacto e da exposição [ ] 5. Há uma seção de "não verificado" com motivo [ ] 6. Plano de 30 dias com dono (pessoa), prazo e como conferir em cada linha [ ] 7. Escalonamentos indicados (jurídico, incidente, fornecedor) onde couber [ ] 8. Nenhuma promessa de "segurança total" nem afirmação de ilegalidade
Na empresa-laboratório. Falhas desta aula: F1 a F12, todas no relatório.
Junte o termo (aula 1), o inventário (2), a matriz (3), os checklists (4 e 5), as fichas (6) e o checklist de governança (7) num relatório no modelo desta aula. Depois compare a sua matriz com o gabarito do laboratório.
Pronto quando: o relatório passa nos 8 critérios da rubrica e cobre as 12 falhas (F1 a F12) com evidência.
Monte o plano de 30 dias para a Horizonte usando as pessoas do laboratório: Carlos (dono), Patrícia (comercial), Rafael (TI terceirizada), Juliana (atendimento).
Pronto quando: todo crítico está nos dias 1-2, todo alto até o dia 7, cada linha tem uma pessoa e um jeito de conferir, e o dia 30 tem a reverificação.
Grave você mesmo apresentando o resumo executivo em até 10 minutos, como se fosse para o Carlos.
Pronto quando: a gravação tem até 10 minutos, diz o que fazer esta semana e não usa sigla sem explicar.
A explicação aparece depois da sua resposta.
Pergunta 1 de 4
Como começa o resumo executivo?competência
Pergunta 2 de 4
Qual destas frases NÃO entra no relatório?competência
Pergunta 3 de 4
O que acontece no dia 30 do plano?
Pergunta 4 de 4
Por que o painel "O que mudou" fica separado das aulas?
Escolha uma alternativa. A explicação aparece depois da sua tentativa.
Painel do mercado para esta formação. É atualizado a cada trimestre; o método das aulas 1 a 7 continua valendo. Próxima revisão: jan/2027.
Saiu o OWASP Top 10 for LLM Applications 2026. "Poder demais" (Excessive Agency) subiu para o 3º lugar e o vazamento de instruções internas virou "Hidden Context Exposure".
Para você: a matriz da aula 3 já usa os códigos de 2026.
A OpenAI passou a tratar o GPT-6 Sol e o Luna como capacidade "High" em cibersegurança e biologia (documento de segurança).
Para você: falha pública tende a ser achada mais rápido. Pese isso na exposição.
A Anthropic divulgou que, em avaliação interna, um modelo enviou um formulário falso a um site real, e suspendeu o acesso à internet ao vivo nas avaliações (nota da CSA).
Para você: aprovação humana e registro (aula 5) não são exagero.
Pesquisadores acharam cerca de 380 mil apps públicos em plataformas de vibe coding, uns 5 mil com dado corporativo sensível (registro na OECD.AI).
Para você: o vibe audit (aula 4) tem procura real.
CISA, NSA e FBI acusaram empresas chinesas de IA de copiar capacidades de modelos americanos em escala (alerta AA26-251A).
Para você: anote na ficha de fornecedor (aula 6) como risco regulatório e de reputação.
Pelo Digital Omnibus (acordo político de maio/2026, Reg. 2026/1744), as regras de alto risco do Anexo III do AI Act passam a valer em 02/12/2027 (Gibson Dunn).
Para você: o prazo dá tempo de montar governança (aula 7) sem correria.