Dalfovo et al (2008), em seu trabalho “Métodos quantitativos e qualitativos: um resgate teórico”, explicita a classificação da pesquisa científica segundo os critérios de Ramos et al (2005), quais sejam, quanto à natureza e quanto à abordagem do problema. Quanto à natureza, esta pesquisa classifica-se como básica, pois pretende gerar um modelo conceitual de GovSI, e quanto à abordagem, qualitativa, uma vez que se pretende verificar a relação da realidade com o objeto de estudo, cuja coleta de informações não é expressa em números, pois o que se busca é o entendimento do fenômeno como um todo, na sua complexidade, sendo a análise dos dados realizada indutivamente.
4.1 DESCRIÇÃO DA PESQUISA
Para melhor compreensão, a pesquisa foi dividida em três fases. A primeira fase refere-se à pesquisa bibliográfica, apresentada à página 23, e à seleção de material para sustentação do estudo, o referencial teórico. Esta fase teve por objetivo realizar o levantamento das principais definições sobre governança de segurança da informação e comunicações e modelos existentes, por meio das normas e regulamentos brasileiros, artigos científicos, e publicações de entidades acreditadas no assunto como, por exemplo, o ISACA. A pesquisa foi realizada pela Internet no sítio dos órgãos normatizadores/reguladores brasileiros e nos portais da CAPES e do Google Acadêmico. As práticas internacionais adotadas pelo setor público também foram pesquisadas na Internet.
A segunda fase consistiu na identificação dos elementos necessários a um modelo de governança de segurança da informação, baseado no referencial teórico adotado, e da construção de uma proposta de modelo com o viés do setor público brasileiro e, por fim, o desenho de sua representação gráfica. Nesta fase, fez-se uso da norma ABNT NBR ISO/IEC 27014:2013 como pilar central, submetendo esta a uma customização textual em face dos elementos requeridos de um modelo para APF, obtidos pela identificação de elementos realizadas. Esta customização fez uso de Análise de Conteúdo, que, segundo Franco (2012, p. 26 apud Bardin, 1977), conceitua como:
“um conjunto de técnicas de análise das comunicações, que utiliza procedimentos sistemáticos e objectivos de descrição do conteúdo das mensagens. [...] A intenção da análise de conteúdo é a inferência de conhecimentos relativos às condições de produção (ou eventualmente,
de recepção), inferência esta que recorre a indicadores (quantitativos ou não).”.
O método preconizado por Bardin (2006) é organizado em três fases: 1) pré-análise, composta por quatro etapas:
(a) leitura flutuante, que é o estabelecimento de contato com os documentos da coleta de dados, momento em que se começa a conhecer o texto;
(b) escolha dos documentos, que consiste na demarcação do que será analisado;
(c) formulação das hipóteses e dos objetivos;
(d) referenciação dos índices e elaboração de indicadores, que envolve a determinação de indicadores por meio de recortes de texto nos documentos de análise.
2) exploração do material, que consiste na exploração do material com a definição de categorias (sistemas de codificação) e a identificação das unidades de registro (unidade de significação a codificar corresponde ao segmento de conteúdo a considerar como unidade base, visando à categorização e à contagem frequencial) e das unidades de contexto nos documentos (unidade de compreensão para codificar a unidade de registro que corresponde ao segmento da mensagem, a fim de compreender a significação exata da unidade de registro); 3) tratamento dos resultados, inferência e interpretação, que é destinada ao tratamento dos resultados; ocorre nela a condensação e o destaque das informações para análise, culminando nas interpretações inferenciais; é o momento da intuição, da análise reflexiva e crítica.
Para esse estudo, o método proposto por Bardin (1977) foi aplicado a norma NBR ISO/IEC 27014:2013 (ABNTb, 2013) na estrutura de apresentação proposta por Franco (2012) em categorias, sub-categorias, unidade de registro e de contexto.
A terceira fase consistiu na submissão da proposta de modelo de GovSI a um grupo focal formado por cinco especialistas da APF em segurança da informação e comunicações, tanto de nível gerencial quanto técnico, com vasta experiência profissional na área, que possuem direto e estreito relacionamento com os órgãos e entidades da APF e, ainda, fazem parte de uma unidade que possui assento no Comitê de Segurança da Informação do DSIC/GSI. A partir de suas observações, foi realizada as adequações do modelo proposto no que era
pertinente ao objeto do estudo. A escolha pela técnica de grupo focal foi, assim como descrito por Gui (2003), devido a necessidade de utilização de um instrumento de pesquisa que favorecesse a livre expressão dos participantes à medida que refletissem e discutissem sobre o tema proposto, permitindo, dessa forma, emergir os significados relacionados às questões apresentadas decorrentes da experiência do grupo. Segundo Kind (2004), os grupos focais utilizam a interação grupal para produzir dados e insights que seriam dificilmente conseguidos fora do grupo. Os dados obtidos, então, levam em conta o processo do grupo, tomados como maior do que a soma das opiniões, sentimentos e pontos de vista individuais em jogo. A despeito disso, o grupo focal conserva o caráter de técnica de coleta de dados, adequado, a priori, para investigações qualitativas. Kind (2004 apud Nery, 1997), lista as principais indicações para o uso do grupo focal:
I. exploração inicial com pequenas amostragens da população;
II. investigação profunda de motivações, desejos, estilos de vida dos grupos;
III. compreensão da linguagem e das perspectivas do grupo;
IV. teste de conceitos e questões para futuras investigações quantitativas; V. acompanhamento de pesquisa qualitativa;
VI. obtenção de informações sobre um contexto específico;
VII. obtenção de informações sobre novos produtos, conceitos, fenômenos, etc.
Almeida (2016) apresenta os requisitos comuns a grupos focais encontrados na literatura, quais sejam:
a) Compostos por cinco a doze membros entrevistados (IERVOLINO; PELICIONI, 2001);
b) Sessões de uma a duas horas (VERGARA, 2009);
c) Possibilidade de haver uma ou mais sessões de grupo focal (DE ANTONI et al., 2001);
d) Formado por membros com algumas características homogêneas (como dados demográficos e relação com o tema), mas que permitam uma adequada heterogeneidade de visões sobre o tópico discutido (IERVOLINO; PELICIONI, 2001);
e) Discussão inicia por tópicos mais simples e generalistas (LUDWIG, 2009), culminando em itens mais específicos e profundos;
f) Normalmente, discutem-se até cinco questões/tópicos por sessão (MARCZAK; SEWELL, 2015).
A entrevista com o grupo focal foi realizada nas dependências da Secretária de Tecnologia da Informação, vinculada ao Ministério de Planejamento, Orçamento e Gestão, no dia 27/04/2016, das 17h às 18h03.