◇ OpenCyber Academy
Graduação · Capítulo 24 · Português

Capítulo 24 — Criptografia e serviços de confiança: controles

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 24 — Criptografia e serviços de confiança: controles

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Selecionar os controles"]
  N1["24.2 Segregação e controle duplo"]
  N2["24.3 Documentar para a auditoria"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Selecionar os controles"]
  N1["24.2 Segregação e controle duplo"]
  N2["24.3 Documentar para a auditoria"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX070"]

[24.1 Selecionar os controles]
    |
    v
[24.2 Segregação e controle duplo]
    |
    v
[24.3 Documentar para a auditoria]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) selecionar controles para o gerenciamento de chaves; (2) aplicar a segregação de funções e o controle duplo; (3) documentar os controles para auditoria.

24.1 Selecionar os controles

Priya seleciona os controles de gerenciamento de chaves da Tidewell com base no SP 800-57: chaves geradas no serviço de chaves, nunca por indivíduos; acesso às chaves limitado por papel; rotação no prazo; procedimentos de revogação; e destruição segura quando as chaves são aposentadas. Para cada controle, ela lista o propósito, o dono e as evidências, como logs ou chamados. Ela prioriza os controles para as chaves de maior valor, a autoridade interna e as chaves de backup, em vez de aplicar todos os controles em toda parte. Ela explica que espalhar o esforço por igual deixaria as chaves mais valiosas tão protegidas quanto as triviais.

24.2 Segregação e controle duplo

A segregação de funções significa que nenhuma pessoa sozinha consegue concluir uma ação sensível; o controle duplo significa que duas pessoas precisam agir juntas. Priya aplica os dois: restaurar as chaves de backup exige dois administradores; quem aprova as solicitações de certificado não pode também emiti-los; e os logs de auditoria são revisados por alguém de fora da equipe de TI. Esses controles protegem tanto contra erros quanto contra insiders, e protegem a equipe honesta ao deixar claro que ninguém poderia ter agido sozinho. Ela documenta cada controle na política de acesso.

24.3 Documentar para a auditoria

Priya escreve um registro de controles: controle, risco tratado, dono, frequência e local das evidências. Quando os auditores do consórcio visitam, eles fazem uma amostragem do registro: pedem as evidências do teste das chaves de backup do último trimestre e os registros de aprovação de três certificados. Dois itens estão faltando porque as evidências eram guardadas no e-mail pessoal. Priya transfere o armazenamento das evidências para um local compartilhado e com controle de acesso. A documentação é o que permite a uma organização provar que seus controles funcionam, e não apenas afirmá-lo. Grace acrescenta ao checklist trimestral um lembrete para confirmar que as evidências estão guardadas corretamente.

Exemplo resolvido

Priya constrói um registro de controles com controle duplo para as chaves de backup e segregação na aprovação de certificados e corrige, depois de uma amostragem da auditoria, as evidências guardadas no e-mail pessoal.

Caso sintético. Os controles e a auditoria são inventados; o SP 800-57 é real.

Erros e limites

Controles sem evidências falham nas auditorias. O controle duplo se desgasta se a equipe compartilhar credenciais para ganhar tempo.

Exercícios

Síntese

Controles de gerenciamento de chaves priorizados, com segregação, controle duplo e evidências documentadas, tornam os serviços de confiança auditáveis.

Continue estudando — aula 24 (capítulo 24 de 40)

← Capítulo 23 · Índice das aulas · Capítulo 25 →

Continue para a próxima aula já escrita.