Capítulo 20 — Fatores humanos e política cibernética: casos fundamentais

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Estudar casos"]
  N1["20.2 Fatores comuns"]
  N2["20.3 Lições para organizações pequenas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Estudar casos"]
  N1["20.2 Fatores comuns"]
  N2["20.3 Lições para organizações pequenas"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX058"]

[20.1 Estudar casos]
    |
    v
[20.2 Fatores comuns]
    |
    v
[20.3 Lições para organizações pequenas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) analisar relatos publicados de engenharia social; (2) identificar fatores humanos comuns em incidentes; (3) tirar lições para organizações pequenas.

20.1 Estudar casos

Nadia estuda como a engenharia social é descrita em Hadnagy (2018) e no Verizon DBIR. Padrões comuns incluem fingir ser uma autoridade confiável, criar urgência, explorar a prestatividade e usar informações coletadas em fontes públicas. Ela constrói um caso sintético para a Ashcombe com base nesses padrões: alguém que liga fingindo ser auditor da prefeitura pede a uma atendente de unidade que envie por e-mail uma lista de usuários com multas em atraso, alegando um prazo naquela mesma tarde. O caso lhe permite analisar os fatores sem usar nenhum incidente real. O Dr. Prescott aprova o caso.

20.2 Fatores comuns

Nadia lista os fatores humanos do caso sintético: a pressão de autoridade de um suposto cargo na prefeitura; a urgência do prazo; a prestatividade, já que os atendentes querem ajudar as autoridades; e a falta de um procedimento para pedidos de dados. Ela observa que a atendente não é tola; a situação foi desenhada para explorar intenções normais e boas. Também identifica fatores organizacionais: nenhum responsável claro pelos pedidos de dados e nenhuma forma fácil de verificar se o auditor existe. A maioria dos fatores está no sistema, e não na pessoa.

20.3 Lições para organizações pequenas

Organizações pequenas como a Ashcombe não têm equipes de segurança, por isso as lições precisam ser simples. Nadia propõe três: uma regra de que dados de usuários nunca são enviados em resposta a uma ligação; um único contato nomeado que verifica qualquer pedido oficial; e uma cultura em que os funcionários possam dizer não à pressão sem medo. Ela observa que as diretrizes de cultura de cibersegurança da ENISA enfatizam a cultura organizacional e o apoio da liderança. Essas lições custam pouco, o que importa para uma biblioteca pública com orçamento apertado. Os gestores as discutem numa reunião de equipe.

Exemplo resolvido

Nadia constrói um caso sintético de falsificação de identidade, identifica fatores pessoais e organizacionais e propõe três lições simples.

Caso sintético. O caso é sintético; Hadnagy (2018), o DBIR e as diretrizes da ENISA são reais.

Erros e limites

Casos sintéticos podem deixar de fora detalhes reais. Regras simples têm exceções.

Exercícios

• EX058 — Tipos de pressão. Que pressões quem ligou usou?
  Mostrar critérios de avaliação

  Rubrica: 3 = autoridade e urgência;; 2 = duas;; 1 = vago;; 0 = nenhuma.
• EX059 — Onde estão os fatores. Onde está a maioria dos fatores no caso?
  Mostrar critérios de avaliação

  Rubrica: 3 = no sistema, e não na pessoa;; 2 = sistema;; 1 = a atendente;; 0 = nenhuma.
• EX060 — Contato nomeado. O que faz o contato nomeado?
  Mostrar critérios de avaliação

  Rubrica: 3 = verifica qualquer pedido oficial;; 2 = verificar;; 1 = vago;; 0 = nenhuma.

Síntese

Os casos mostram que a engenharia social explora boas intenções e procedimentos ausentes.