Capítulo 12 — Papéis e responsabilização

Capítulo 12 — Papéis e responsabilização

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX034.

flowchart TD
  N0["12.1 Papéis principais"]
  N1["12.2 Responsabilização"]
  N2["12.3 Segregação de funções"]
  N0 --> N1 --> N2
  N2 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX034"]

Desenho lógico

flowchart LR
  N0["12.1 Papéis principais"]
  N1["12.2 Responsabilização"]
  N2["12.3 Segregação de funções"]
  N0 --> N1 --> N2 --> Q["EX034"]

[12.1 Papéis principais]
    |
    v
[12.2 Responsabilização]
    |
    v
[12.3 Segregação de funções]
    |
    v
[Exemplo resolvido] --> [Exercício EX034]

Objetivos de aprendizagem

Você vai (1) definir os principais papéis de segurança; (2) atribuir a responsabilização pelas informações e pelos controles; (3) segregar funções para reduzir fraudes e erros.

12.1 Papéis principais

Aisha lista os papéis de segurança na Ashfield. O conselho tem a responsabilização final. O diretor executivo garante os recursos. O gerente de TI lidera as operações de segurança, já que a Ashfield é pequena demais para ter um responsável dedicado à segurança. Os donos da informação, como o chefe de crédito, decidem como suas informações são protegidas. Todos os funcionários seguem as políticas e comunicam incidentes. O Dr. Carrow observa que as organizações pequenas muitas vezes acumulam papéis, o que é aceitável se as responsabilidades estiverem escritas e os conflitos forem administrados abertamente. Aisha escreve as principais atribuições de cada papel numa única frase para o manual dos funcionários.

12.2 Responsabilização

Responsabilização significa que uma pessoa nomeada responde por um resultado. Aisha descobre que vários controles da Ashfield não têm um dono nomeado: a revisão do firewall, as verificações de segurança dos fornecedores e os testes de backup. Cada um era tido como trabalho de outra pessoa. Ela redige uma tabela de responsabilidades listando cada controle, seu dono e a frequência com que é executado. O diretor executivo a aprova. Ela aprende que os controles sem dono tendem a parar sem que ninguém perceba, e é por isso que nomear os donos importa. Em um mês, os três controles foram executados pelo menos uma vez sob seus novos donos.

12.3 Segregação de funções

A segregação de funções divide as tarefas sensíveis para que nenhuma pessoa sozinha possa concluí-las. Na Ashfield, uma pessoa lança um pagamento e outra o aprova. Aisha descobre que o gerente de TI pode tanto criar contas de usuário quanto aprovar seus acessos, de modo que uma conta não autorizada poderia ser criada sem que ninguém mais soubesse. Ela recomenda que as aprovações de acesso venham dos donos da informação. O Dr. Carrow liga isso ao princípio da separação de privilégios de Saltzer e Schroeder. O chefe de crédito e o chefe de finanças concordam em aprovar os acessos das suas próprias equipes.

12.4 Limites das organizações pequenas

A segregação estrita é difícil em equipes pequenas. A Ashfield tem apenas dois funcionários de TI, então, quando um está de férias, o outro precisa fazer tudo. Aisha sugere controles compensatórios: registrar em log todas as ações de administrador e fazer o chefe de operações revisar o log semanalmente. Ela aprende que, quando a segregação é impossível, a detecção e a revisão podem substituí-la em parte, e que documentar esse meio-termo mostra que ela foi uma decisão deliberada, e não um descuido. O chefe de operações faz a primeira revisão semanal com Aisha observando e encontra todas as ações registradas explicadas por um chamado.

Exemplo resolvido

Aisha lista os papéis, nomeia donos para os controles sem dono, descobre que uma mesma pessoa cria e aprova contas e propõe o registro em log e a revisão onde a segregação é impossível.

Caso sintético. Os papéis são sintéticos.

Erros e limites

Os controles que ninguém possui tendem a parar sem que ninguém perceba.

Exercícios

• EX034 — Controles sem dono. Cite um controle que não tinha dono. Rubrica: 3 = a revisão do firewall;; 2 = um;; 1 = vago;; 0 = nenhuma.

• EX035 — Conflito de acesso. Que conflito o gerente de TI tem? Rubrica: 3 = cria e aprova contas;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX036 — Controle compensatório. O que compensa a segregação limitada? Rubrica: 3 = registro das ações de administrador com revisão semanal;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 12 (capítulo 12 de 40)

← Capítulo 11 · Índice das aulas · Capítulo 13 →

Continue para a próxima aula já escrita.