Capítulo 29 — Medindo a segurança

Capítulo 29 — Medindo a segurança

Mapa da aula

Aula 29 publicada. Mapa, exemplo, EX085.

flowchart TD
  N0["29.1 Escolhendo as medidas"]
  N1["29.2 Métricas enganosas"]
  N2["29.3 Usando os resultados dos laboratórios"]
  N3["29.4 Relatando tendências"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX085"]

Desenho lógico

flowchart LR
  N0["29.1 Escolhendo as medidas"]
  N1["29.2 Métricas enganosas"]
  N2["29.3 Usando os resultados dos laboratórios"]
  N3["29.4 Relatando tendências"]
  N0 --> N1 --> N2 --> N3 --> Q["EX085"]

[29.1 Escolhendo as medidas]
    |
    v
[29.2 Métricas enganosas]
    |
    v
[29.3 Usando os resultados dos laboratórios]
    |
    v
[29.4 Relatando tendências]
    |
    v
[Exemplo resolvido] --> [Exercício EX085]

Objetivos de aprendizagem

Você vai (1) escolher medidas de segurança significativas; (2) evitar métricas enganosas; (3) relatar tendências aos líderes.

29.1 Escolhendo as medidas

Aisha ajuda a Ashfield a escolher medidas de segurança para o conselho. Ela seleciona medidas ligadas aos principais riscos: a parcela de vulnerabilidades críticas corrigidas dentro da meta, os desligados removidos em até um dia, os funcionários que comunicam o phishing simulado, os backups restaurados com sucesso nos testes e os incidentes por tipo. Cada medida tem uma definição, uma fonte de dados, um dono e uma meta. O Dr. Carrow observa que as medidas devem ajudar nas decisões, então cada uma precisa se ligar a um risco ou objetivo que importe ao conselho. O conselho aprova as cinco medidas para os relatórios trimestrais.

29.2 Métricas enganosas

Algumas métricas enganam. Contar os ataques bloqueados no firewall produz números grandes, que parecem impressionantes, mas dizem pouco sobre o risco. Contar as conclusões de treinamento mostra a presença, e não o comportamento. Aisha explica esses limites ao gerente de TI e os substitui por medidas ligadas a resultados. Ela aprende que as métricas que sempre parecem boas ou que sempre sobem sem significado devem ser vistas com desconfiança. O gerente de TI concorda e retira a contagem do firewall do relatório ao conselho, mantendo-a apenas como um número operacional interno para a sua equipe, onde ainda tem algum valor.

29.3 Usando os resultados dos laboratórios

Aisha inclui os resultados dos seus laboratórios anteriores como linhas de base: as dez contas ativas de desligados encontradas na revisão de acessos, os 89 de 400 achados de vulnerabilidades atrasados e os 2,0 por cento de senhas sintéticas de associados encontradas numa lista de senhas vazadas. Ela define metas para cada um e planeja medir de novo em seis meses. Ela observa que as linhas de base tornam a melhoria visível, e que sem elas ninguém consegue dizer se a segurança está melhorando. O gerente de TI concorda com as metas e atribui a cada medida um dono, que vai relatar o progresso na reunião trimestral de segurança.

29.4 Relatando tendências

Aisha projeta um relatório trimestral de uma página para o conselho: cada medida com seu valor atual, sua meta, uma seta de tendência e um breve comentário. As medidas fora da meta incluem uma ação planejada e um dono. O conselho consegue ver de relance que riscos estão melhorando. O Dr. Carrow observa que as tendências importam mais do que os valores isolados, porque um único trimestre pode ser atípico, enquanto uma tendência mostra a direção. O presidente do conselho diz que o novo relatório leva cinco minutos para ser lido e dá um quadro mais claro do que o antigo relatório de doze páginas dava.

Exemplo resolvido

Aisha liga as medidas aos principais riscos, substitui as métricas de vaidade, usa os resultados dos laboratórios como linhas de base e projeta um relatório de tendências de uma página.

Caso sintético. As medidas são sintéticas.

Erros e limites

Contar os ataques bloqueados parece impressionante, mas diz pouco sobre o risco.

Exercícios

• EX085 — Métrica de vaidade. Que métrica diz pouco sobre o risco? Rubrica: 3 = os ataques bloqueados no firewall;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

• EX086 — Linha de base dos desligados. Qual é a linha de base dos desligados? Rubrica: 3 = dez contas ativas de desligados;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX087 — Formato do relatório. O que o relatório ao conselho mostra para cada medida? Rubrica: 3 = valor, meta, tendência e comentário;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 29 (capítulo 29 de 40)

← Capítulo 28 · Índice das aulas · Capítulo 30 →

Continue para a próxima aula já escrita.