Capítulo 32 — Caso de negócio

Capítulo 32 — Caso de negócio

Mapa da aula

Aula 32 publicada. Mapa, exemplo, EX094.

flowchart TD
  N0["32.1 A necessidade"]
  N1["32.2 Custos e benefícios"]
  N2["32.3 Opções"]
  N3["32.4 Apresentando"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX094"]

Desenho lógico

flowchart LR
  N0["32.1 A necessidade"]
  N1["32.2 Custos e benefícios"]
  N2["32.3 Opções"]
  N3["32.4 Apresentando"]
  N0 --> N1 --> N2 --> N3 --> Q["EX094"]

[32.1 A necessidade]
    |
    v
[32.2 Custos e benefícios]
    |
    v
[32.3 Opções]
    |
    v
[32.4 Apresentando]
    |
    v
[Exemplo resolvido] --> [Exercício EX094]

Objetivos de aprendizagem

Você vai (1) montar um caso de negócio para um investimento em segurança; (2) estimar os custos e os benefícios; (3) apresentar opções a quem decide.

32.1 A necessidade

O conselho da Ashfield pergunta se deve contratar um serviço gerenciado de detecção, que monitora os sistemas vinte e quatro horas por dia. Aisha prepara um caso de negócio. Ela começa pelo problema: o gerente de TI revisa os alertas apenas nas manhãs dos dias úteis, então um ataque iniciado numa sexta-feira à noite poderia correr despercebido até segunda-feira. Ela usa o registro de riscos para mostrar que o ransomware e o comprometimento de contas são os principais riscos, e ambos se espalham depressa quando não são percebidos. Ela também lista dois incidentes de fim de semana do ano anterior que só foram encontrados nas manhãs de segunda-feira.

32.2 Custos e benefícios

Aisha estima os custos: a mensalidade anual do serviço, o trabalho de implantação e o tempo da equipe para responder aos alertas. Quanto aos benefícios, ela estima quanto mais rápido os ataques seriam detectados e que danos isso poderia evitar, usando as classificações de impacto do registro de riscos. Ela toma o cuidado de apresentar os benefícios como faixas com premissas declaradas, e não como economias precisas. O Dr. Carrow observa que os benefícios de segurança são incertos, então a honestidade sobre as premissas constrói confiança. Ela mostra ao conselho uma tabela simples com estimativas baixa, intermediária e alta e lista as premissas logo abaixo, em linguagem simples.

32.3 Opções

Aisha apresenta três opções: não fazer nada, ampliar o horário do gerente de TI com uma escala de plantão ou contratar o serviço gerenciado. Não fazer nada custa menos, mas deixa os fins de semana sem monitoramento. A escala de plantão é mais barata do que o serviço, mas esgotaria os dois funcionários de TI. O serviço gerenciado custa mais, mas oferece monitoramento contínuo e analistas especializados. Ela recomenda o serviço gerenciado com um teste de um ano e medidas de desempenho claras. Ela define as medidas para o teste, como o tempo entre o alerta e a notificação da Ashfield, e um relatório mensal do prestador ao gerente de TI.

32.4 Apresentando

Aisha apresenta o caso de negócio ao conselho em quinze minutos. Ela começa pelo problema e pela recomendação e depois mostra as opções, os custos e os riscos. Um conselheiro pergunta o que acontece se o prestador deixar passar um ataque. Ela explica os termos do contrato e a revisão mensal dos alertas e das respostas. O conselho aprova um teste de um ano. Ela aprende que os casos de negócio dão certo quando ligam a segurança a resultados que o conselho valoriza. Depois da reunião, o presidente pede que ela apresente os resultados do teste ao conselho dali a um ano.

Exemplo resolvido

Aisha monta um caso de negócio para a detecção gerenciada, estima os custos e benefícios em faixas, compara três opções e obtém a aprovação de um teste de um ano.

Caso sintético. Os números são sintéticos.

Erros e limites

Apresentar benefícios incertos como economias precisas prejudica a credibilidade.

Exercícios

• EX094 — Lacuna do fim de semana. Por que os ataques de fim de semana poderiam passar despercebidos? Rubrica: 3 = alertas revisados apenas nas manhãs dos dias úteis;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX095 — Desvantagem da escala. Qual é a desvantagem da escala de plantão? Rubrica: 3 = esgotaria os dois funcionários de TI;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX096 — Decisão do conselho. O que o conselho aprova? Rubrica: 3 = um teste de um ano;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

Continue estudando — aula 32 (capítulo 32 de 40)

← Capítulo 31 · Índice das aulas · Capítulo 33 →

Continue para a próxima aula já escrita.