Capítulo 24 — Arquitetura e engenharia de segurança: controles
Mapa da aula
Aula 24 publicada. Mapa, exemplo, EX070.
flowchart TD
N0["24.1 Usar um catálogo"]
N1["24.2 Adaptação"]
N2["24.3 Ligar controles a riscos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX070"]
Desenho lógico
flowchart LR
N0["24.1 Usar um catálogo"]
N1["24.2 Adaptação"]
N2["24.3 Ligar controles a riscos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX070"]
[24.1 Usar um catálogo]
|
v
[24.2 Adaptação]
|
v
[24.3 Ligar controles a riscos]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX070]
Objetivos de aprendizagem
Você vai (1) selecionar controles de um catálogo para a Fernway; (2) adaptar os controles a uma pequena organização; (3) ligar os controles a riscos e responsáveis.
24.1 Usar um catálogo
Lucas usa o NIST SP 800-53 Rev. 5 e a ISO/IEC 27002:2022 como catálogos, e não como checklists. Ele procura controles que tratem os riscos já registrados: controle de acesso, registro de auditoria, gestão de configuração, relacionamento com fornecedores e resposta a incidentes. Os catálogos o ajudam a não esquecer áreas inteiras, como o descarte de mídias, que a Fernway nunca havia considerado para os discos rígidos dos caixas antigos. Ele mantém uma lista curta de cerca de trinta controles que importam para a Fernway, em vez de tentar implementar centenas escritos para organizações muito maiores. A lista curta é revista todo ano.
24.2 Adaptação
Cada controle selecionado é adaptado ao tamanho da Fernway. O controle de revisão de auditoria do SP 800-53 vira uma revisão mensal de trinta minutos dos alertas de identidade feita por Hannah, e não um centro de operações de segurança. A gestão de configuração vira uma única baseline para os notebooks, gerenciada pela ferramenta de dispositivos. Os controles de fornecedores viram um questionário de uma página e uma cláusula contratual. Lucas registra os motivos da adaptação, para que um auditor veja que o controle foi considerado e adaptado deliberadamente. A adaptação é o modo como os frameworks se tornam utilizáveis por organizações sem grandes equipes de segurança.
24.3 Ligar controles a riscos
Lucas monta uma tabela que liga cada controle aos riscos que reduz, a seu responsável e à sua evidência, como um registro de revisão ou um relatório de configuração. Os controles sem risco ligado são questionados; dois se revelam resquícios das exigências de uma antiga seguradora e são aposentados. Os riscos sem controle ligado são sinalizados como lacunas. A tabela se torna a declaração da Fernway sobre como a segurança é alcançada e dá ao conselho uma forma de acompanhar o progresso sem ler detalhes técnicos. Ela também torna as auditorias posteriores mais rápidas.
Exemplo resolvido
Lucas seleciona cerca de trinta controles do SP 800-53 e da ISO/IEC 27002, adapta-os ao tamanho da Fernway e liga cada um a riscos, responsáveis e evidências.
Caso sintético. A lista de controles da Fernway é sintética; o SP 800-53 Rev. 5 e a ISO/IEC 27002:2022 são reais.
Erros e limites
A adaptação pode descambar para o enfraquecimento dos controles. A evidência precisa ser real, e não uma promessa.
Exercícios
-
EX070 — Área esquecida. Que área a Fernway nunca havia considerado? Rubrica: 3 = o descarte de mídias dos discos rígidos dos caixas antigos;; 2 = descarte;; 1 = vago;; 0 = nenhuma.
-
EX071 — Revisão de auditoria adaptada. Como a revisão de auditoria foi adaptada? Rubrica: 3 = uma revisão mensal de trinta minutos dos alertas de identidade;; 2 = revisão mensal;; 1 = um centro de operações de segurança;; 0 = nenhuma.
-
EX072 — Controles sem ligação. O que aconteceu com os controles sem risco ligado? Rubrica: 3 = foram questionados; dois resquícios foram aposentados;; 2 = aposentados;; 1 = mantidos;; 0 = nenhuma.
Síntese
Os catálogos evitam omissões; a adaptação e os vínculos com os riscos fazem os controles servirem a uma organização pequena.
Continue estudando — aula 24 (capítulo 24 de 40)
← Capítulo 23 · Índice das aulas · Capítulo 25 →
Continue para a próxima aula já escrita.