Capítulo 29 — Arquitetura e engenharia de segurança: operações
Mapa da aula
Aula 29 publicada. Mapa, exemplo, EX085.
flowchart TD
N0["29.1 A arquitetura em operação"]
N1["29.2 Um ritmo de operação"]
N2["29.3 Mudar com segurança"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX085"]
Desenho lógico
flowchart LR
N0["29.1 A arquitetura em operação"]
N1["29.2 Um ritmo de operação"]
N2["29.3 Mudar com segurança"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX085"]
[29.1 A arquitetura em operação]
|
v
[29.2 Um ritmo de operação]
|
v
[29.3 Mudar com segurança]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX085]
Objetivos de aprendizagem
Você vai (1) descrever as atividades operacionais que mantêm uma arquitetura eficaz; (2) projetar um ritmo de operação leve para a Fernway; (3) lidar com mudanças sem perder a segurança.
29.1 A arquitetura em operação
Lucas aprende que uma arquitetura se deteriora sem operação. As contas acumulam direitos, os certificados expiram, os fornecedores mudam e surgem novas ferramentas. O NIST SP 800-37 Rev. 2 chama a parte contínua de monitoramento contínuo: verificar se os controles ainda funcionam e se o risco continua aceitável. Para a Fernway, isso não pode significar uma equipe grande. Lucas lista as atividades que mais importam: revisões de acesso, aplicação de patches, testes de backup, revisão de logs, verificações de fornecedores e simulados de incidente. Cada uma tem uma frequência e um responsável, e cada uma produz uma pequena evidência.
29.2 Um ritmo de operação
Lucas projeta um calendário. Semanal: Hannah confere os alertas de identidade e o status dos patches. Mensal: o verificador de menor privilégio do capítulo 25 é executado e os resultados são revisados; testa-se a restauração de um backup. Trimestral: revisão da lista de fornecedores, exercício de mesa (tabletop) e um relatório ao conselho com as métricas do capítulo 15. Anual: atualização da visão geral da arquitetura e revisão de riscos. Ele estima o total em cerca de quatro horas por semana. Registrar o ritmo por escrito faz com que as tarefas sobrevivam a férias e trocas de pessoal, porque é o calendário, e não a memória, que as carrega.
29.3 Mudar com segurança
A Fernway muda com frequência: novas lojas, funcionários temporários e novos fornecedores. Lucas acrescenta perguntas de segurança ao formulário de mudança existente: esta mudança acrescenta um fornecedor, dados novos, um novo cruzamento de fronteira ou um novo acesso privilegiado? Um sim dispara uma breve revisão com Hannah. A maioria das mudanças responde não e passa rapidamente. Durante o estágio dele, as perguntas pegam um novo aplicativo de fidelidade que teria recebido a lista completa de associados. A integração é reprojetada para enviar apenas os números dos associados e os saldos de pontos, que é tudo de que o aplicativo precisa.
Exemplo resolvido
Lucas lista as atividades operacionais, projeta um ritmo de quatro horas por semana e acrescenta quatro perguntas de segurança ao formulário de mudança, pegando um aplicativo de fidelidade que compartilhava dados demais.
Caso sintético. O ritmo e o aplicativo são sintéticos; o SP 800-37 Rev. 2 é real.
Erros e limites
Os ritmos escorregam sob pressão de trabalho. As perguntas de mudança dependem de respostas honestas.
Exercícios
-
EX085 — Por que um calendário. Por que registrar o ritmo de operação por escrito? Rubrica: 3 = as tarefas sobrevivem a férias e trocas de pessoal;; 2 = continuidade;; 1 = vago;; 0 = nenhuma.
-
EX086 — Gatilho de mudança. O que dispara uma revisão de segurança de uma mudança? Rubrica: 3 = acrescentar um fornecedor, dados novos, um cruzamento de fronteira ou acesso privilegiado;; 2 = gatilho;; 1 = todas as mudanças;; 0 = nenhuma.
-
EX087 — Correção do aplicativo de fidelidade. Como o aplicativo de fidelidade foi reprojetado? Rubrica: 3 = para receber apenas números de associados e saldos de pontos;; 2 = minimizar;; 1 = vago;; 0 = nenhuma.
Síntese
Uma arquitetura se mantém eficaz por meio de um ritmo de operação escrito e de perguntas de segurança leves na gestão de mudanças.
Continue estudando — aula 29 (capítulo 29 de 40)
← Capítulo 28 · Índice das aulas · Capítulo 30 →
Continue para a próxima aula já escrita.