OpenCyber Academy
Graduação · Capítulo 32 · Português
Código do curso: OCA-099Capítulo 32: OCA-099-C032

Capítulo 32 — Arquitetura e engenharia de segurança: interfaces interdisciplinares

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 32 publicada. Mapa, exemplo, EX094.

flowchart TD
  N0["32.1 Linguagens diferentes"]
  N1["32.2 Trabalhar com o jurídico e a privacidade"]
  N2["32.3 Resolver conflitos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX094"]

Desenho lógico

flowchart LR
  N0["32.1 Linguagens diferentes"]
  N1["32.2 Trabalhar com o jurídico e a privacidade"]
  N2["32.3 Resolver conflitos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX094"]

[32.1 Linguagens diferentes]
    |
    v
[32.2 Trabalhar com o jurídico e a privacidade]
    |
    v
[32.3 Resolver conflitos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX094]

Objetivos de aprendizagem

Você vai (1) trabalhar com colegas do jurídico, do financeiro e de operações em decisões de segurança; (2) traduzir a segurança para a linguagem de cada disciplina; (3) resolver prioridades conflitantes.

32.1 Linguagens diferentes

Lucas percebe que cada departamento da Fernway ouve a segurança de um jeito diferente. O gerente financeiro pensa em custos e perdas; o gerente de operações pensa em vazão e tempo da equipe; a assessora jurídica da cooperativa pensa em obrigações e responsabilidade. Quando Lucas apresentou o proxy de acesso em termos técnicos, ninguém se engajou. Quando o descreveu ao financeiro como redução da chance de fraude em pagamentos, a operações como a eliminação da etapa de VPN que atrasa a equipe das lojas e ao jurídico como apoio aos deveres de proteção de dados, cada pessoa viu um motivo para apoiá-lo.

32.2 Trabalhar com o jurídico e a privacidade

A assessora jurídica pergunta se a regra de detecção de logins do capítulo 30 é lícita perante as normas de proteção de dados, já que trata dados de localização dos funcionários. Lucas e a assessora documentam a finalidade, os dados minimizados ao nível de país, o prazo de retenção e o aviso aos funcionários, e registram uma avaliação de interesse legítimo. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) espera que tais obrigações sejam identificadas e cumpridas. O trabalho atrasa o teste em duas semanas, mas o torna defensável. Lucas aprende que envolver o jurídico cedo sai mais barato do que reprojetar depois de uma objeção.

32.3 Resolver conflitos

Operações quer que os funcionários temporários comecem a trabalhar em até uma hora após a chegada; a segurança quer as contas aprovadas e o treinamento feito antes. Lucas negocia um meio-termo: as contas temporárias são pré-criadas com direitos limitados de caixa, ativadas na chegada por um gerente de loja e expiram no fim da temporada. O treinamento é um vídeo de cinco minutos no caixa. Os dois lados obtêm a maior parte do que precisam. Ele registra o meio-termo como uma decisão de projeto, para que não seja reaberto a cada temporada. O trabalho interdisciplinar consiste sobretudo em encontrar projetos que sirvam a vários objetivos ao mesmo tempo.

Exemplo resolvido

Lucas traduz o proxy de acesso para os termos do financeiro, de operações e do jurídico, documenta uma base legal para a detecção e negocia um meio-termo para as contas temporárias.

Caso sintético. Os departamentos e as decisões são sintéticos; a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) é real.

Erros e limites

A tradução pode exagerar os benefícios. Os meios-termos precisam de revisão se as condições mudarem.

Exercícios

Síntese

As decisões de segurança dão certo quando traduzidas para a linguagem de cada disciplina e projetadas para servir a vários objetivos ao mesmo tempo.

Respostas comentadas

EX094. Como redução da chance de fraude em pagamentos.

EX095. A finalidade, os dados ao nível de país, a retenção, o aviso aos funcionários e uma avaliação de interesse legítimo.

EX096. Contas de caixa limitadas pré-criadas, ativadas por um gerente na chegada e que expiram no fim da temporada.