OpenCyber AcademyMapa da aula
Aula 17 publicada. Mapa, exemplo, EX049.
flowchart TD
N0["17.1 O que a criptografia protege"]
N1["17.2 Decisões de política"]
N2["17.3 Chaves e certificados"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX049"]
Desenho lógico
flowchart LR
N0["17.1 O que a criptografia protege"]
N1["17.2 Decisões de política"]
N2["17.3 Chaves e certificados"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX049"]
[17.1 O que a criptografia protege]
|
v
[17.2 Decisões de política]
|
v
[17.3 Chaves e certificados]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX049]
Objetivos de aprendizagem
Você vai (1) explicar o que a criptografia e o hash protegem; (2) relacioná-los a decisões de política; (3) gerenciar chaves e certificados como itens governados.
17.1 O que a criptografia protege
Sofia aprende que a criptografia mantém os dados confidenciais diante de quem não tem a chave, enquanto o hash produz uma impressão digital que muda se os dados mudarem, o que apoia as verificações de integridade. As assinaturas digitais combinam as duas ideias para mostrar quem criou algo e que não foi alterado. Na Elmfield, a criptografia dos notebooks protege os dispositivos perdidos, as conexões seguras protegem os dados em trânsito e os hashes podem mostrar que os arquivos de evidência não foram alterados depois da coleta. Mais adiante no curso, o hash das evidências do teste de backup será um uso direto dessa propriedade de integridade.
17.2 Decisões de política
A criptografia exige decisões de política: que dados precisam ser criptografados, onde e com que métodos aprovados. Sofia redige um padrão curto de criptografia para a Elmfield que remete à classificação de dados: dados pessoais dos inquilinos criptografados em repouso nos dispositivos e em trânsito; documentos do conselho criptografados quando compartilhados fora do portal. Ela aprende que a ISO/IEC 27002:2022 espera regras sobre o uso da criptografia e sobre a gestão de chaves, e que regras simples e claras funcionam melhor do que longos documentos técnicos que ninguém lê; uma regra de duas linhas para os documentos do conselho tem mais chance de ser seguida do que um capítulo sobre cifras.
17.3 Chaves e certificados
Sofia lista os certificados e as chaves de recuperação da Elmfield. O certificado do site se renova automaticamente, mas as chaves de recuperação dos notebooks ficam guardadas só no console de dispositivos, que uma única pessoa administra. Se essa pessoa saísse, a recuperação poderia falhar. Ela recomenda um segundo administrador e um procedimento de recuperação documentado, o que elimina o ponto único de falha sem nenhuma mudança na criptografia em si. Ela aprende que a maioria das falhas criptográficas em organizações pequenas são falhas de gestão, como certificados vencidos ou chaves perdidas, e não algoritmos quebrados.
Exemplo resolvido
Sofia explica a criptografia e o hash, redige um padrão curto de criptografia e corrige um risco de chave dependente de um único administrador.
Caso sintético. As chaves da Elmfield são sintéticas; a ISO/IEC 27002:2022 é real.
Erros e limites
A criptografia não impede o mau uso autorizado. Os procedimentos de chaves precisam ser testados.
Exercícios
- EX049 — Papel do hash. O que o hash apoia?
Mostrar critérios de avaliação
Rubrica: 3 = verificações de integridade;; 2 = integridade;; 1 = confidencialidade;; 0 = nenhuma. - EX050 — Regra dos documentos do conselho. Quando os documentos do conselho precisam ser criptografados pelo padrão proposto?
Mostrar critérios de avaliação
Rubrica: 3 = quando compartilhados fora do portal;; 2 = fora do portal;; 1 = nunca;; 0 = nenhuma. - EX051 — Risco das chaves. Qual era o risco das chaves de recuperação dos notebooks?
Mostrar critérios de avaliação
Rubrica: 3 = um único administrador controlava o único repositório;; 2 = administrador único;; 1 = vago;; 0 = nenhuma.
Síntese
A criptografia só protege os dados quando a política e a gestão de chaves são bem governadas.