Capítulo 5 — Letramento em segurança

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 Ameaças comuns"]
  N1["5.2 Controles do dia a dia"]
  N2["5.3 Comunicar bem"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 Ameaças comuns"]
  N1["5.2 Controles do dia a dia"]
  N2["5.3 Comunicar bem"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX013"]

[5.1 Ameaças comuns]
    |
    v
[5.2 Controles do dia a dia]
    |
    v
[5.3 Comunicar bem]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) explicar as ameaças básicas a uma organização pequena; (2) relacioná-las a controles do dia a dia; (3) comunicar segurança sem medo.

5.1 Ameaças comuns

Sofia aprende as ameaças que a Elmfield mais enfrenta: e-mails que enganam os funcionários para entregar senhas ou pagar faturas falsas, ransomware que criptografa arquivos, dispositivos perdidos, erros como enviar dados de inquilinos à pessoa errada e o mau uso de acessos por prestadores de serviço. Ela observa que a maioria dos incidentes em organizações pequenas vem de falhas comuns, e não de ataques sofisticados. Saber quais ameaças são comuns ajuda a Elmfield a concentrar recursos limitados onde evitarão mais danos. Para a Elmfield, uma fatura falsa paga ou dados enviados à pessoa errada são muito mais prováveis do que um ataque direcionado.

5.2 Controles do dia a dia

Para cada ameaça, ela lista controles do dia a dia. A autenticação multifator limita o dano de senhas roubadas. Backups mantidos offline permitem a recuperação de um ransomware. A criptografia protege os notebooks perdidos. Conferir os destinatários e usar links de compartilhamento seguros reduzem os e-mails mal endereçados. Contas nominais e com acesso limitado para os prestadores reduzem o mau uso. Ela aprende que as orientações de início rápido do NIST CSF 2.0 para pequenas empresas destacam o mesmo básico. Os controles não precisam ser complexos para funcionar, mas precisam ser aplicados de forma consistente: a autenticação multifator só ajuda se cobrir as trezentas contas.

5.3 Comunicar bem

Sofia prepara uma palestra curta para os agentes de habitação da Elmfield. Evita linguagem assustadora e culpa. Em vez disso, explica por que cada controle ajuda inquilinos e funcionários, dá instruções simples e convida a perguntas. Aprende que o medo pode causar breves surtos de cautela, mas muitas vezes leva a esconder erros. Incentivar os funcionários a relatar os erros depressa, como um e-mail mal endereçado, permite à Elmfield limitar o dano; quem relata em minutos pode permitir pedir ao destinatário que apague a mensagem antes de qualquer prejuízo. A boa comunicação é ela mesma um controle, porque molda o comportamento das pessoas quando algo dá errado.

Exemplo resolvido

Sofia identifica as ameaças comuns da Elmfield, liga-as a controles do dia a dia e dá uma palestra sem culpa que incentiva o relato rápido.

Caso sintético. As ameaças e a palestra são sintéticas; as orientações do CSF 2.0 são reais.

Erros e limites

Controles simples falham se forem inconsistentes. O efeito das palestras dura pouco.

Exercícios

• EX013 — Causa comum. De onde vem a maioria dos incidentes em organizações pequenas?
  Mostrar critérios de avaliação

  Rubrica: 3 = de falhas comuns, não de ataques sofisticados;; 2 = comuns;; 1 = vago;; 0 = nenhuma.
• EX014 — Controle contra ransomware. Que controle permite a recuperação de um ransomware?
  Mostrar critérios de avaliação

  Rubrica: 3 = backups offline;; 2 = backups;; 1 = vago;; 0 = nenhuma.
• EX015 — Efeito do medo. Por que evitar o medo nas palestras de segurança?
  Mostrar critérios de avaliação

  Rubrica: 3 = leva a esconder erros;; 2 = esconder;; 1 = vago;; 0 = nenhuma.

Síntese

O letramento em segurança liga as ameaças comuns aos controles do dia a dia e a uma comunicação sem culpa.