Capítulo 1 — Integridade e métodos avançados de pesquisa

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 O candidato e a pergunta"]
  N1["1.2 Integridade na pesquisa em segurança"]
  N2["1.3 Métodos para perguntas organizacionais"]
  N3["1.4 Ética e manuseio de dados"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 O candidato e a pergunta"]
  N1["1.2 Integridade na pesquisa em segurança"]
  N2["1.3 Métodos para perguntas organizacionais"]
  N3["1.4 Ética e manuseio de dados"]
  N0 --> N1 --> N2 --> N3 --> Q["EX001"]

[1.1 O candidato e a pergunta]
    |
    v
[1.2 Integridade na pesquisa em segurança]
    |
    v
[1.3 Métodos para perguntas organizacionais]
    |
    v
[1.4 Ética e manuseio de dados]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) definir regras de integridade para a pesquisa em segurança com um parceiro do mundo real; (2) escolher métodos adequados a perguntas organizacionais de segurança; (3) planejar a revisão ética e o manuseio de dados.

1.1 O candidato e a pergunta

Yusuf Al-Rashid começa uma trilha de pesquisa de doutorado de dois anos em segurança da informação na fictícia Marlow University, sob orientação da Prof.ª Ingeborg Hald. Sua organização parceira é a Fernvale Municipal Services, uma prefeitura fictícia com trinta departamentos e cerca de quatro mil funcionários. Sua pergunta é se ordenar os controles de segurança pelo risco avaliado, em vez de aplicá-los de maneira uniforme, encurta o tempo para corrigir vulnerabilidades críticas e reduz os direitos de acesso excessivos. Todos os dados deste livro são sintéticos, gerados para espelhar a estrutura de um estudo desse tipo.

1.2 Integridade na pesquisa em segurança

A Prof.ª Hald define as regras de integridade na primeira reunião. Yusuf nunca vai testar sistemas em produção sem autorização escrita, vai relatar qualquer vulnerabilidade que encontrar à equipe de segurança da Fernvale em vez de publicá-la, vai pré-registrar as hipóteses antes de analisar os dados de desfecho e vai manter os dados brutos separados do código de análise. Ela explica que a pesquisa em segurança traz um risco especial: um artigo descuidado pode entregar aos atacantes um mapa das fraquezas de uma organização, então a publicação deve descrever padrões sem expor detalhes exploráveis do parceiro. Yusuf as assina.

1.3 Métodos para perguntas organizacionais

Yusuf compara métodos. Experimentos controlados raramente são possíveis dentro de uma prefeitura, porque os departamentos não podem ser designados aleatoriamente para uma segurança mais fraca. Estudos de caso dão profundidade, mas pouca generalização. Os desenhos quase experimentais, discutidos por Shadish, Cook e Campbell, comparam grupos que adotam uma prática com grupos que não a adotam, antes e depois da adoção. Ele escolhe um desenho de diferença em diferenças, porque a Fernvale está implantando a correção ordenada pelo risco primeiro em alguns departamentos, o que cria um grupo de comparação natural cujas tendências podem absorver mudanças em toda a cidade. A Prof.ª Hald aprova a escolha depois de discuti-la.

1.4 Ética e manuseio de dados

O estudo usa logs das datas de correção, das classificações de gravidade das vulnerabilidades e dos registros de permissões das contas. Eles incluem identificadores de funcionários, então Yusuf submete ao comitê de ética da universidade um plano: os identificadores são substituídos por pseudônimos com chave dentro da Fernvale antes da exportação, apenas resultados por departamento são publicados e os extratos brutos são destruídos depois que a tese é examinada. O comitê aprova com uma condição: o líder de segurança da Fernvale deve revisar qualquer publicação quanto à sensibilidade operacional antes da submissão. Yusuf registra a condição no seu plano de gestão de dados. Yusuf concorda.

Exemplo resolvido

Yusuf formula uma pergunta sobre controles ordenados pelo risco na Fernvale, define regras de integridade sobre autorização, divulgação e pré-registro, escolhe a diferença em diferenças e obtém aprovação ética com exportações pseudonimizadas e a condição de revisão pelo líder de segurança.

Caso sintético. A Marlow, a Fernvale e todas as pessoas são sintéticas; Shadish, Cook e Campbell (2002) é real.

Erros e limites

Publicar fraquezas específicas do parceiro transforma a pesquisa num guia de ataque; relate padrões em vez disso.

Exercícios

• EX001 — Pergunta de pesquisa. O que a pergunta de Yusuf compara?

  Mostrar critérios de avaliação

  Rubrica: 3 = aplicação de controles ordenada pelo risco versus uniforme;; 2 = parcialmente correto;; 1 = parcial;; 0 = nenhuma.

• EX002 — Porte do parceiro. Quantos departamentos tem a Fernvale?

  Mostrar critérios de avaliação

  Rubrica: 3 = trinta;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX003 — Regra de testes em produção. Quando Yusuf pode testar sistemas em produção?

  Mostrar critérios de avaliação

  Rubrica: 3 = só com autorização escrita;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX004 — Vulnerabilidade encontrada. O que acontece se Yusuf encontrar uma vulnerabilidade?

  Mostrar critérios de avaliação

  Rubrica: 3 = relatá-la à equipe de segurança da Fernvale;; 2 = parcialmente correto;; 1 = publicar;; 0 = nenhuma.

• EX005 — Desenho escolhido. Que desenho Yusuf escolhe?

  Mostrar critérios de avaliação

  Rubrica: 3 = diferença em diferenças;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX006 — Comparação natural. Por que existe um grupo de comparação?

  Mostrar critérios de avaliação

  Rubrica: 3 = a correção ordenada pelo risco é implantada primeiro em alguns departamentos;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX007 — Condição ética. Que condição o comitê de ética acrescentou?

  Mostrar critérios de avaliação

  Rubrica: 3 = o líder de segurança revisa as publicações quanto à sensibilidade;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.