◇ OpenCyber Academy
Pesquisa doutoral · Capítulo 2 · Português

Capítulo 2 — Segurança da informação: fronteira da pesquisa

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Segurança da informação: fronteira da pesquisa

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Fundamentos"]
  N1["2.2 Normas de gestão"]
  N2["Laboratório — Categorização de segurança pela marca"]
  N3["2.3 Reproduzindo uma categorização"]
  N4["2.4 A lacuna"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Fundamentos"]
  N1["2.2 Normas de gestão"]
  N2["Laboratório — Categorização de segurança pela marca"]
  N3["2.3 Reproduzindo uma categorização"]
  N4["2.4 A lacuna"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"]

[2.1 Fundamentos]
    |
    v
[2.2 Normas de gestão]
    |
    v
[Laboratório — Categorização de segurança pela marca]
    |
    v
[2.3 Reproduzindo uma categorização]
    |
    v
[2.4 A lacuna]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) mapear fontes fundamentais e atuais sobre gestão da segurança da informação; (2) reproduzir uma categorização de segurança a partir de uma norma publicada; (3) localizar uma lacuna de pesquisa em aberto.

2.1 Fundamentos

Yusuf começa pelos fundamentos. O artigo de Saltzer e Schroeder de 1975 estabeleceu princípios de projeto como o privilégio mínimo, os padrões à prova de falhas e a mediação completa, que ainda enquadram a pesquisa em controle de acesso. A NIST SP 800-12r1 apresenta a confidencialidade, a integridade e a disponibilidade como os objetivos centrais de segurança e explica como as organizações os gerenciam. O Security Engineering de Anderson, terceira edição, mostra por meio de muitos casos que as falhas costumam surgir de incentivos, usabilidade e processos organizacionais, e não de criptografia quebrada, o que sustenta o foco de Yusuf em como os controles são priorizados. Ele resume cada fonte numa breve nota comentada.

2.2 Normas de gestão

Ele revisa as normas de gestão. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) estabelece requisitos para um sistema de gestão da segurança da informação, incluindo a avaliação e o tratamento de riscos. A ISO/IEC 27002:2022 dá orientações sobre controles. A ISO/IEC 27000:2026 oferece uma visão geral de como a família se encaixa. A NIST SP 800-53r5 oferece um grande catálogo de controles, e o NIST Cybersecurity Framework 2.0 organiza os resultados nas funções governar, identificar, proteger, detectar, responder e recuperar. Ele observa que todas elas pressupõem a seleção baseada em risco, mas dizem pouco sobre como medir seu efeito. Yusuf registra essa observação como ponto de partida para sua lacuna.

Laboratório — Categorização de segurança pela marca d'água mais alta de cinco sistemas sintéticos

"""FIPS 199-style high-water-mark categorisation of synthetic systems (stdlib only)."""
L = {"low": 1, "moderate": 2, "high": 3}
systems = {
    "payroll":        ("moderate", "high", "moderate"),
    "public_website": ("low", "moderate", "moderate"),
    "water_scada":    ("low", "high", "high"),
    "permits_portal": ("moderate", "moderate", "low"),
    "case_records":   ("high", "moderate", "moderate"),
}
from collections import Counter
cat = {s: max(v, key=L.get) for s, v in systems.items()}
for s, v in systems.items():
    print(f"{s:<15} C={v[0]:<8} I={v[1]:<8} A={v[2]:<8} -> {cat[s]}")
print("overall:", dict(Counter(cat.values())))

Execute com python3 lab_category.py. Saída verificada:

payroll         C=moderate I=high     A=moderate -> high
public_website  C=low      I=moderate A=moderate -> moderate
water_scada     C=low      I=high     A=high     -> high
permits_portal  C=moderate I=moderate A=low      -> moderate
case_records    C=high     I=moderate A=moderate -> high
overall: {'high': 3, 'moderate': 2}

2.3 Reproduzindo uma categorização

Para entender concretamente a seleção baseada em risco, Yusuf reproduz a abordagem de categorização da FIPS 199, que classifica o impacto potencial da perda de confidencialidade, integridade e disponibilidade como low, moderate ou high e toma a classificação mais alta como a categoria do sistema. No laboratório, cinco sistemas sintéticos da Fernvale resultam em três sistemas high, a folha de pagamento, o controle da água e os registros de casos, e dois sistemas moderate, o site público e o portal de licenças. O controle da água é high apesar do impacto low sobre a confidencialidade, porque falhas de integridade e de disponibilidade poderiam prejudicar a população.

2.4 A lacuna

Yusuf procura estudos que meçam se a seleção de controles ordenada pelo risco muda os resultados de segurança nas organizações. Ele encontra muitas descrições de frameworks, levantamentos de adoção e relatos de caso, mas poucos desenhos que comparem adotantes com não adotantes ao longo do tempo usando medidas operacionais como a latência de correção. Ele formula isso como sua lacuna. A Prof.ª Hald pede que ele declare a lacuna de forma estreita, como evidência sobre duas medidas de desfecho num único órgão público, em vez de afirmar que testa toda a gestão de segurança baseada em risco. Yusuf reescreve a lacuna de acordo.

Exemplo resolvido

Yusuf revisa Saltzer e Schroeder, a SP 800-12r1, Anderson e a família ISO/IEC 27000, a SP 800-53r5 e o CSF 2.0, reproduz a categorização da FIPS 199, que resulta em três sistemas high e dois moderate, e declara uma lacuna estreita.

Caso sintético. Os sistemas são sintéticos; as saídas vêm de lab_category.py; todas as obras citadas são reais.

Erros e limites

Afirmar que uma tese testa um framework inteiro exagera o que um único estudo pode mostrar.

Exercícios

Continue estudando — aula 02 (capítulo 02 de 08)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.