Capítulo 18 — Arquitetura de segurança

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Camadas"]
  N1["18.2 Ambientes"]
  N2["18.3 Controles de governança na arquitetura"]
  N3["18.4 Revisão"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Camadas"]
  N1["18.2 Ambientes"]
  N2["18.3 Controles de governança na arquitetura"]
  N3["18.4 Revisão"]
  N0 --> N1 --> N2 --> N3 --> Q["EX052"]

[18.1 Camadas]
    |
    v
[18.2 Ambientes]
    |
    v
[18.3 Controles de governança na arquitetura]
    |
    v
[18.4 Revisão]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) projetar proteção em camadas para plataformas de dados; (2) separar ambientes; (3) posicionar os controles de governança na arquitetura.

18.1 Camadas

Kofi projeta uma arquitetura de segurança para a plataforma de dados da Tidewater em camadas: segmentação de rede separando o sistema de controle dos sistemas corporativos, gestão de identidades e acessos, criptografia em repouso e em trânsito, registros e monitoramento, e controles no nível dos dados, como o mascaramento dos identificadores de clientes. Ele explica que as camadas fazem com que a falha de um controle não exponha tudo. A arquitetura é revisada em conjunto pela equipe de segurança e pelo líder de governança de dados, já que cada camada afeta as duas áreas. Cada camada tem um responsável nomeado e um calendário de testes.

18.2 Ambientes

Os ambientes de desenvolvimento, teste e produção são separados. Kofi descobre que os desenvolvedores vinham copiando dados reais de clientes da produção para os ambientes de teste a fim de reproduzir defeitos. Ele propõe um gerador de dados sintéticos que produza clientes, imóveis e leituras realistas, com as mesmas propriedades estatísticas, além de uma regra rígida: dados pessoais de produção nunca entram em teste. A NIST SP 800-188 discute dados sintéticos e abordagens de desidentificação, e ele a usa para julgar quais propriedades o gerador deve preservar. O próprio gerador é testado para garantir que nenhum registro real possa ser reproduzido a partir de sua saída.

18.3 Controles de governança na arquitetura

Kofi posiciona os controles de governança em pontos específicos: regras de qualidade na ingestão, etiquetas de classificação em cada conjunto de dados do catálogo, políticas de acesso aplicadas pelo data warehouse com base nessas etiquetas e rotinas de retenção que leem as etiquetas para decidir a eliminação. Ele argumenta que controles atrelados a metadados escalam melhor do que controles escritos em cada aplicação. Quando um novo conjunto de dados é etiquetado como contendo dados pessoais, as proteções se aplicam automaticamente, em vez de depender de alguém se lembrar. As mudanças de etiqueta são registradas e revisadas pelo dono.

18.4 Revisão

A revisão de arquitetura levanta preocupações sobre o desempenho do mascaramento em consultas grandes e sobre quem mantém as etiquetas de classificação. Kofi roda um teste mostrando que o mascaramento acrescenta um atraso aceitável e propõe que os donos dos dados aprovem as etiquetas ao registrar os conjuntos de dados. A Profa. Varga observa que a arquitetura é um conjunto de decisões com concessões, e que registrar as alternativas rejeitadas, como criptografar cada coluna individualmente, ajuda os futuros engenheiros a entender o projeto escolhido. O registro de decisão lista essa alternativa, seu custo e o motivo pelo qual a banca de revisão não a escolheu.

Exemplo resolvido

Kofi projeta a segurança em camadas da plataforma de dados, substitui dados de produção por dados sintéticos nos testes, atrela acesso e retenção a etiquetas de classificação e registra as concessões discutidas na revisão.

Caso sintético. A arquitetura é sintética; a NIST SP 800-188 é real.

Erros e limites

As etiquetas só valem o que vale sua manutenção; audite-as.

Exercícios

• EX052 — Regra para dados de teste. Que regra Kofi propôs para os ambientes de teste?
  Mostrar critérios de avaliação

  Rubrica: 3 = dados pessoais de produção nunca entram em teste;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
• EX053 — Controles por etiqueta. Por que atrelar os controles a etiquetas de metadados?
  Mostrar critérios de avaliação

  Rubrica: 3 = as proteções se aplicam automaticamente e escalam;; 2 = menciona automático;; 1 = vago;; 0 = nenhuma.
• EX054 — Responsável pelas etiquetas. Quem aprova as etiquetas de classificação?
  Mostrar critérios de avaliação

  Rubrica: 3 = os donos dos dados, no registro;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.