Capítulo 34 — Fatores humanos e política cibernética: integração
Mapa da aula
Aula 34 publicada. Mapa, exemplo, EX100.
flowchart TD
N0["34.1 Resposta a incidentes"]
N1["34.2 Alinhamento com a governança"]
N2["34.3 Ligações com o registro de riscos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX100"]
Desenho lógico
flowchart LR
N0["34.1 Resposta a incidentes"]
N1["34.2 Alinhamento com a governança"]
N2["34.3 Ligações com o registro de riscos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX100"]
[34.1 Resposta a incidentes]
|
v
[34.2 Alinhamento com a governança]
|
v
[34.3 Ligações com o registro de riscos]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX100]
Objetivos de aprendizagem
Você vai (1) integrar o programa à resposta a incidentes; (2) alinhá-lo à governança e à gestão de riscos; (3) ligar as métricas ao registro de riscos.
34.1 Resposta a incidentes
Aiko integra os reportes à resposta a incidentes. Quando a triagem confirma um e-mail malicioso que chegou a muitas caixas de entrada, a ferramenta de triagem abre automaticamente um chamado de incidente, notifica o líder de resposta e remove o e-mail de todas as caixas. Os responsáveis pela resposta podem ver quem reportou primeiro e agradecer. Depois dos incidentes, os líderes de resposta acrescentam uma nota curta sobre fatores humanos, como se um controle ajudou ou atrapalhou. Essa ligação faz com que os reportes tenham um efeito visível na resposta e que as lições voltem para o projeto.
34.2 Alinhamento com a governança
Aiko mapeia o programa na governança da Greyford. A função Govern do NIST CSF 2.0 espera papéis, políticas e supervisão para a cibersegurança, e o programa agora tem um responsável nomeado, um estatuto, relatórios trimestrais ao comitê de riscos e uma revisão anual. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) exige conscientização e competência das pessoas cujo trabalho afeta a segurança, e o programa fornece registros de ambas. Ela evita tratar esses frameworks como o objetivo; eles dão estrutura, enquanto o objetivo continua sendo menos resultados danosos. O estatuto é revisado pelo comitê de riscos a cada ano.
34.3 Ligações com o registro de riscos
Aiko liga as medidas do programa a entradas do registro de riscos, seguindo a abordagem da NIST SP 800-30r1, segundo a qual as estimativas de probabilidade e impacto devem ser atualizadas com evidências. O risco de fraude de pagamento passa a ser informado pelo número de pedidos de mudança bloqueados e de falsificações verificadas; o risco de abuso de acesso à TO, pelas tentativas de sessões sem chamado. Quando as medidas mudam, os responsáveis pelos riscos revisam a entrada. Isso transforma o programa, de atividade separada, em fonte de evidências para as decisões de risco em toda a organização.
Exemplo resolvido
Aiko liga os reportes a chamados de incidente automáticos, mapeia o programa no CSF 2.0 e na ISO/IEC 27001 e alimenta o registro de riscos com as medidas.
Caso sintético. A integração é sintética; o NIST CSF 2.0, a ISO/IEC 27001:2022 e a SP 800-30r1 são reais.
Erros e limites
A criação automática de incidentes pode gerar ruído. O mapeamento em frameworks pode virar mero preenchimento de checklist.
Exercícios
- EX100 — Ação automática. O que acontece quando a triagem confirma um e-mail malicioso recebido por muitos? Rubrica: 3 = abre-se um chamado de incidente e o e-mail é removido;; 2 = chamado;; 1 = vago;; 0 = nenhuma.
- EX101 — Função do CSF. Que função do CSF 2.0 cobre papéis, políticas e supervisão? Rubrica: 3 = Govern;; 2 = Govern, hesitando com outra função;; 1 = Protect;; 0 = nenhuma.
- EX102 — Evidência de risco. Que medida informa o risco de fraude de pagamento? Rubrica: 3 = pedidos de mudança bloqueados e falsificações verificadas;; 2 = pedidos bloqueados;; 1 = vago;; 0 = nenhuma.
Síntese
A integração liga o reporte à resposta, o programa à governança e as medidas às decisões de risco.
Continue estudando — aula 34 (capítulo 34 de 50)
← Capítulo 33 · Índice das aulas · Capítulo 35 →
Continue para a próxima aula já escrita.