Capítulo 24 — Segurança da informação: métodos I

Capítulo 24 — Segurança da informação: métodos I

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Planejando uma avaliação"]
  N1["24.2 Coleta de evidências"]
  N2["24.3 Observações e conclusões"]
  N3["24.4 Relatório"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Planejando uma avaliação"]
  N1["24.2 Coleta de evidências"]
  N2["24.3 Observações e conclusões"]
  N3["24.4 Relatório"]
  N0 --> N1 --> N2 --> N3 --> Q["EX070"]

[24.1 Planejando uma avaliação]
    |
    v
[24.2 Coleta de evidências]
    |
    v
[24.3 Observações e conclusões]
    |
    v
[24.4 Relatório]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) planejar uma avaliação de segurança; (2) coletar evidências de forma sistemática; (3) separar as observações das conclusões.

24.1 Planejando uma avaliação

Lindiwe planeja sua primeira avaliação formal de um depósito. Ela escreve o escopo, os objetivos, os métodos, o cronograma e a autorização, e o gerente do depósito e o líder de segurança a assinam. Os métodos incluem entrevistas, revisão de configurações, uma varredura de rede dentro do segmento do depósito e uma inspeção dos controles físicos. O Prof. Hale ressalta que a autorização escrita protege tanto o avaliador quanto a organização, especialmente nas varreduras que poderiam perturbar equipamentos se executadas sem cuidado. O plano também declara em que horários as varreduras podem rodar, evitando o período movimentado do despacho da manhã, quando os sistemas do depósito carregam sua carga mais pesada.

24.2 Coleta de evidências

Durante a avaliação, Lindiwe registra as evidências com horário, fonte e método: capturas de tela das configurações, saídas das varreduras e anotações de entrevistas assinadas pelos entrevistados. Ela guarda as evidências numa pasta restrita, com somas de verificação, para que os leitores futuros possam confirmar que nada mudou. Ela aprende que as conclusões são tão fortes quanto as evidências por baixo delas, e que registrar como as evidências foram obtidas permite que outros julguem sua confiabilidade e repitam as verificações. Ela lista cada item de evidência num índice com sua soma de verificação, para que um revisor possa escolher qualquer item e confirmar que corresponde ao registro original.

24.3 Observações e conclusões

Lindiwe separa o que observou do que conclui. Ela observou que o drive de backup do depósito fica num escritório destrancado; conclui que os backups poderiam ser roubados ou danificados. Ela observou que dois funcionários compartilham um login no terminal de recebimento de mercadorias; conclui que as ações ali não podem ser atribuídas. O Prof. Hale explica que essa separação permite que os leitores aceitem os fatos mesmo que pesem as conclusões de forma diferente. Ela aplica esse formato a cada achado do relatório. O gerente do depósito diz depois que a separação tornou os achados mais fáceis de aceitar e de pôr em prática.

24.4 Relatório

O relatório dela lista oito achados, cada um com evidência, conclusão, classificação de risco e recomendação. Ela compartilha um rascunho com o gerente do depósito, que corrige um erro factual: uma porta que ela pensava estar destrancada tem uma fechadura com código que ela não tinha visto. Ela revisa o achado. Ela aprende que conferir os fatos com os responsáveis melhora a exatidão e a aceitação, e que defender um erro para proteger o próprio relatório prejudica a credibilidade. O relatório final vai para o líder de segurança e para o gerente do depósito. Em um mês, seis dos oito achados estão encerrados, e os dois restantes têm datas combinadas.

Exemplo resolvido

Lindiwe planeja e autoriza uma avaliação de depósito, registra as evidências com somas de verificação, separa as observações das conclusões e corrige um erro factual depois da revisão.

Caso sintético. A avaliação é sintética.

Erros e limites

Misturar observações com conclusões torna os relatórios mais difíceis de verificar.

Exercícios

• EX070 — Plano assinado. Quem assina o plano de avaliação? Rubrica: 3 = o gerente do depósito e o líder de segurança;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX071 — Integridade das evidências. Como ela protege a integridade das evidências? Rubrica: 3 = somas de verificação numa pasta restrita;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX072 — Erro corrigido. Que erro factual é corrigido? Rubrica: 3 = uma porta com fechadura com código que ela não tinha visto;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 24 (capítulo 24 de 50)

← Capítulo 23 · Índice das aulas · Capítulo 25 →

Continue para a próxima aula já escrita.