Capítulo 25 — Ateliê de projeto I

Capítulo 25 — Ateliê de projeto I

Mapa da aula

Aula 25 publicada. Mapa, exemplo, EX073.

flowchart TD
  N0["25.1 O briefing"]
  N1["25.2 Opções"]
  N2["25.3 Crítica"]
  N3["25.4 Projeto final"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX073"]

Desenho lógico

flowchart LR
  N0["25.1 O briefing"]
  N1["25.2 Opções"]
  N2["25.3 Crítica"]
  N3["25.4 Projeto final"]
  N0 --> N1 --> N2 --> N3 --> Q["EX073"]

[25.1 O briefing]
    |
    v
[25.2 Opções]
    |
    v
[25.3 Crítica]
    |
    v
[25.4 Projeto final]
    |
    v
[Exemplo resolvido] --> [Exercício EX073]

Objetivos de aprendizagem

Você vai (1) projetar uma melhoria de segurança sob restrições; (2) apresentar opções às partes interessadas; (3) iterar um projeto a partir da crítica.

25.1 O briefing

O briefing do ateliê de projeto pede que a equipe de Lindiwe proteja o acesso remoto dos supervisores dos depósitos da Saltmarsh, que hoje se conectam de casa usando apenas senhas. As restrições incluem um orçamento pequeno, supervisores com pouca experiência técnica e a exigência de segundo fator do cliente do varejo. A equipe precisa entregar um projeto, uma estimativa de custo e um plano de implantação em seis semanas. O Prof. Hale faz o papel do cliente e questiona cada pressuposto da equipe. A equipe tem quatro membros, cada um liderando uma parte do trabalho: projeto, custo, implantação e documentação.

25.2 Opções

A equipe desenvolve três opções: uma rede privada virtual com códigos por aplicativo, um portal web com chaves de hardware e um serviço gerenciado de área de trabalho remota com autenticação multifator embutida. Eles comparam custo, segurança, facilidade de uso e carga de suporte. O portal com chaves de hardware resiste melhor ao phishing, mas exige enviar as chaves aos supervisores pelo correio. A rede privada virtual é familiar, mas dá acesso amplo à rede depois de conectada, o que conflita com o privilégio mínimo. A equipe registra as notas de cada opção numa tabela compartilhada, para que o cliente veja como cada julgamento foi alcançado.

25.3 Crítica

Na revisão de meio de percurso, o Prof. Hale pergunta o que acontece quando um supervisor perde uma chave numa sexta-feira à noite. A equipe não tem resposta. Eles acrescentam um processo de recuperação que usa uma segunda chave registrada guardada em casa e uma ligação verificada para a central de atendimento. Os colegas também apontam que a opção de área de trabalho remota depende de um único fornecedor. A equipe registra esses pontos e revisa as notas de cada opção. Eles também entrevistam dois supervisores sobre a configuração que têm em casa e descobrem que um deles compartilha o computador com familiares.

25.4 Projeto final

A equipe recomenda o portal web com duas chaves de hardware por supervisor, acesso apenas às aplicações de que os supervisores precisam e um processo de recuperação documentado. Eles estimam o custo por supervisor e uma implantação de quatro semanas, depósito por depósito. O Prof. Hale elogia o processo de recuperação como a parte que a maioria dos projetos esquece. Lindiwe reflete que a crítica melhorou o projeto mais do que qualquer escolha técnica isolada, porque expôs situações que ninguém tinha imaginado. O cliente aceita o projeto, e o líder de segurança da Saltmarsh pede para usar o processo de recuperação como modelo para outros serviços.

Exemplo resolvido

A equipe de Lindiwe compara três opções de acesso remoto, acrescenta um processo de recuperação depois da crítica e recomenda um portal com duas chaves de hardware por supervisor.

Caso sintético. O briefing do ateliê é sintético.

Erros e limites

Um projeto de autenticação forte sem um processo de recuperação falha na primeira chave perdida.

Exercícios

• EX073 — Restrições do ateliê. Cite uma restrição do briefing. Rubrica: 3 = orçamento pequeno;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX074 — Desvantagem da VPN. Que desvantagem a opção de VPN tem? Rubrica: 3 = acesso amplo à rede depois de conectada;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX075 — Processo de recuperação. Que processo de recuperação é acrescentado? Rubrica: 3 = segunda chave em casa e ligação verificada;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 25 (capítulo 25 de 50)

← Capítulo 24 · Índice das aulas · Capítulo 26 →

Continue para a próxima aula já escrita.