Capítulo 27 — Segurança da informação: projeto de controles

Capítulo 27 — Segurança da informação: projeto de controles

Mapa da aula

Aula 27 publicada. Mapa, exemplo, EX079.

flowchart TD
  N0["27.1 Projetando um controle"]
  N1["27.2 Evidências de operação"]
  N2["27.3 Custo e atrito"]
  N3["27.4 Eficácia"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX079"]

Desenho lógico

flowchart LR
  N0["27.1 Projetando um controle"]
  N1["27.2 Evidências de operação"]
  N2["27.3 Custo e atrito"]
  N3["27.4 Eficácia"]
  N0 --> N1 --> N2 --> N3 --> Q["EX079"]

[27.1 Projetando um controle]
    |
    v
[27.2 Evidências de operação]
    |
    v
[27.3 Custo e atrito]
    |
    v
[27.4 Eficácia]
    |
    v
[Exemplo resolvido] --> [Exercício EX079]

Objetivos de aprendizagem

Você vai (1) projetar controles preventivos, de detecção e corretivos; (2) especificar a operação do controle e suas evidências; (3) avaliar o custo e a eficácia dos controles.

27.1 Projetando um controle

Lindiwe projeta um controle para as mudanças de endereço no despacho, em resposta à ameaça de fraude identificada antes. Parte preventiva: as mudanças de endereço de entrega dos pedidos de alto valor exigem a aprovação de uma segunda pessoa. Parte de detecção: um alerta dispara quando um endereço muda menos de uma hora antes do despacho. Parte corretiva: as mudanças suspeitas são revertidas e o cliente é contatado. O Prof. Hale pede que ela especifique quem opera cada parte e que evidência mostra que ela foi executada. Ela escreve o projeto como uma descrição de controle de uma página, com dono, frequência e evidência.

27.2 Evidências de operação

Um controle que não consegue mostrar que foi executado não pode ser auditado. Lindiwe especifica as evidências: registros de aprovação com os dois nomes e os horários, logs de alertas com anotações do tratamento e uma revisão mensal por amostragem feita pelo líder de segurança. Ela observa que a ISO/IEC 27001 espera que as organizações monitorem e meçam seus controles, então as evidências não são opcionais. Ela aprende a projetar a coleta de evidências dentro do controle desde o início, em vez de reconstruí-la antes de uma auditoria. O líder de segurança concorda em fazer a revisão mensal por amostragem e registrar quaisquer exceções encontradas.

27.3 Custo e atrito

A aprovação por uma segunda pessoa atrasa os pedidos urgentes. Lindiwe aplica o controle apenas aos pedidos acima de um limite de valor, fixado onde a perda por fraude superaria o custo do atraso. Ela estima que cerca de cinco por cento dos pedidos o ultrapassam. O Prof. Hale observa que os controles aplicados a tudo muitas vezes são contornados, enquanto os controles direcionados continuam sustentáveis. Ela registra o limite e seu raciocínio para que ele possa ser ajustado à medida que os padrões de fraude mudarem. O gerente de operações concorda com o limite depois de ver a estimativa e pede uma revisão após três meses de operação.

27.4 Eficácia

Lindiwe propõe medir a eficácia: quantas mudanças suspeitas o alerta pega, quantas aprovações são rejeitadas e se as perdas por fraude caem. Ela observa que os eventos raros tornam a eficácia difícil de medir rapidamente, então ela também vai testar o controle encenando mudanças suspeitas sintéticas e conferindo se os alertas disparam. Ela aprende que testar com casos plantados dá evidências mesmo quando os ataques reais são raros demais para contar. Ela planeja encenar uma mudança suspeita sintética por mês e registrar se o alerta disparou e com que rapidez foi tratado.

Exemplo resolvido

Lindiwe projeta um controle em camadas para as mudanças de endereço, especifica suas evidências, o direciona aos pedidos de alto valor e planeja testá-lo com casos plantados.

Caso sintético. Os controles são sintéticos.

Erros e limites

Um controle que não deixa evidências não pode ser mostrado em funcionamento.

Exercícios

• EX079 — Parte preventiva. Qual é a parte preventiva do controle de endereços? Rubrica: 3 = aprovação por uma segunda pessoa;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX080 — Parcela direcionada. Aproximadamente que parcela dos pedidos ultrapassa o limite? Rubrica: 3 = cerca de cinco por cento;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX081 — Testes plantados. Como o controle é testado apesar da raridade das fraudes? Rubrica: 3 = encenando mudanças suspeitas sintéticas;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 27 (capítulo 27 de 50)

← Capítulo 26 · Índice das aulas · Capítulo 28 →

Continue para a próxima aula já escrita.