Capítulo 31 — Segurança da informação: implementação II

Mapa da aula

Aula 31 publicada. Mapa, exemplo, EX091.

flowchart TD
  N0["31.1 Plano de implantação"]
  N1["31.2 Terminais do armazém"]
  N2["31.3 Exceções"]
  N3["31.4 Acompanhando a adoção"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX091"]

Desenho lógico

flowchart LR
  N0["31.1 Plano de implantação"]
  N1["31.2 Terminais do armazém"]
  N2["31.3 Exceções"]
  N3["31.4 Acompanhando a adoção"]
  N0 --> N1 --> N2 --> N3 --> Q["EX091"]

[31.1 Plano de implantação]
    |
    v
[31.2 Terminais do armazém]
    |
    v
[31.3 Exceções]
    |
    v
[31.4 Acompanhando a adoção]
    |
    v
[Exemplo resolvido] --> [Exercício EX091]

Objetivos de aprendizagem

Você vai (1) implantar a autenticação multifator em escala; (2) gerenciar exceções; (3) acompanhar a adoção em relação a um plano.

31.1 Plano de implantação

No quarto ano, Lindiwe ajuda a implementar o plano de autenticação multifator aprovado antes. Os administradores vêm primeiro, com chaves físicas; depois a equipe de escritório, com códigos de aplicativo; depois a equipe do armazém, que compartilha terminais e precisa de outra abordagem. Ela escreve um cronograma por depósito, com sessões de treinamento, preparação da central de atendimento e uma data a partir da qual as senhas sozinhas deixam de funcionar. O Prof. Hale pede que ela planeje a comunicação com o mesmo cuidado que a configuração, porque usuários surpreendidos geram chamados de suporte e soluções de contorno. O líder de segurança aprova o cronograma e as datas de treinamento.

31.2 Terminais do armazém

A equipe do armazém usa terminais compartilhados com luvas nas mãos, então as notificações no celular são pouco práticas. A equipe de Lindiwe testa logins de curta duração por aproximação do crachá, combinados com um código pessoal, de modo que cada pessoa seja identificada individualmente e as contas compartilhadas desapareçam. O depósito de teste relata logins mais rápidos do que com a antiga senha compartilhada. Ela aprende que as melhorias de segurança que também eliminam atrito se espalham depressa, enquanto as que acrescentam atrito precisam de uma justificativa forte e de apoio para serem aceitas por uma equipe ocupada. Os leitores de crachá são instalados em todos os terminais do armazém ao longo dos dois meses seguintes.

31.3 Exceções

Algumas contas não conseguem usar a autenticação multifator de imediato: uma integração antiga de scanner e duas contas de serviço usadas por fornecedores. Lindiwe registra cada exceção com um dono, um motivo, controles compensatórios, como restrições de rede, e uma data de expiração. O Prof. Hale explica que as exceções sem data de expiração se tornam fraquezas permanentes. Ela programa lembretes três semanas antes de cada expiração, para que os donos tenham de resolver o problema ou justificar uma prorrogação ao líder de segurança. A exceção da integração do scanner é encerrada após três meses, quando o fornecedor entrega uma atualização com suporte a certificados.

31.4 Acompanhando a adoção

Lindiwe acompanha a adoção semanalmente: a parcela de contas cadastradas, a parcela de logins que usam um segundo fator e o número de exceções abertas. A adoção entre os administradores chega a todas as contas na primeira quinzena, a equipe de escritório acompanha ao longo de dois meses e os depósitos do armazém avançam um de cada vez. Ela relata o progresso em relação ao plano ao líder de segurança. Ela observa que contar apenas os cadastros poderia enganar, já que os usuários cadastrados ainda poderiam entrar com os métodos antigos até que estes sejam desativados. A desativação dos métodos antigos vem em seguida.

Exemplo resolvido

Lindiwe implanta a autenticação multifator em fases, por grupo, usa a aproximação do crachá nos terminais do armazém, registra as exceções com datas de expiração e acompanha tanto os cadastros quanto o uso real do segundo fator.

Caso sintético. A implantação é sintética.

Erros e limites

As exceções sem data de expiração se tornam fraquezas permanentes.

Exercícios

• EX091 — Ordem de implantação. Que grupo vem primeiro?

  Mostrar critérios de avaliação

  Rubrica: 3 = os administradores, com chaves físicas;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX092 — Método do armazém. Como a equipe do armazém faz login?

  Mostrar critérios de avaliação

  Rubrica: 3 = aproximação do crachá com um código pessoal;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX093 — Medidas de adoção. Que três medidas de adoção são acompanhadas?

  Mostrar critérios de avaliação

  Rubrica: 3 = parcela cadastrada, logins com segundo fator, exceções abertas;; 2 = todas;; 1 = algumas;; 0 = nenhuma.