Capítulo 33 — Segurança da informação: segurança e resiliência

Capítulo 33 — Segurança da informação: segurança e resiliência

Mapa da aula

Aula 33 publicada. Mapa, exemplo, EX097.

flowchart TD
  N0["33.1 Resiliência"]
  N1["33.2 Alternativas manuais"]
  N2["33.3 Exercícios"]
  N3["33.4 Segurança física e integridade"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX097"]

Desenho lógico

flowchart LR
  N0["33.1 Resiliência"]
  N1["33.2 Alternativas manuais"]
  N2["33.3 Exercícios"]
  N3["33.4 Segurança física e integridade"]
  N0 --> N1 --> N2 --> N3 --> Q["EX097"]

[33.1 Resiliência]
    |
    v
[33.2 Alternativas manuais]
    |
    v
[33.3 Exercícios]
    |
    v
[33.4 Segurança física e integridade]
    |
    v
[Exemplo resolvido] --> [Exercício EX097]

Objetivos de aprendizagem

Você vai (1) planejar a continuidade da operação durante incidentes; (2) projetar alternativas manuais; (3) exercitar planos de resiliência.

33.1 Resiliência

Resiliência significa continuar o trabalho essencial durante uma interrupção e se recuperar rapidamente. Lindiwe pergunta aos gerentes de operações da Saltmarsh o que precisa continuar se os sistemas falharem: as entregas de medicamentos refrigerados, a folha de pagamento e a comunicação com os clientes. Ela monta uma lista dos serviços essenciais com os sistemas de que cada um depende. O Prof. Hale explica que o planejamento da resiliência parte dos serviços que o negócio não pode interromper, e não dos sistemas, porque vários sistemas muitas vezes sustentam um serviço e um sistema pode sustentar vários. Lindiwe registra os serviços numa tabela, com os sistemas de que dependem e a maior interrupção tolerável de cada um, conforme acordado com os gerentes.

33.2 Alternativas manuais

Se o despacho falhar, os depósitos não conseguem imprimir as listas de entrega. Lindiwe trabalha com os supervisores dos depósitos para projetar uma alternativa manual: uma lista impressa toda noite com as entregas do dia seguinte, guardada num armário trancado, e formulários de confirmação em papel lançados depois no sistema. Para as cargas refrigeradas, os motoristas levam registradores de temperatura independentes, que não dependem da rede. Ela aprende que as melhores alternativas são simples, praticadas e independentes dos sistemas que substituem. Os supervisores testam a lista impressa e os formulários em papel durante um turno tranquilo de domingo, e os motoristas acham os formulários fáceis de preencher.

33.3 Exercícios

Os planos que nunca são exercitados muitas vezes falham. Lindiwe organiza um exercício de mesa: um ransomware cifrou o servidor do despacho numa segunda-feira de manhã. Os gerentes percorrem suas ações passo a passo. Eles descobrem que ninguém sabe onde as listas impressas ficam guardadas num dos depósitos e que a lista de contatos de incidentes contém duas pessoas que já saíram da empresa. O Prof. Hale observa que encontrar esse tipo de problema num exercício é exatamente o propósito, e que todo exercício deveria produzir uma breve lista de melhorias. A lista de melhorias tem sete itens.

33.4 Segurança física e integridade

Lindiwe retoma a preocupação com a segurança das pessoas do seu primeiro ano: os registros de temperatura dos medicamentos. Durante um incidente cibernético, os registros podem ser perdidos ou alterados. Ela recomenda que os registradores independentes dos motoristas sejam lidos no momento da entrega e que seus resultados sejam guardados separadamente, para que a evidência de temperaturas seguras sobreviva a um comprometimento do sistema. O gerente da frota aceita a recomendação. Ela aprende que a resiliência dos dados ligados à segurança das pessoas precisa de evidências independentes, e não apenas de backups do mesmo sistema. Lindiwe acrescenta esse requisito ao plano de resiliência, e a equipe da frota o inclui no treinamento dos motoristas.

Exemplo resolvido

Lindiwe identifica os serviços essenciais, projeta alternativas impressas e independentes, conduz um exercício de mesa de ransomware que expõe contatos desatualizados e protege as evidências de temperatura de forma independente.

Caso sintético. Os planos e os exercícios são sintéticos.

Erros e limites

Um plano de resiliência que nunca foi exercitado costuma conter detalhes desatualizados.

Exercícios

• EX097 — Serviços essenciais. Cite um serviço essencial identificado. Rubrica: 3 = as entregas de medicamentos refrigerados;; 2 = um;; 1 = vago;; 0 = nenhuma.

• EX098 — Descoberta do exercício. O que o exercício revelou? Rubrica: 3 = o local desconhecido das listas impressas e contatos desatualizados;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX099 — Evidência de temperatura. Como a evidência de temperatura é protegida? Rubrica: 3 = registradores independentes lidos na entrega;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 33 (capítulo 33 de 50)

← Capítulo 32 · Índice das aulas · Capítulo 34 →

Continue para a próxima aula já escrita.