Capítulo 37 — Segurança da informação: operações

Capítulo 37 — Segurança da informação: operações

Mapa da aula

Aula 37 publicada. Mapa, exemplo, EX109.

flowchart TD
  N0["37.1 Rotinas diárias"]
  N1["37.2 Tratamento de incidentes"]
  N2["37.3 Revisão pós-incidente"]
  N3["37.4 Métricas"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX109"]

Desenho lógico

flowchart LR
  N0["37.1 Rotinas diárias"]
  N1["37.2 Tratamento de incidentes"]
  N2["37.3 Revisão pós-incidente"]
  N3["37.4 Métricas"]
  N0 --> N1 --> N2 --> N3 --> Q["EX109"]

[37.1 Rotinas diárias]
    |
    v
[37.2 Tratamento de incidentes]
    |
    v
[37.3 Revisão pós-incidente]
    |
    v
[37.4 Métricas]
    |
    v
[Exemplo resolvido] --> [Exercício EX109]

Objetivos de aprendizagem

Você vai (1) conduzir as rotinas de operações de segurança; (2) tratar incidentes com um processo definido; (3) aprender com os incidentes sem atribuir culpa.

37.1 Rotinas diárias

As operações de segurança da Saltmarsh funcionam com base em rotinas: revisar os alertas da noite, conferir os backups que falharam, revisar as novas exceções e confirmar que as verificações agendadas foram executadas. Lindiwe escreve uma lista de verificação para o turno da manhã e cronometra cerca de quarenta minutos. O Prof. Hale observa que as rotinas pegam os desvios antes que se tornem incidentes, e que as listas de verificação escritas permitem que funcionários novos cubram ausências sem pular passos que os funcionários experientes executam de memória. Ela testa a lista com dois analistas durante a primeira semana deles, e ambos a completam sem precisar da ajuda de colegas experientes.

37.2 Tratamento de incidentes

Lindiwe ajuda a escrever o processo de incidentes da Saltmarsh usando como guia as funções Detectar, Responder e Recuperar do NIST Cybersecurity Framework 2.0, com passos práticos para analisar, conter, erradicar, recuperar e comunicar. Cada passo tem um dono e um modelo. Quando ocorre um incidente sintético, uma conta vítima de phishing que envia faturas a clientes, a equipe segue o processo: bloqueia a conta, remove as regras de encaminhamento, avisa os clientes e comunica o cliente varejista dentro das vinte e quatro horas exigidas. O incidente inteiro é encerrado em dois dias, e Lindiwe registra a linha do tempo no registro de incidentes.

37.3 Revisão pós-incidente

Depois do incidente, Lindiwe conduz uma revisão. A pergunta não é quem clicou, mas por que o ataque teve sucesso e como torná-lo mais difícil. A revisão descobre que a conta não tinha autenticação multifator porque estava numa lista de exceções cuja expiração tinha sido prorrogada duas vezes sem revisão. A correção é uma regra segundo a qual uma segunda prorrogação precisa da aprovação do líder de segurança. Ela aprende que as revisões sem culpa revelam fraquezas de processo que a busca de culpados esconderia. O líder de segurança aprova a nova regra na mesma semana.

37.4 Métricas

Lindiwe relata métricas operacionais mensalmente: alertas tratados, tempo mediano até a contenção, exceções abertas, conformidade com a linha de base e resultados dos testes de restauração. Ela evita metas que estimulem manipulação, como recompensar menos alertas, o que poderia ser alcançado desligando a detecção. O Prof. Hale explica que boas métricas de segurança descrevem o estado dos controles e a velocidade da resposta, e que os números enviados aos gerentes devem sempre vir acompanhados de contexto. Ela inclui um breve comentário em cada relatório mensal explicando qualquer mudança significativa, para que os leitores não interpretem um aumento de alertas como uma piora da segurança.

Exemplo resolvido

Lindiwe escreve uma lista de verificação matinal de quarenta minutos, conduz um incidente de conta vítima de phishing por um processo definido, faz uma revisão sem culpa que encontra uma exceção prorrogada repetidas vezes e relata métricas equilibradas.

Caso sintético. O incidente é sintético.

Erros e limites

Recompensar menos alertas pode estimular o desligamento da detecção.

Exercícios

• EX109 — Duração da lista. Quanto tempo leva a lista de verificação matinal? Rubrica: 3 = cerca de quarenta minutos;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX110 — Ações no incidente. Cite uma ação de contenção tomada. Rubrica: 3 = bloquear a conta;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX111 — Causa raiz. Por que a conta não tinha autenticação multifator? Rubrica: 3 = uma exceção prorrogada duas vezes sem revisão;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 37 (capítulo 37 de 50)

← Capítulo 36 · Índice das aulas · Capítulo 38 →

Continue para a próxima aula já escrita.