Capítulo 38 — Segurança da informação: validação

Capítulo 38 — Segurança da informação: validação

Mapa da aula

Aula 38 publicada. Mapa, exemplo, EX112.

flowchart TD
  N0["38.1 Verificação e validação"]
  N1["38.2 Retorno dos donos"]
  N2["38.3 Evidências da revisão de incidentes"]
  N3["38.4 Relatório de validação"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX112"]

Desenho lógico

flowchart LR
  N0["38.1 Verificação e validação"]
  N1["38.2 Retorno dos donos"]
  N2["38.3 Evidências da revisão de incidentes"]
  N3["38.4 Relatório de validação"]
  N0 --> N1 --> N2 --> N3 --> Q["EX112"]

[38.1 Verificação e validação]
    |
    v
[38.2 Retorno dos donos]
    |
    v
[38.3 Evidências da revisão de incidentes]
    |
    v
[38.4 Relatório de validação]
    |
    v
[Exemplo resolvido] --> [Exercício EX112]

Objetivos de aprendizagem

Você vai (1) validar que os controles atendem às necessidades do negócio; (2) reunir o retorno dos usuários e dos donos; (3) distinguir a verificação da validação.

38.1 Verificação e validação

Lindiwe distingue duas perguntas. A verificação pergunta se um controle foi construído conforme especificado; seus testes de laboratório responderam a isso. A validação pergunta se o controle atende à necessidade real. A medida de adivinhação de senhas funciona conforme especificado, mas ela ajuda a Saltmarsh a reduzir a tomada de contas? Ela projeta atividades de validação: entrevistas com a equipe de segurança sobre a utilidade dos alertas, revisão dos incidentes para ver se as medidas os detectaram e comparação com os objetivos do negócio. O Prof. Hale pede que ela aplique essas atividades a todos os controles construídos durante o curso e relate os resultados em conjunto.

38.2 Retorno dos donos

Lindiwe entrevista os donos dos sistemas sobre os controles que os afetam. O dono do despacho acha útil a aprovação das mudanças de endereço, mas diz que o limite pega sem necessidade alguns grandes clientes regulares. O dono da folha de pagamento quer relatórios de linha de base mais claros. Ela registra cada ponto e propõe ajustes. O Prof. Hale observa que a visão dos donos revela se os controles se encaixam no trabalho, o que os testes sozinhos não conseguem mostrar, e que os controles de que os donos não gostam muitas vezes são enfraquecidos discretamente. Ela eleva um pouco o limite para os clientes com histórico verificado e registra a mudança com seu raciocínio.

38.3 Evidências da revisão de incidentes

Lindiwe revisa seis incidentes sintéticos do ano. Quatro foram detectados por controles construídos durante o curso, um por uma reclamação de cliente e um por uma notificação externa. As duas detecções perdidas apontam lacunas: nenhum monitoramento das regras de encaminhamento de e-mail e nenhum alerta para downloads em massa do portal de clientes. Ela acrescenta as duas ao plano de melhorias. Ela aprende que os incidentes fornecem as evidências de validação mais diretas. As duas lacunas recebem donos nomeados e datas-alvo no plano de melhorias.

38.4 Relatório de validação

Seu relatório informa, para cada controle, se ele está verificado, validado, parcialmente validado ou ainda não validado, com as evidências. A medida de adivinhação de senhas está validada por dois incidentes detectados; o controle de mudança de endereço está verificado, mas ainda não validado, porque nenhuma tentativa de fraude ocorreu. O Prof. Hale elogia a distinção honesta. Ela observa que alegar validação sem evidências enganaria o conselho sobre o quanto os controles protegem o negócio. O relatório é apresentado ao comitê de segurança da Saltmarsh, que pede uma nova avaliação depois de seis meses.

Exemplo resolvido

Lindiwe distingue a verificação da validação, reúne o retorno dos donos, encontra duas lacunas de detecção a partir de seis incidentes e relata o estado de validação de cada controle com evidências.

Caso sintético. Os incidentes são sintéticos.

Erros e limites

Um controle pode ser construído corretamente e ainda assim não atender à necessidade real.

Exercícios

• EX112 — Incidentes detectados. Quantos dos seis incidentes os controles do curso detectaram? Rubrica: 3 = quatro;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX113 — Lacunas perdidas. Cite uma lacuna de detecção encontrada. Rubrica: 3 = as regras de encaminhamento de e-mail;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX114 — Estado do controle de endereço. Qual é o estado do controle de mudança de endereço? Rubrica: 3 = verificado, mas ainda não validado;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 38 (capítulo 38 de 50)

← Capítulo 37 · Índice das aulas · Capítulo 39 →

Continue para a próxima aula já escrita.