Capítulo 43 — Prática na indústria ou no serviço público

Mapa da aula

Aula 43 publicada. Mapa, exemplo, EX127.

flowchart TD
  N0["43.1 Estágio"]
  N1["43.2 Relatório sanitizado"]
  N2["43.3 Tradução"]
  N3["Nota prática"]
  N4["43.1b Credenciamento e conflitos"]
  N5["Nota de campo — apêndice de restrições"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX127"]

Desenho lógico

flowchart LR
  N0["43.1 Estágio"]
  N1["43.2 Relatório sanitizado"]
  N2["43.3 Tradução"]
  N3["Nota prática"]
  N4["43.1b Credenciamento e conflitos"]
  N5["Nota de campo — apêndice de restrições"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX127"]

[43.1 Estágio]
    |
    v
[43.2 Relatório sanitizado]
    |
    v
[43.3 Tradução]
    |
    v
[Nota prática]
    |
    v
[43.1b Credenciamento e conflitos]
    |
    v
[Nota de campo — apêndice de restrições]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX127]

Objetivos de aprendizagem

Você vai (1) adaptar a engenharia do CNHP às restrições de uma organização anfitriã; (2) escrever um relatório de prática sem detalhes proprietários; (3) traduzir entre a segurança de processo, a operação e a engenharia.

43.1 Estágio

Na indústria ou no serviço público, os modelos de permissão de trabalho, a residência dos dados e as compras são diferentes.

No estágio numa fabricante terceirizada, Lena encontrou formulários de permissão diferentes, um processo de compras diferente e regras mais rígidas sobre onde os dados podiam ser guardados do que na ABP. Ela adaptou os seus métodos ao processo da anfitriã, em vez de importar os formulários da ABP. O que não mudou foi o núcleo da sua prática: ferramentas que param com segurança na dúvida, medições com os seus denominadores e testes executados apenas dentro do escopo que a anfitriã aprovou por escrito.

43.2 Relatório sanitizado

Os entregáveis do curso usam nomes sintéticos e agregados. Os identificadores reais da planta ficam nos sistemas da anfitriã.

O relatório de estágio de Lena descreveu o risco do laptop do fornecedor sem nomear a anfitriã, as suas plantas ou os seus dispositivos. Endereços e nomes de hosts ficaram nos sistemas da anfitriã, e os números foram dados apenas como contagens ou faixas. A revisão de liberação da anfitriã conferiu o relatório antes que ele chegasse à universidade, e o seu orientador avaliou a versão sanitizada, então nada identificador saiu da organização. Lena manteve os originais nos sistemas da anfitriã.

43.3 Tradução

A segurança de processo ouve independência e SIL. A operação ouve janelas e alarmes. A engenharia ouve esquemas e testes. Os mesmos fatos, três dialetos.

Caso sintético — Ashford Batch Plant. O memorando de estágio de Lena usou apenas números sintéticos da ABP; os nomes reais das plantas parceiras foram omitidos.

No seu memorando de estágio, Lena escreveu a mesma constatação sobre o laptop de três maneiras: para a segurança de processo, como uma ameaça à independência dos controladores da linha; para a operação, como uma necessidade de agendar atualizações; e para a engenharia, como uma mudança de configuração. Cada leitor recebeu a versão de que precisava.

43.4 Erros e limites

"Não posso contar o que fiz" não é um relatório de prática, mesmo quando os detalhes da rede da planta anfitriã são confidenciais.

O relatório de estágio de Lena não podia incluir os detalhes reais da rede da anfitriã, então ela acordou com o seu mentor na anfitriã uma reconstrução sintética que manteve a estrutura da constatação, mas substituiu todo detalhe identificador. O seu apêndice de restrições declarou o que ela não teve permissão para examinar. Isso deu à universidade algo para avaliar sem expor a anfitriã, e é o padrão para qualquer estágio em que o próprio trabalho não possa ser descrito diretamente.

Nota prática

Se a sua anfitriã de estágio vende scanners de TO, declare isso e ainda assim recuse as pontuações vazias. Apresentações de marketing não são medição.

43.1b Credenciamento e conflitos

Os estágios no serviço público podem envolver credenciamentos de segurança. Os artefatos do curso ficam na menor sensibilidade: reconstruções sintéticas. Nunca cole texto restrito no GitHub. Os relatórios de prática incluem um apêndice de restrições avaliado com o mesmo peso que o trabalho técnico.

Se a anfitriã proibir até as métricas sanitizadas, use um cenário de gêmeo totalmente sintético, rotulado como tal.

O próprio apêndice de Lena seguiu essa regra. O acordo de Lena com o seu mentor na anfitriã foi escrito antes do início da redação e nomeava os números que ela podia usar e os que não podia.

Nota de campo — apêndice de restrições

Uma anfitriã do serviço público proibia SaaS estrangeiro e exigia logs prontos para pedidos de acesso à informação (FOIA). O apêndice de restrições do relatório de prática explicou por que a arquitetura C era impossível e por que a A foi escolhida. Os avaliadores deram ao apêndice o mesmo peso que ao código.

O apêndice de restrições lista cada restrição com o papel, na anfitriã, que a impôs.

43.5 Exemplo resolvido — traduzindo uma constatação de estágio (ABP sintética)

No estágio numa fabricante terceirizada, Lena observa que o laptop do fornecedor usado para as atualizações dos CLPs também navega na internet. O seu relatório sanitizado omite nomes de hosts e endereços, descreve o risco em termos de planta — "um único laptop carrega tanto a exposição à internet quanto a capacidade de baixar lógica para os controladores da linha (ATT&CK for ICS T0843)" — e recomenda um laptop de engenharia dedicado, atualizado offline. A revisão de liberação da organização anfitriã aprova o relatório antes que ele chegue à universidade, e o apêndice de restrições declara o que ela não teve permissão para examinar.

Exercícios

• EX127 — Dialeto. Traduza "falhar de forma fechada com a política ausente" para a segurança de processo. Rubrica: 3 = redação de segurança física/risco; 2 = parcial; 1 = despejo de jargão; 0 = nada.
• EX128 — Sanitizar. Reescreva uma frase que vaza um nome de host real. Rubrica: 3 = substituto sintético; 2 = parcial; 1 = ainda vaza; 0 = nada.
• EX129 — Restrição. Duas restrições do serviço público que mudam a arquitetura. Rubrica: 3 = por exemplo, residência, compras, FOIA; 2 = uma; 1 = vago; 0 = nada.

Síntese

A prática é feita de restrições reais mais artefatos de aprendizagem sanitizados.