Capítulo 43 — Prática na indústria ou no serviço público
Mapa da aula
Aula 43 publicada. Mapa, exemplo, EX085.
flowchart TD
N0["43.1 O estágio"]
N1["43.2 Prática profissional"]
N2["43.3 Teoria versus prática"]
N3["43.4 Confidencialidade"]
N4["Nota de engenharia"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX085"]
Desenho lógico
flowchart LR
N0["43.1 O estágio"]
N1["43.2 Prática profissional"]
N2["43.3 Teoria versus prática"]
N3["43.4 Confidencialidade"]
N4["Nota de engenharia"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX085"]
[43.1 O estágio]
|
v
[43.2 Prática profissional]
|
v
[43.3 Teoria versus prática]
|
v
[43.4 Confidencialidade]
|
v
[Nota de engenharia]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX085]
Objetivos de aprendizagem
Você vai (1) trabalhar, sob supervisão, numa equipe de migração com formato real; (2) aplicar práticas profissionais — controle de mudanças, documentação, comunicação com as partes interessadas; (3) refletir sobre as lacunas entre teoria e prática; e (4) produzir um relatório de estágio sem divulgar informações confidenciais. O capítulo inicia a etapa de prática e de projeto final.
43.1 O estágio
Um estágio numa equipe de segurança, num fornecedor, num órgão público ou numa organização de normalização expõe as realidades da migração: ciclos de compras, sistemas legados, política entre parceiros, congelamentos de mudanças. Neste livro, o estágio é simulado na BPA; num programa real, aplicam-se as regras de confidencialidade da instituição anfitriã.
O estágio ensina o que a sala de aula não consegue: um congelamento de mudanças pode atrasar em um mês uma migração pronta, e a resposta de um fornecedor pode levar oito semanas. Os estudantes aprendem a planejar em torno desses atrasos, em vez de tratá-los como exceções.
43.2 Prática profissional
Siga o controle de mudanças: toda mudança criptográfica tem um chamado, uma avaliação de risco, evidências de teste, aprovação e um plano de reversão. Documente as decisões com a justificativa. Comunique o progresso na linguagem da instituição anfitriã — risco e impacto no serviço, e não nomes de algoritmos.
Na prática, um chamado para ativar o grupo híbrido na API dos parceiros nomeia o serviço, a mudança, as evidências de teste do laboratório, o plano de canário e o comando de reversão. Relatar o progresso como "a replicação aduaneira agora está protegida contra a gravação" significa mais para os gestores do que "X25519MLKEM768 ativado". O estagiário escreve as duas versões para cada mudança.
43.3 Teoria versus prática
Surpresas comuns: o inventário é mais difícil do que a escolha dos algoritmos; as alegações de "pronto para PQC" dos fornecedores vão de roteiros a funcionalidades já entregues; os parceiros ditam o ritmo; os problemas mais difíceis são organizacionais. Registre-as como notas reflexivas.
As notas de estágio da BPA mostram esse padrão: as decisões sobre algoritmos levaram dias, enquanto encontrar todos os usos do RSA levou meses. As alegações dos fornecedores precisaram ser conferidas com as versões efetivamente entregues. As notas reflexivas registram cada surpresa e o que o estudante planejaria de outra forma da próxima vez, que é o principal resultado de aprendizagem do estágio. Os estudantes comparam as suas notas com o plano que escreveram no início para ver onde as suas expectativas estavam erradas.
43.4 Confidencialidade
O relatório de estágio descreve métodos e lições sem identificar sistemas, vulnerabilidades ou parceiros. Use exemplos sintéticos onde for necessário e obtenha a aprovação da instituição anfitriã antes da entrega.
Um relatório de estágio pode descrever o método do painel e a lição sobre os grupos "primeiro oferecido" sem nomear a biblioteca nem os sistemas da instituição anfitriã. Onde é preciso um exemplo concreto, o estudante usa o caso sintético da BPA. A aprovação da instituição anfitriã é uma etapa do processo de entrega, com data própria, para que o relatório não seja atrasado no último momento por um pedido inesperado de mudanças.
43.5 Exemplo resolvido
Um estagiário na BPA (sintético) constrói o painel de telemetria passiva. Lições registradas: uma biblioteca TLS registrava apenas o grupo "primeiro oferecido", e não o negociado — o painel esteve errado até ser corrigido; as declarações dos fornecedores dos equipamentos levaram oito semanas para serem obtidas; o comitê de mudanças exigiu um ensaio de reversão antes de aprovar o TLS híbrido na API dos parceiros.
O erro de registro é uma constatação típica de estágio: o painel parecia plausível até o estudante compará-lo com as capturas da rede, o método depois formalizado na verificação do ponto de observação do atacante. A exigência do ensaio de reversão mostra que os comitês de mudanças se preocupam tanto com a recuperação quanto com a própria mudança.
43.6 Erros comuns e limites
- Contornar o controle de mudanças "porque é só configuração".
- Relatórios que divulgam vulnerabilidades da instituição anfitriã.
- Tratar os roteiros dos fornecedores como capacidade entregue.
As mudanças de configuração podem quebrar a produção tanto quanto as mudanças de código, como mostrou o reset do proxy, então elas seguem o controle de mudanças. Relatórios que divulgam vulnerabilidades da instituição anfitriã podem prejudicá-la e violar o acordo de estágio. Os roteiros dos fornecedores descrevem intenções; só as funcionalidades entregues e testadas contam num plano de migração, e o estagiário registra no CBOM qual é qual, com a data da verificação.
Nota de engenharia
Os estágios também ensinam como as decisões são realmente tomadas. Observe quem aprova as mudanças criptográficas, que evidências pedem, quais riscos aceitam e quais escalam. Registre essas observações sem nomes. Os estudantes que entendem o caminho das decisões escrevem projetos melhores no Projeto Final I, porque antecipam as perguntas do comitê de mudanças, do setor de compras e dos gestores de parceiros, em vez de descobri-las no fim.
Exercícios
- EX085 — Chamado de mudança. Escreva um chamado de mudança para ativar o TLS híbrido num serviço interno. Rubrica: 3 = risco, testes, aprovação, reversão.
- EX086 — Reflexão. Escreva uma reflexão de 300 palavras sobre uma lacuna entre teoria e prática. Rubrica: 3 = específica, analítica, confidencial.
Síntese
A prática ensina que a migração é tanto organizacional quanto técnica; o controle de mudanças, a documentação e a confidencialidade são obrigações profissionais.
Continue estudando — capítulo 43 de 50
← Capítulo 42 · Índice de capítulos do curso · Capítulo 44 →
Siga para a próxima lição escrita.