Capítulo 47 — Ensaio de falha e recuperação
Mapa da aula
Aula 47 publicada. Mapa, exemplo, EX093.
flowchart TD
N0["47.1 Cenários do ensaio"]
N1["47.3 Conduzir o ensaio"]
N2["Nota de engenharia"]
N3["47.6 Acompanhar as constatações do ensaio"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX093"]
Desenho lógico
flowchart LR
N0["47.1 Cenários do ensaio"]
N1["47.3 Conduzir o ensaio"]
N2["Nota de engenharia"]
N3["47.6 Acompanhar as constatações do ensaio"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX093"]
[47.1 Cenários do ensaio]
|
v
[47.3 Conduzir o ensaio]
|
v
[Nota de engenharia]
|
v
[47.6 Acompanhar as constatações do ensaio]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX093]
Objetivos de aprendizagem
Você vai (1) projetar e conduzir um ensaio de falha controlado; (2) recuperar-se de falhas criptográficas dentro dos objetivos; (3) medir o tempo de recuperação; e (4) melhorar os planos a partir dos resultados. O capítulo testa a resiliência projetada no Capítulo 33.
47.1 Cenários do ensaio
Num ambiente réplica isolado: (a) vulnerabilidade numa biblioteca PQC que exige correção emergencial e troca de chaves; (b) HSM de assinatura LMS restaurado a partir de um backup — confirmar a recusa em assinar até que o estado seja reconciliado; (c) quebra de algoritmo simulada: desativar o ML-DSA na política e mudar a assinatura dos conhecimentos de embarque para a alternativa; (d) atualização de um middlebox que descarta ClientHellos grandes num local.
Os quatro cenários cobrem capacidades diferentes: a correção e a troca de chaves testam as operações; a restauração do HSM testa os controles de estado; a quebra de algoritmo testa a agilidade; a mudança no middlebox testa a resposta específica por caminho.
47.2 Objetivos
Defina os objetivos de tempo de recuperação: por exemplo, corrigir e trocar as chaves da borda em até 72 horas; trocar o algoritmo de assinatura em até 14 dias; exceção específica de caminho para o middlebox em até 2 horas. Meça os tempos reais.
Os objetivos vêm dos requisitos e do risco: 72 horas para a troca de chaves da borda refletem a exposição de um serviço público, enquanto 14 dias para a troca da assinatura refletem a necessidade de os verificadores dos parceiros se atualizarem. Defini-los antes do ensaio dá sentido aos resultados; os objetivos escolhidos depois tendem a coincidir com o que quer que tenha acontecido e não ensinam nada sobre a prontidão.
47.3 Conduzir o ensaio
Instrua os participantes; injete as falhas; observe sem ajudar; registre os tempos, as decisões e os problemas; pare se a segurança física ou a produção estiver em risco (não deveria estar — apenas réplica).
Os observadores não ajudam porque o objetivo é ver o que os runbooks e a equipe conseguem fazer sozinhos. Registrar as decisões, e não só os tempos, mostra onde as pessoas hesitaram ou improvisaram, o que muitas vezes revela uma etapa ausente no runbook. A regra de parada é declarada de antemão, mesmo sendo o ambiente uma réplica, para que os participantes saibam que ela existe e pratiquem o seu uso.
47.4 Exemplo resolvido
Resultados de um ensaio-modelo: (a) 41 horas; (b) o HSM recusou, mas o runbook não tinha as etapas de reconciliação — acrescentadas; (c) 19 dias, excedendo o objetivo porque os verificadores dos parceiros precisaram de atualizações — endpoints de teste para os parceiros acrescentados ao plano; (d) 35 minutos.
Três dos quatro cenários cumpriram os objetivos: 41 horas contra 72, 35 minutos contra 2 horas e o HSM recusando corretamente a assinatura. A troca da assinatura levou 19 dias contra 14 porque os verificadores dos parceiros tiveram de ser atualizados, uma dependência que a agilidade dentro da BPA não consegue remover. Acrescentar endpoints de teste para os parceiros encurta esse caminho no próximo exercício.
47.5 Erros comuns e limites
- Ensaios em produção.
- Objetivos definidos depois do ensaio.
- Nenhuma ação de acompanhamento.
Os ensaios em produção arriscam causar justamente os incidentes que pretendem ensaiar. Os objetivos definidos depois não conseguem mostrar se o desempenho foi bom o bastante. Sem ações de acompanhamento, o ensaio produz um relatório e nenhuma melhora; na BPA, cada lacuna, como as etapas de reconciliação ausentes, virou uma ação acompanhada e testada de novo. Um ensaio só conta como concluído quando cada ação tem um responsável, uma data e um novo teste planejado.
Nota de engenharia
Os ensaios devem variar quem está de plantão. Uma recuperação que só funciona quando o projetista do sistema está presente não é uma capacidade de recuperação; conduza pelo menos um cenário só com a equipe de plantão e os projetistas observando em silêncio. Meça não apenas o tempo decorrido, mas também a qualidade das decisões: se a equipe consultou o CBOM, seguiu o runbook e se comunicou com os parceiros nos momentos certos. Essas observações geram as melhorias mais valiosas.
47.6 Acompanhar as constatações do ensaio
Cada lacuna encontrada no ensaio vira uma ação acompanhada: as etapas de reconciliação ausentes no runbook, os endpoints de teste para os parceiros e a implantação nos parceiros, mais lenta que o planejado, de 19 dias. O ensaio é repetido para os cenários que não cumpriram o objetivo, e os resultados da repetição são acrescentados ao dossiê de evidências ao lado dos originais, para que os leitores vejam tanto a falha quanto a correção.
Manter os dois resultados também mostra aos avaliadores que a equipe corrigiu o que falhou. A repetição usa o mesmo cenário e o mesmo objetivo que o original, para que a melhora seja medida em pé de igualdade. Se a repetição ainda não cumprir o objetivo, a lacuna é relatada na declaração de risco residual, e não escondida.
Exercícios
- EX093 — Projeto do cenário. Projete o cenário (c) em detalhe, com as injeções e os observadores. Rubrica: 3 = realista, mensurável, isolado.
- EX094 — Relatório pós-ação. Escreva o relatório pós-ação do cenário (c). Rubrica: 3 = causa raiz, ações, responsáveis, datas.
Síntese
Os ensaios de falha medem a capacidade real de recuperação contra os objetivos e transformam surpresas em melhorias do plano.
Continue estudando — capítulo 47 de 50
← Capítulo 46 · Índice de capítulos do curso · Capítulo 48 →
Siga para a próxima lição escrita.