Capítulo 48 — Dossiê de evidências
Mapa da aula
Aula 48 publicada. Mapa, exemplo, EX095.
flowchart TD
N0["48.1 Conteúdo"]
N1["48.2 Ligar as alegações às evidências"]
N2["48.3 Proteger as evidências"]
N3["48.4 Revisabilidade"]
N4["Nota de engenharia"]
N5["48.7 Manter o dossiê atualizado"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX095"]
Desenho lógico
flowchart LR
N0["48.1 Conteúdo"]
N1["48.2 Ligar as alegações às evidências"]
N2["48.3 Proteger as evidências"]
N3["48.4 Revisabilidade"]
N4["Nota de engenharia"]
N5["48.7 Manter o dossiê atualizado"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX095"]
[48.1 Conteúdo]
|
v
[48.2 Ligar as alegações às evidências]
|
v
[48.3 Proteger as evidências]
|
v
[48.4 Revisabilidade]
|
v
[Nota de engenharia]
|
v
[48.7 Manter o dossiê atualizado]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX095]
Objetivos de aprendizagem
Você vai (1) montar um dossiê de evidências do sistema migrado; (2) ligar as evidências aos requisitos e às alegações; (3) proteger as evidências sensíveis; e (4) tornar o dossiê revisável por auditores e sucessores. O capítulo prepara a monografia e a defesa.
48.1 Conteúdo
Requisitos e matriz de rastreabilidade; arquitetura e registros de decisão; instantâneos do CBOM, com o método; análises de ameaças e FMEA; relatórios de teste (KATs, interoperabilidade, rebaixamento, estado); dados de medição (grupos negociados, falhas, latência); registros de validação e de aceitação; relatórios dos ensaios de falha; declaração de risco residual; resultados da demonstração de agilidade.
Cada tipo de item responde a uma pergunta diferente do revisor: a matriz mostra o que foi exigido, os relatórios de teste mostram o que foi verificado, os dados de medição mostram o que aconteceu em operação e a declaração de risco residual mostra o que resta. Um revisor deve poder partir de qualquer alegação do resumo e chegar à sua evidência pelo índice.
48.2 Ligar as alegações às evidências
Toda alegação nos resumos tem um identificador de evidência. "Conexões de borda que negociam grupos híbridos: 71% (EV-MEAS-14, janela de 30 dias, telemetria passiva)". As alegações sem ligação são removidas.
O identificador diz ao leitor onde está a evidência, a janela diz quando ela foi medida e a fonte diz como. Remover as alegações sem ligação pode encurtar um resumo, mas cada frase restante pode ser verificada. A amostra de dez alegações do auditor, no exemplo do dossiê, mostra como isso funciona na prática, com cada alegação rastreada em minutos.
48.3 Proteger as evidências
As evidências podem revelar fraquezas. Classifique as partes do dossiê; compartilhe as partes sensíveis (detalhes de vulnerabilidades, mapas de rede) apenas com revisores autorizados; publique apenas resumos sanitizados.
Um mapa de rede que mostra quais fluxos ainda usam troca de chaves clássica é útil a um atacante que planeja gravar tráfego, por isso ele é classificado. Os resumos sanitizados substituem os nomes dos sistemas por categorias e dão totais em vez de listas. O acesso às partes classificadas é registrado, e o índice do dossiê mostra quais partes existem sem expor o seu conteúdo. A BPA revisa as classificações quando o dossiê é atualizado, já que uma lacuna fechada pode não precisar mais de proteção.
48.4 Revisabilidade
Use uma estrutura, um índice e um controle de versão consistentes. Um sucessor deve encontrar em minutos onde ficam as chaves ML-DSA e como substituí-las.
O dossiê da BPA segue a mesma ordem dos capítulos de verificação deste livro, com um índice que liga cada identificador de evidência ao seu arquivo. O controle de versão mostra quando cada item mudou e quem o mudou. A primeira tarefa de um engenheiro novo é responder a três perguntas a partir do dossiê, como onde ficam as chaves ML-DSA, o que testa se a estrutura funciona.
48.5 Exemplo resolvido
O índice do dossiê da BPA lista 126 itens de evidência. Um auditor amostra dez alegações e rastreia cada uma até a evidência em menos de uma hora; uma alegação — "todo o firmware tem assinatura dupla" — se revela válida apenas para os dispositivos com o novo bootloader; a alegação é corrigida para "todas as imagens têm assinatura dupla; 40% dos dispositivos verificam as duas".
A alegação corrigida é mais útil do que a original: ela diz às operações que 60% dos dispositivos ainda verificam apenas uma assinatura, o que é um risco residual real. Amostrar dez alegações em menos de uma hora também mostra que o dossiê é revisável, a propriedade que a parte anterior pedia.
48.6 Erros comuns e limites
- Alegações sem identificadores de evidência.
- Dossiês com detalhes sensíveis amplamente compartilhados.
- Evidências espalhadas por pastas pessoais.
As alegações sem identificadores não podem ser verificadas e convidam ao exagero, como mostrou a alegação do firmware. Compartilhar amplamente as partes sensíveis entrega aos atacantes um mapa das fraquezas restantes. As evidências em pastas pessoais desaparecem quando as pessoas saem, e a próxima migração começa sem elas. A BPA mantém todas as evidências no repositório versionado, com controles de acesso, e o índice é verificado quanto a links quebrados e itens ausentes antes de cada auditoria.
Nota de engenharia
Os dossiês também precisam de um responsável pela manutenção. As evidências envelhecem: as medições ficam desatualizadas, o status das normas muda, os parceiros se atualizam. Atribua um responsável, uma frequência de revisão e uma data de expiração a cada item de evidência, para que o dossiê continue sendo uma descrição verdadeira do sistema, e não um instantâneo da semana em que foi entregue. Os auditores confiam nos dossiês que mostram o próprio histórico de atualizações.
48.7 Manter o dossiê atualizado
O dossiê da BPA é versionado: cada atualização declara o que mudou, por que e quem aprovou. Quando uma norma é revista ou um fornecedor lança uma nova opção pós-quântica, as alegações afetadas são verificadas de novo e as suas evidências, renovadas, e os itens desatualizados são marcados em vez de removidos em silêncio.
Um item desatualizado continua visível, com a sua data e o motivo da caducidade, para que um revisor consiga distinguir um sucesso antigo de um atual. Quando a FIPS 206 para o FN-DSA for final, por exemplo, a alegação de que o FN-DSA está excluído enquanto aguarda a normalização é revista, e o registro de decisões registra se a BPA passa a adotá-lo nos enlaces restritos.
Exercícios
- EX095 — Índice. Esboce a estrutura do índice do dossiê. Rubrica: 3 = categorias, identificadores, classificação.
- EX096 — Auditoria de alegações. Audite cinco alegações dos resultados do Capítulo 46 diante das necessidades de evidência. Rubrica: 3 = cada uma ligada ou corrigida.
Síntese
Um dossiê de evidências liga cada alegação a evidências protegidas e indexadas, nas quais auditores e sucessores conseguem navegar.
Continue estudando — capítulo 48 de 50
← Capítulo 47 · Índice de capítulos do curso · Capítulo 49 →
Siga para a próxima lição escrita.