Capítulo 24 — Arquitetura e engenharia de segurança: métodos I

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Qualitativo e quantitativo"]
  N1["24.2 Conduzir uma avaliação"]
  N2["24.3 Decisões de risco e responsáveis"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Qualitativo e quantitativo"]
  N1["24.2 Conduzir uma avaliação"]
  N2["24.3 Decisões de risco e responsáveis"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX070"]

[24.1 Qualitativo e quantitativo]
    |
    v
[24.2 Conduzir uma avaliação]
    |
    v
[24.3 Decisões de risco e responsáveis]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) comparar métodos de risco qualitativos e quantitativos; (2) conduzir uma avaliação de risco segundo o SP 800-30 Rev. 1; (3) documentar as decisões de risco com responsáveis.

24.1 Qualitativo e quantitativo

O risco pode ser classificado qualitativamente, com escalas como baixo, médio e alto, ou quantitativamente, com frequências e perdas estimadas. Os métodos qualitativos são rápidos e ajudam a discussão, mas escondem grandes diferenças dentro de uma mesma categoria. Os métodos quantitativos obrigam a explicitar as premissas, mas podem criar uma falsa precisão quando os dados de entrada são palpites. Sofia usa os dois: uma passada qualitativa para ordenar muitos riscos e, depois, estimativas quantitativas com faixas para os poucos do topo, em que as decisões envolvem dinheiro de verdade. Ela registra as premissas por trás de cada número para que os leitores possam contestá-las, em vez de aceitar um valor pelo que aparenta.

24.2 Conduzir uma avaliação

O NIST SP 800-30 Rev. 1 descreve preparar a avaliação, conduzi-la identificando fontes de ameaça, eventos, vulnerabilidades, probabilidade e impacto, comunicar os resultados e manter a avaliação. Sofia segue essas etapas para o back-office. Ela define o escopo e as premissas, identifica as fontes de ameaça a partir da sessão STRIDE e da declaração de contexto, classifica a probabilidade e o impacto em escalas acordadas e registra cada risco. O valor do método está na consistência: outro avaliador que use as mesmas escalas e informações deve chegar a classificações parecidas, o que torna os resultados comparáveis ao longo do tempo e entre sistemas.

24.3 Decisões de risco e responsáveis

Cada risco precisa de uma decisão: mitigar, transferir, evitar ou aceitar. Sofia prepara um registro de riscos em que cada entrada tem um responsável com autoridade para decidir. A diretora financeira aceita um risco residual de até uma hora de uso de cartão roubado, documentado no capítulo 5. O chefe de operações é o responsável pelo risco de uso indevido de certificados de validadores e aprova um projeto de revogação. Daniel ressalta que os engenheiros recomendam, mas os responsáveis do negócio decidem, e que os riscos aceitos precisam ser revistos regularmente, porque uma aceitação feita num contexto pode estar errada depois que o contexto muda.

Exemplo resolvido

Sofia ordena qualitativamente vinte riscos do back-office, estima faixas para os três do topo, segue as etapas do SP 800-30 Rev. 1 e atribui responsáveis e decisões num registro.

Caso sintético. Os riscos, as classificações e os responsáveis são sintéticos; o SP 800-30 Rev. 1 é real.

Erros e limites

As escalas de risco significam coisas diferentes para pessoas diferentes, a menos que sejam ancoradas com exemplos. As faixas quantitativas continuam incertas.

Exercícios

• EX070 — Fraqueza qualitativa. Qual é uma fraqueza das escalas de risco qualitativas?

  Mostrar critérios de avaliação

  Rubrica: 3 = escondem grandes diferenças dentro de uma mesma categoria;; 2 = esconde diferenças;; 1 = vago;; 0 = nenhuma.

• EX071 — Etapas do SP 800-30. Cite as quatro etapas principais do SP 800-30 Rev. 1.

  Mostrar critérios de avaliação

  Rubrica: 3 = preparar, conduzir, comunicar, manter;; 2 = três;; 1 = uma;; 0 = nenhuma.

• EX072 — Quem decide. Quem decide se um risco é aceito?

  Mostrar critérios de avaliação

  Rubrica: 3 = o responsável do negócio com autoridade, não o engenheiro;; 2 = responsável;; 1 = engenheiro;; 0 = nenhuma.

Síntese

Métodos de risco sólidos combinam uma classificação rápida com estimativas explícitas e colocam as decisões nas mãos de donos responsáveis.