Capítulo 15 — Fundamentos de segurança
Mapa da aula
Aula 15 publicada. Mapa, exemplo, EX043.
flowchart TD
N0["15.2 Os blocos do risco"]
N1["15.3 Tipos de controle"]
N2["Síntese"]
N0 --> N1 --> N2
N2 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX043"]
Desenho lógico
flowchart LR
N0["15.2 Os blocos do risco"]
N1["15.3 Tipos de controle"]
N2["Síntese"]
N0 --> N1 --> N2 --> Q["EX043"]
[15.2 Os blocos do risco]
|
v
[15.3 Tipos de controle]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX043]
Objetivos de aprendizagem
Você vai (1) definir confidencialidade, integridade e disponibilidade para os ativos da Ardwell; (2) ligar ameaças, vulnerabilidades e impacto ao risco; (3) distinguir os tipos de controle.
15.1 Objetivos de segurança
Nadia define o que segurança significa para os principais ativos da Ardwell. Para os dados de pagamento dos clientes, a confidencialidade é o que mais importa. Para as leituras de medidores que geram as contas, a integridade. Para os sistemas de controle que mantêm a energia fluindo, a disponibilidade e a segurança das pessoas. Ela aprende que ordenar os objetivos por ativo orienta a escolha dos controles, porque um controle que reforça a confidencialidade, como um bloqueio rígido, pode enfraquecer a disponibilidade. Um bloqueio rígido nos consoles do sistema de controle, por exemplo, poderia impedir um operador de restabelecer a energia durante um incidente. Explicitar essas prioridades ajuda o conselho a entender por que os controles variam.
15.2 Os blocos do risco
Nadia aprende os blocos usados no NIST SP 800-30 Rev. 1: fontes e eventos de ameaça, vulnerabilidades e condições predisponentes, probabilidade e impacto. O risco surge quando uma ameaça pode explorar uma vulnerabilidade para causar um impacto. Ela aplica isso ao acesso remoto dos fornecedores: a ameaça é o mau uso de uma conta de fornecedor, a vulnerabilidade é uma senha compartilhada e o impacto é uma interrupção não planejada. Separar as partes mostra onde um controle pode agir, como trocar a senha compartilhada por contas nominais. As contas nominais tratam a vulnerabilidade, enquanto o registro das sessões ajudaria a detectar o evento de ameaça se a vulnerabilidade voltasse.
15.3 Tipos de controle
Os controles podem prevenir, detectar ou corrigir, e podem ser administrativos, técnicos ou físicos. Nadia classifica os controles da Ardwell para o acesso de fornecedores: as contas nominais e a aprovação são preventivas; o registro das sessões é detectivo; um procedimento testado para revogar o acesso durante um incidente é corretivo. Ela aprende que depender de um só tipo é frágil, porque a prevenção acaba falhando. Um conjunto equilibrado permite à Ardwell barrar a maioria dos problemas, perceber o restante e se recuperar, que é a base da defesa em profundidade. O procedimento de revogação só conta se tiver sido testado, porque um procedimento não testado pode falhar justamente no incidente para o qual foi escrito.
Exemplo resolvido
Nadia ordena os objetivos de segurança por ativo, decompõe o risco do acesso de fornecedores com os termos do SP 800-30 e equilibra controles preventivos, detectivos e corretivos.
Caso sintético. Os ativos e os controles são sintéticos; o SP 800-30 Rev. 1 é real.
Erros e limites
A ordem dos objetivos pode ser contestada. Na prática, as classificações se confundem.
Exercícios
- EX043 — Prioridade dos medidores. Que objetivo importa mais para as leituras dos medidores? Rubrica: 3 = integridade, porque as leituras geram as contas;; 2 = integridade, sem justificativa;; 1 = confidencialidade;; 0 = nenhuma.
- EX044 — Partes do risco. Que vulnerabilidade Nadia identificou no acesso de fornecedores? Rubrica: 3 = uma senha compartilhada;; 2 = senha compartilhada;; 1 = vago;; 0 = nenhuma.
- EX045 — Exemplo corretivo. Dê o controle corretivo do acesso de fornecedores. Rubrica: 3 = procedimento testado para revogar o acesso durante incidentes;; 2 = revogar;; 1 = vago;; 0 = nenhuma.
Síntese
Objetivos claros, componentes de risco e tipos de controle equilibrados formam a base da governança de segurança.
Continue estudando — aula 15 (capítulo 15 de 50)
← Capítulo 14 · Índice das aulas · Capítulo 16 →
Continue para a próxima aula já escrita.