OpenCyber Academy
Engenharia · Capítulo 21 · Português
Código do curso: OCA-120Capítulo 21: OCA-120-C021

Capítulo 21 — Governança, riscos e compliance de segurança: requisitos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 21 publicada. Mapa, exemplo, EX061.

flowchart TD
  N0["21.1 Das obrigações aos requisitos"]
  N1["21.2 Requisitos testáveis"]
  N2["21.3 Priorizar"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX061"]

Desenho lógico

flowchart LR
  N0["21.1 Das obrigações aos requisitos"]
  N1["21.2 Requisitos testáveis"]
  N2["21.3 Priorizar"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX061"]

[21.1 Das obrigações aos requisitos]
    |
    v
[21.2 Requisitos testáveis]
    |
    v
[21.3 Priorizar]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX061]

Objetivos de aprendizagem

Você vai (1) derivar os requisitos do programa a partir das obrigações e do apetite a riscos; (2) escrever requisitos que possam ser testados; (3) priorizá-los.

21.1 Das obrigações aos requisitos

As obrigações costumam ser amplas. Nadia as transforma em requisitos específicos para o programa da Ardwell. Por exemplo, uma obrigação contratual de proteger os dados de cartão vira os requisitos de manter um inventário atual dos sistemas com dados do titular do cartão, restringir o acesso a eles conforme a necessidade do negócio e revisar esse acesso regularmente. A declaração de apetite do conselho de que nenhum incidente isolado deve interromper o fornecimento por mais de quatro horas vira um requisito de recuperação para os backups do sistema de controle e os equipamentos sobressalentes. O limite de quatro horas passa então a ser a régua contra a qual os testes de recuperação dos capítulos seguintes serão julgados.

21.2 Requisitos testáveis

Nadia aprende a escrever requisitos que possam ser testados. Um requisito vago, como "o acesso deve ser apropriado", não pode ser conferido. Uma versão testável diz que o acesso aos sistemas com dados do titular do cartão é revisado a cada trimestre e que o acesso excessivo encontrado é removido em até dez dias úteis. Cada requisito testável nomeia um responsável, uma frequência, uma condição mensurável e a evidência. Ela reescreve assim doze requisitos da Ardwell e descobre que três não tinham nenhum responsável claro. Esses três entram no registro como lacunas a atribuir antes que qualquer teste possa ser executado.

21.3 Priorizar

Nem todo requisito é igualmente urgente. Nadia os ordena pela consequência de uma falha e por serem ou não compulsórios. Os requisitos ligados à segurança do fornecimento de energia e às obrigações contratuais de cartão ficam no topo. Os que apoiam a certificação voluntária vêm em seguida. As melhorias de eficiência ficam por último. Ela apresenta a ordem à gestora de segurança da informação com os motivos, para que o tempo limitado da equipe vá primeiro aos requisitos cuja falha prejudicaria clientes ou violaria obrigações. Ordenar com motivos também permite à gestora contestar a ordem se um item voluntário tiver passado a ser contratual.

Exemplo resolvido

Nadia deriva requisitos das obrigações e do apetite, reescreve doze deles como afirmações testáveis e os ordena pela consequência.

Caso sintético. Os requisitos são sintéticos.

Erros e limites

A redação testável pode perder a intenção. As prioridades mudam com os incidentes.

Exercícios

Síntese

Requisitos específicos, testáveis e priorizados transformam as obrigações em um programa executável.

Respostas comentadas

EX061. Um requisito de recuperação para os backups do sistema de controle e os equipamentos sobressalentes.

EX062. Um responsável, uma frequência, uma condição mensurável e a evidência.

EX063. Os ligados à segurança do fornecimento e às obrigações contratuais de cartão.