OpenCyber Academy
Engenharia · Capítulo 27 · Português
Código do curso: OCA-120Capítulo 27: OCA-120-C027

Capítulo 27 — Governança, riscos e compliance de segurança: projeto de controles

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 27 publicada. Mapa, exemplo, EX079.

flowchart TD
  N0["27.2 Usar um catálogo"]
  N1["27.3 Documentar para testar"]
  N2["Síntese"]
  N0 --> N1 --> N2
  N2 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX079"]

Desenho lógico

flowchart LR
  N0["27.2 Usar um catálogo"]
  N1["27.3 Documentar para testar"]
  N2["Síntese"]
  N0 --> N1 --> N2 --> Q["EX079"]

[27.2 Usar um catálogo]
    |
    v
[27.3 Documentar para testar]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX079]

Objetivos de aprendizagem

Você vai (1) projetar controles com objetivos e atributos claros; (2) selecionar controles de um catálogo de referência; (3) documentar os controles para que possam ser testados.

27.1 Objetivos de controle

Nadia aprende que um controle bem projetado começa por um objetivo: que risco ele reduz e como. Para o acesso de fornecedores, o objetivo é que só fornecedores aprovados e identificados cheguem aos sistemas de controle, só para tarefas aprovadas e com um registro do que fizeram. Do objetivo ela deriva os atributos: tipo, frequência, responsável, nível de automação e evidência produzida. Sem um objetivo claro, os controles derivam para rituais executados, mas já desligados do risco que deveriam reduzir. O objetivo do acesso de fornecedores deixa claro, por exemplo, que a gravação das sessões existe para mostrar o que os fornecedores fizeram, e não só quem se conectou.

27.2 Usar um catálogo

Em vez de inventar controles, Nadia consulta a ISO/IEC 27002:2022 e o NIST SP 800-53 Rev. 5. Os catálogos oferecem ideias testadas: gestão de contas, acesso remoto, auditoria de sessões e controles de relacionamento com fornecedores. Ela os seleciona e adapta à Ardwell, registrando quais controles do catálogo são aplicados, adaptados ou excluídos, e por quê. Esse registro se parece com a declaração de aplicabilidade que a ISO/IEC 27001:2022 exige e mostra aos auditores que a seleção decorreu do risco, e não do hábito ou da conveniência. Excluir um controle exige um motivo ligado aos riscos da Ardwell, como um controle escrito para um tipo de sistema que ela não opera.

27.3 Documentar para testar

Cada descrição de controle responde a quem faz o quê, quando, com o quê, e que evidência resulta. Para a revisão mensal das gravações, a descrição nomeia o analista de segurança, a amostra de dez por cento, os critérios de preocupação e o relatório arquivado no sistema de tickets. Nadia confere se um testador independente conseguiria verificar o controle só com a descrição. O Prof. Brenner observa que descrições ambíguas são um problema comum de auditoria, porque testadores e responsáveis passam a discordar sobre o que o controle deveria fazer. A amostra nomeada de dez por cento dá ao testador um número fixo a conferir, em vez de uma instrução vaga de revisar gravações.

Exemplo resolvido

Nadia declara um objetivo de controle, seleciona e adapta controles do catálogo com os motivos registrados e escreve descrições de controle testáveis.

Caso sintético. Os projetos de controle são sintéticos; a ISO/IEC 27002:2022, a 27001:2022 e o SP 800-53 Rev. 5 são reais.

Erros e limites

Os catálogos são genéricos. As descrições podem retratar a intenção, e não a prática.

Exercícios

Síntese

Objetivos, catálogos e descrições testáveis produzem controles que podem ser operados e verificados.

Respostas comentadas

EX079. Para que continue ligado ao risco que deve reduzir, em vez de virar um ritual.

EX080. A declaração de aplicabilidade.

EX081. Confirmando que um testador independente conseguiria verificar o controle só com a descrição.