Capítulo 50 — Defesa final
Mapa da aula
Aula 50 publicada. Mapa, exemplo, EX148.
flowchart TD
N0["50.1 Apresentação"]
N1["50.2 Perguntas"]
N2["50.3 Reflexão"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX148"]
Desenho lógico
flowchart LR
N0["50.1 Apresentação"]
N1["50.2 Perguntas"]
N2["50.3 Reflexão"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX148"]
[50.1 Apresentação]
|
v
[50.2 Perguntas]
|
v
[50.3 Reflexão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX148]
Objetivos de aprendizagem
Você vai (1) defender uma tese de engenharia em GRC; (2) responder a perguntas sobre projeto, evidências e ética; (3) refletir sobre seu desenvolvimento profissional.
50.1 Apresentação
Nadia apresenta a tese em vinte minutos: o problema da Ardwell, o projeto, como as revisões e os ensaios o melhoraram, os resultados contra os critérios e o estudo do conselho com seus limites. Ela faz uma demonstração curta de um alerta para um controle que falhou e da verificação de integridade detectando um arquivo alterado, o que remete diretamente ao arquivo de testes alterado que encontrou no dossiê. Encerra com lições para outras organizações. A banca reúne o Prof. Brenner, um engenheiro externo de uma concessionária e uma auditora interna de outro setor, cobrindo a academia, a engenharia e a garantia.
50.2 Perguntas
O engenheiro externo pergunta se a automação poderia deixar os responsáveis acomodados. Nadia responde que o serviço coleta as evidências, mas os responsáveis continuam revisando as exceções, e que a amostragem pela analista continua. A auditora pergunta se as evidências bastariam para uma auditoria externa. Ela responde que as evidências apoiam a auditoria, mas não substituem os testes do próprio auditor, na mesma linha da distinção entre atestação e trabalho interno do capítulo 38. O Prof. Brenner pergunta sobre ética. Ela explica como tratou o acesso aos dados dos funcionários e por que o ensaio de falha foi anunciado e excluiu os sistemas de controle em produção.
50.3 Reflexão
A banca aprova a tese e elogia o tratamento honesto do estudo do conselho. Na reflexão, Nadia observa que o curso a ensinou a ver a governança como engenharia: requisitos, projeto, verificação, operação e melhoria. Também aprendeu que a governança depende de pessoas, confiança e comunicação clara. Ela planeja entrar na equipe de governança da Ardwell, o que mantém o serviço de monitoramento ao alcance de sua projetista, e conservar, em todos os papéis que assumir, os hábitos de testar premissas, registrar decisões e relatar a incerteza com honestidade.
Exemplo resolvido
Nadia apresenta e demonstra seu serviço, responde sobre acomodação, confiança das auditorias e ética, e é aprovada na defesa.
Caso sintético. A defesa é sintética.
Erros e limites
As defesas amostram o conhecimento. As reflexões podem ser idealizadas.
Exercícios
- EX148 — Resposta sobre acomodação. Como Nadia respondeu à preocupação com a acomodação dos responsáveis? Rubrica: 3 = os responsáveis continuam revisando exceções e a analista amostra;; 2 = supervisão;; 1 = vago;; 0 = nenhuma.
- EX149 — Confiança da auditoria. O serviço substitui os testes da auditoria externa? Rubrica: 3 = não, apoia, mas não substitui;; 2 = não;; 1 = sim;; 0 = nenhuma.
- EX150 — Plano de carreira. O que Nadia planeja depois de se formar? Rubrica: 3 = entrar na equipe de governança da Ardwell;; 2 = Ardwell;; 1 = vago;; 0 = nenhuma.
Síntese
A defesa confirma que a engenharia de governança une rigor técnico e comunicação honesta.
Continue estudando — aula 50 (capítulo 50 de 50)
← Capítulo 49 · Índice das aulas · Próximo curso pelo índice →
O índice aponta para o próximo curso do percurso de estudos.
Resoluções
Respostas-modelo para EX001–EX150. Nadia Okafor, o Prof. Tomas Brenner, a Kestrel Polytechnic, a Ardwell Power Cooperative e todos os números são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Se o backlog de achados em aberto está diminuindo, estável ou crescendo.
EX002. Porque ali a atenção da gestão diminui e os achados mais difíceis ficam parados.
EX003. Como a área sob a curva das fraquezas em aberto ao longo do tempo.
EX004. Autenticação multifator obrigatória para sessões remotas e acesso imediato de fornecedores em emergências.
EX005. Sete, de funcionários que tinham mudado de função.
EX006. Cadastrar fornecedor junto com aprovar pagamento (ou aprovar pagamento com conciliar banco).
EX007. Controles físicos, ao lado dos organizacionais, de pessoas e tecnológicos.
EX008. Facilities, trabalhando com TI.
EX009. Porque as fechaduras só retardam, e é preciso detecção contra um atacante determinado.
EX010. Título, responsável, data de aprovação e data da próxima revisão.
EX011. Porque um responsável consegue corrigir uma política nomeada, mas não consegue agir sobre um número sem explicação.
EX012. Porque, quando os scripts produzem evidências de compliance, o próprio script é evidência que os auditores precisam entender.
EX013. Decisões, opções e consequências em linguagem simples.
EX014. Para dizer que a perda anual esperada é de cerca de noventa mil sob premissas declaradas, com uma faixa ampla.
EX015. Porque as decisões de governança afetam muitas equipes e o memorando registra como a decisão foi tomada.
EX016. Funcionários que mudam de função sem que seus acessos sejam atualizados.
EX017. Departamentos com alta rotatividade de pessoal, onde o decaimento é mais rápido.
EX018. Porque o dinheiro tem valor no tempo, então os valores futuros são descontados.
EX019. A taxa anual de ocorrência multiplicada pela expectativa de perda única.
EX020. Ransomware, com 90.000, e mau uso do acesso de fornecedores, com 80.000.
EX021. Porque é raro, mas uma única ocorrência poderia ser catastrófica, algo que a média esconde.
EX022. Os dispositivos do sistema de controle nas subestações, junto com seu firmware.
EX023. Porque roda primeiro e pode contornar os controles do sistema operacional.
EX024. Substituí-los, isolá-los ou aceitar o risco com monitoramento compensatório.
EX025. Um para ler os dados, outro para aplicar as regras e outro para escrever os relatórios.
EX026. Porque uma linha pulada poderia esconder um risco sem responsável.
EX027. A data da execução, a versão do script e um resumo do arquivo de entrada.
EX028. Assumir a responsabilidade por sua exatidão.
EX029. Monitoramento e alertas sobre falhas repetidas, com restrição física do acesso à sala de controle.
EX030. Porque uma cultura que pune más notícias empurra os problemas para fora da vista até que causem danos.
EX031. Zonas do escritório corporativo, de pagamento dos clientes, do sistema de controle e de acesso remoto de fornecedores.
EX032. Porque contornava o jump host, então as sessões ficavam sem registro e sem aprovação.
EX033. Depois de mudanças, porque uma única regra nova de firewall pode ligar zonas.
EX034. Que o sistema operacional imponha contas de administrador separadas e registre seu uso em logs que os usuários não conseguem alterar.
EX035. Cada desvio é registrado com seu motivo.
EX036. Com que rapidez o desvio é detectado e corrigido.
EX037. Todo risco tem responsável, as revisões não têm mais de 180 dias e as notas ficam entre 1 e 25.
EX038. Duas.
EX039. Edições descuidadas ou falsificadas poderiam fazer riscos parecerem menores sem que ninguém percebesse.
EX040. ISO/IEC 27002:2022 e PCI DSS v4.0.
EX041. Um caminho emergencial documentado, com revisão posterior em até dois dias úteis.
EX042. Porque cada uma é um fornecedor cujas vulnerabilidades e obrigações de licença se tornam risco da Ardwell.
EX043. Integridade, porque as leituras geram as contas.
EX044. Uma senha compartilhada do fornecedor.
EX045. Um procedimento testado para revogar o acesso de fornecedores durante um incidente.
EX046. Manter o risco dentro do apetite do conselho e demonstrar compliance.
EX047. Requisitos sem controle e controles sem teste.
EX048. A desativação.
EX049. O apetite a riscos do conselho.
EX050. Oscilou muito mais longe da meta, por causa do atraso maior.
EX051. Respostas proporcionais, guiadas por regras de decisão documentadas.
EX052. Por exemplo, minimizar o escopo dos dados sensíveis e intermediar todo acesso externo por pontos monitorados.
EX053. Guardava os nomes dos clientes com as leituras num serviço alcançável pelos notebooks do escritório, ampliando o escopo dos dados sensíveis.
EX054. O contexto, a decisão, as alternativas consideradas e as consequências, incluindo os riscos aceitos.
EX055. A movimentação, porque os acessos antigos raramente são removidos.
EX056. Os dados de pagamento dos clientes e os dados pessoais em notebooks.
EX057. Porque não tinha backup nem controle de vencimento e poderia vencer sem ninguém notar, derrubando o portal.
EX058. Direção, responsabilização e supervisão, incluindo o apetite a riscos.
EX059. Porque isso cria um conflito de interesses e enfraquece a garantia.
EX060. Não; é uma escolha voluntária do conselho, ao contrário das obrigações contratuais do PCI DSS.
EX061. Um requisito de recuperação para os backups do sistema de controle e os equipamentos sobressalentes.
EX062. Um responsável, uma frequência, uma condição mensurável e a evidência.
EX063. Os ligados à segurança do fornecimento e às obrigações contratuais de cartão.
EX064. Por exemplo, ativos, riscos, controles e obrigações (também testes, achados e responsáveis).
EX065. Porque um controle atende várias obrigações e trata vários riscos.
EX066. Por exemplo, que riscos são tratados só por controles que falharam no último teste.
EX067. Uma fonte de ameaça, um evento, as vulnerabilidades exploradas e o impacto.
EX068. Remoções aprovadas que nunca foram executadas de fato.
EX069. Porque o controle de que ele depende pode ter parado de funcionar sem ninguém perceber.
EX070. O risco residual é o que resta depois dos controles; o inerente é o anterior a eles.
EX071. Em 76%, de 90 mil para 21,6 mil.
EX072. O mau uso por fornecedores, com 80 mil, porque nenhum controle o trata.
EX073. Fornecedores conectados em minutos durante as interrupções.
EX074. Quatro horas.
EX075. Amostrando dez por cento das gravações por mês, com foco nas sessões emergenciais.
EX076. Planilhas melhoradas, uma plataforma comercial e ferramentas construídas sobre o sistema de tickets.
EX077. Integridade dos dados com trilha de auditoria e esforço para os responsáveis pelos controles.
EX078. A plataforma comercial.
EX079. Para que continue ligado ao risco que deve reduzir, em vez de virar um ritual.
EX080. A declaração de aplicabilidade.
EX081. Confirmando que um testador independente conseguiria verificar o controle só com a descrição.
EX082. Levar ao broker os dois fornecedores de maior risco.
EX083. Permitindo janelas de manutenção pré-aprovadas.
EX084. Sessões supervisionadas, com um engenheiro da Ardwell presente.
EX085. Medidas de atividade, de desempenho e de resultado.
EX086. Patching, com 78%, e gestão de mudanças, com 72%.
EX087. Porque esconde duas famílias de controles abaixo do limiar vermelho.
EX088. Para que os sistemas de produção não sejam perturbados pelos testes.
EX089. A data, o testador, os passos, o resultado e os artefatos de apoio.
EX090. Uma sessão aprovada para um dispositivo conseguia alcançar um segundo dispositivo no mesmo segmento.
EX091. Doze controles sem responsável claro e três que descreviam práticas que já não existiam.
EX092. Depois de cinco dias de atraso.
EX093. Para que sejam renovadas com um novo raciocínio, em vez de virarem lacunas permanentes ocultas.
EX094. 0,50%.
EX095. 2,49%, cerca de cinco vezes mais.
EX096. Remover a dependência compartilhada, como um único administrador que controla as duas camadas.
EX097. Manter a energia fluindo e restabelecer os serviços depressa depois de incidentes.
EX098. Nove horas contra uma meta de oito.
EX099. Porque revelam lacunas que podem ser registradas e fechadas.
EX100. Comparar o risco cibernético com os demais riscos corporativos em pé de igualdade.
EX101. Como um risco de disrupção operacional, com uma faixa de impacto financeiro e uma obrigação de comunicação regulatória.
EX102. Quando significa uma equipe tomar o trabalho de outra, em vez de definir interfaces.
EX103. Se o risco está subindo ou caindo, e o que o conselho precisa decidir.
EX104. Porque Cox (2008) mostra que as matrizes de risco podem enganar.
EX105. Acrescentando setas com rótulos escritos.
EX106. Perto de dois funcionários em tempo integral, espalhados entre muitas pessoas.
EX107. A única analista de segurança que confere as evidências.
EX108. Para decisões, exceções e tarefas que exigem julgamento.
EX109. Porque, quando as revisões semanais deixam de acontecer, os problemas se acumulam sem ninguém ver.
EX110. Só a analista de segurança, depois de conferir a evidência.
EX111. Um problema de projeto, que levou a um projeto de substituição dos dispositivos.
EX112. Se o controle atinge seu propósito na operação real ao longo do tempo.
EX113. Cinquenta e nove.
EX114. Porque seguem outro caminho, e seus problemas poderiam ficar ocultos numa amostra geral.
EX115. Grandes mudanças de sistema ou incidentes.
EX116. A função Govern.
EX117. Notas escritas sobre as decisões e uma passagem de dois meses em dupla com a sucessora.
EX118. Várias tarefas de controle trimestrais foram reagendadas como anuais.
EX119. Um relatório contava duas vezes os achados reabertos, inflando o número em aberto.
EX120. Que a verificação precisa ser repetida sempre que o sistema muda.
EX121. Autenticação multifator para o acesso remoto, backups offline e tokenização de cartões.
EX122. 190 mil.
EX123. A vulnerabilidade e a perda potencial, e não só o custo.
EX124. Decisões de tratamento por trimestre, tempo entre a proposta e a decisão e se as decisões seguem os maiores riscos residuais.
EX125. Porque ela ajudou a projetar o novo pacote do conselho e pode favorecê-lo.
EX126. Medição direta de como os relatórios afetam as decisões do conselho.
EX127. Alguns controles funcionavam, mas estavam mal documentados, enquanto outros estavam documentados, mas raramente eram executados.
EX128. Como as decisões de aceitação de riscos são tomadas e quem as aprova.
EX129. O regulador se concentrou em resultados, como tempos de restabelecimento e comunicação, enquanto a certificação se concentrou nos processos do sistema de gestão.
EX130. Os controles que exigem julgamento humano.
EX131. Evidências automatizadas para pelo menos dezoito de vinte controles.
EX132. Envolvendo os responsáveis no desenho dos alertas.
EX133. Que os sistemas de origem informam timestamps corretos.
EX134. A evidência ausente agora dispara um alerta e conta como coleta falha.
EX135. Hash dos arquivos de evidência e armazenamento onde as equipes monitoradas não conseguem alterá-los.
EX136. Dezenove de vinte.
EX137. Porque depende de um sistema de fornecedor sem exportação.
EX138. Um runbook, um responsável para cada coletor, casos de teste e uma lista de problemas conhecidos.
EX139. Travamento de um coletor, sistema de origem indisponível e arquivo de evidência alterado.
EX140. O arquivo de evidência alterado, detectado só na verificação semanal de integridade.
EX141. Diariamente.
EX142. Porque permite ao leitor seguir a afirmação de que os controles funcionam até as evidências.
EX143. O arquivo de resultados dos testes de controles, control_tests.csv.
EX144. Como evidência nova, com data própria, mantendo o resultado original.
EX145. Mais decisões de tratamento por trimestre, mas um incidente grave no período pode explicar a mudança.
EX146. Por exemplo, um projeto testado de monitoramento contínuo de controles de baixo custo.
EX147. Por exemplo, uma única organização e um período curto de operação (também esforço autodeclarado e fator de confusão).
EX148. Os responsáveis continuam revisando as exceções e a analista continua amostrando.
EX149. Não; apoia uma auditoria externa, mas não substitui os testes do próprio auditor.
EX150. Entrar na equipe de governança da Ardwell.