Capítulo 8 — Arquitetura de computadores

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX022.

flowchart TD
  N0["8.1 Ativos a partir da arquitetura"]
  N1["8.2 Firmware e confiança"]
  N2["8.3 Cadeia de suprimentos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX022"]

Desenho lógico

flowchart LR
  N0["8.1 Ativos a partir da arquitetura"]
  N1["8.2 Firmware e confiança"]
  N2["8.3 Cadeia de suprimentos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX022"]

[8.1 Ativos a partir da arquitetura]
    |
    v
[8.2 Firmware e confiança]
    |
    v
[8.3 Cadeia de suprimentos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX022]

Objetivos de aprendizagem

Você vai (1) mapear componentes de sistemas como ativos de governança; (2) entender onde os controles atuam no hardware e no firmware; (3) incluir a cadeia de suprimentos no escopo de risco.

8.1 Ativos a partir da arquitetura

Nadia estuda como os computadores são feitos de processadores, memória, armazenamento e dispositivos de entrada e saída, todos controlados por firmware e sistemas operacionais. Para a governança, aprende a tratar essas camadas como ativos com responsáveis. Um inventário de ativos, exigido pela ISO/IEC 27001:2022 por meio dos controles do Anexo A, precisa listar não só servidores e notebooks, mas também os dispositivos do sistema de controle nas subestações. Sem saber o que existe, a Ardwell não consegue avaliar riscos nem demonstrar que os controles se aplicam a tudo o que está no escopo. Ela lista cada camada com seu responsável e a equipe que atualiza o registro.

8.2 Firmware e confiança

O firmware roda antes do sistema operacional e raramente é atualizado. Nadia aprende que, se o firmware for comprometido, os controles do sistema operacional podem ser contornados. Ela acrescenta o controle das versões de firmware aos registros de ativos da Ardwell e propõe que as compras exijam dos fornecedores atualizações assinadas, redigindo a cláusula. O Prof. Brenner observa que a governança muitas vezes para no sistema operacional porque o firmware é invisível, mas o NIST SP 800-53 Rev. 5 inclui controles de integridade de sistema e de firmware, que dão base para fazer aos fornecedores as perguntas certas.

8.3 Cadeia de suprimentos

Todo componente de hardware chega por uma cadeia de suprimentos. Nadia lista os fornecedores da Ardwell para dispositivos do sistema de controle e anota quais oferecem atualizações de segurança e por quanto tempo. Dois dispositivos mais antigos já passaram do período de suporte do fabricante, então novas vulnerabilidades não serão corrigidas. Ela registra isso como risco, com opções: substituir, isolar ou aceitar com monitoramento compensatório, e o acrescenta ao registro de riscos. Aprende que a gestão de riscos da cadeia de suprimentos faz parte da função Govern do NIST CSF 2.0, o que liga o conhecimento de arquitetura à supervisão do conselho.

Exemplo resolvido

Nadia acrescenta ao inventário os dispositivos do sistema de controle e seu firmware, exige atualizações assinadas e registra os dispositivos sem suporte como risco.

Caso sintético. Os dispositivos e os fornecedores são sintéticos; as normas citadas são reais.

Erros e limites

Os inventários ficam desatualizados. As datas de suporte dos fornecedores mudam.

Exercícios

• EX022 — Escopo do inventário. O que o inventário de ativos da Ardwell precisa incluir além de servidores e notebooks?
  Mostrar critérios de avaliação

  Rubrica: 3 = os dispositivos do sistema de controle nas subestações;; 2 = dispositivos de OT;; 1 = vago;; 0 = nenhuma.
• EX023 — Risco do firmware. Por que um firmware comprometido importa?
  Mostrar critérios de avaliação

  Rubrica: 3 = pode contornar os controles do sistema operacional;; 2 = contornar;; 1 = vago;; 0 = nenhuma.
• EX024 — Opções sem suporte. Que opções existem para os dois dispositivos sem suporte?
  Mostrar critérios de avaliação

  Rubrica: 3 = substituir, isolar ou aceitar com monitoramento;; 2 = três opções;; 1 = vago;; 0 = nenhuma.

Síntese

O conhecimento de arquitetura estende a governança ao firmware, aos dispositivos e à cadeia de suprimentos.