Capítulo 48 — Dossiê de evidências
Mapa da aula
Aula 48 publicada. Mapa, exemplo, EX142.
flowchart TD
N0["48.1 Argumento de garantia"]
N1["48.2 Tipos de evidência"]
N2["48.3 Hipóteses"]
N3["48.4 Riscos residuais"]
N4["48.5 Público"]
N5["Nota de prática — contraevidências"]
N6["Mantendo o dossiê vivo"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX142"]
Desenho lógico
flowchart LR
N0["48.1 Argumento de garantia"]
N1["48.2 Tipos de evidência"]
N2["48.3 Hipóteses"]
N3["48.4 Riscos residuais"]
N4["48.5 Público"]
N5["Nota de prática — contraevidências"]
N6["Mantendo o dossiê vivo"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX142"]
[48.1 Argumento de garantia]
|
v
[48.2 Tipos de evidência]
|
v
[48.3 Hipóteses]
|
v
[48.4 Riscos residuais]
|
v
[48.5 Público]
|
v
[Nota de prática — contraevidências]
|
v
[Mantendo o dossiê vivo]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX142]
Objetivos de aprendizagem
Você vai (1) montar um dossiê de evidências que sustente a afirmação de que o Lantern e sua extensão de vigilância de fornecedores são adequados ao propósito; (2) estruturar um argumento de garantia; (3) ligar cada afirmação a evidências com proteção de integridade; (4) declarar os riscos residuais e as hipóteses.
48.1 Argumento de garantia
Afirmação principal: "O Lantern entrega aos defensores de TI e OT da BEN inteligência oportuna, confiável e coletada legalmente, com risco aceitável." Subafirmações: oportunidade, exatidão, conformidade com o TLP e a privacidade, segurança das recomendações de OT, confiabilidade, manutenibilidade. Cada subafirmação cita evidências. Kofi desenhou o argumento como uma árvore, para que os leitores vissem como cada subafirmação sustenta a principal. O ramo da oportunidade aponta para os resultados de verificação e para um trimestre de métricas de produção; o ramo da segurança aponta para os testes dos intertravamentos e para a revisão de projeto. Um leitor que duvide de um ramo pode segui-lo até as evidências sem ler o resto.
48.2 Tipos de evidência
Relatórios de verificação, resultados de validação, registros de exercícios, resultados de revisões, métricas de um trimestre, avaliação de privacidade e retorno dos parceiros. Cada item tem data, autor, versão e hash SHA-256 registrados em um índice. O índice permite a um revisor confirmar que um item não mudou desde que foi citado, como mostra o exemplo resolvido. Kofi mantém as evidências em um armazenamento somente leitura e o índice no dossiê. Um item sem data ou autor não é aceito, porque ninguém poderia julgar se ainda é relevante.
48.3 Hipóteses
O argumento depende de hipóteses: os parceiros rotulam o TLP corretamente; o NTP é confiável; os engenheiros de OT seguem a regra das duas pessoas. As hipóteses são declaradas e, quando possível, monitoradas. Kofi lista como cada hipótese é conferida. TLP mal rotulado pelos parceiros aparece como rejeições na barreira e correções dos parceiros, contadas mensalmente. A sincronização de tempo é monitorada desde a falha de defasagem de relógio no laboratório de verificação. A adesão à regra das duas pessoas é conferida nos registros de aprovação. Uma hipótese que não pode ser monitorada é sinalizada como fraqueza do argumento.
48.4 Riscos residuais
Formatos de parceiros nunca vistos, envenenamento por adversários que imita padrões legítimos, rotatividade da equipe. Cada risco tem um responsável e a aceitação de um gestor responsável. Kofi escreve cada risco com o que aconteceria se ocorresse e com o que o reduz. O envenenamento que parece legítimo é o mais difícil, já que a lista de permissões só pega fornecedores conhecidos, uma lacuna que Kofi também admite na defesa final, no Capítulo 50. A rotatividade da equipe é reduzida pela documentação e pelo trabalho em par. O gestor responsável assina a aceitação, o que deixa claro que o risco é uma decisão de negócio, e não um descuido de engenharia.
48.5 Público
O dossiê serve ao comitê de riscos da BEN, aos auditores e aos futuros engenheiros. Um resumo de duas páginas vem na frente; as evidências completas ficam por trás dele. Cada público lê de um jeito. O comitê de riscos lê o resumo e os riscos residuais. Os auditores amostram as evidências e conferem os hashes. Os futuros engenheiros precisam das hipóteses e das razões de projeto, para saber o que precisa continuar verdadeiro se mudarem algo. Kofi pediu a um membro de cada grupo que lesse um rascunho e dissesse o que não conseguiu encontrar. Duas lacunas foram corrigidas assim.
Nota de prática — contraevidências
O dossiê também inclui evidências contra as afirmações, como o exercício D2 que falhou e sua correção. Omitir as contraevidências faz um argumento parecer mais forte e ser mais fraco.
Mantendo o dossiê vivo
Depois da entrada em produção, o dossiê é atualizado a cada trimestre com novas métricas e registros de exercícios. Afirmações cujas evidências passaram da data de revisão são marcadas como precisando de renovação até que cheguem evidências novas.
Exemplo resolvido
O índice de Kofi lista 37 itens de evidência. Um revisor escolhe cinco ao acaso, recalcula seus hashes e descobre que todos batem. Uma subafirmação — a manutenibilidade — se apoia em um único teste de documentação; o revisor pede uma segunda evidência, e Kofi acrescenta a tendência do registro de dívida técnica.
Caso sintético. As contagens são inventadas.
Erros e limites
Um argumento de garantia mostra razões para confiança, não uma prova de segurança. As evidências envelhecem; fixe datas de revisão.
Exercícios
- EX142 — Subafirmações. Liste quatro subafirmações sob a afirmação principal do Lantern. Rubrica: 3 = quatro entre oportunidade, exatidão, TLP/privacidade, segurança de OT, confiabilidade, manutenibilidade; 2 = duas; 1 = uma; 0 = nenhuma.
- EX143 — Conferência por hash. O que o recálculo dos hashes pelo revisor confirma? Rubrica: 3 = os arquivos de evidência não mudaram desde a indexação; 2 = integridade, de forma vaga; 1 = a evidência é verdadeira; 0 = nenhuma.
- EX144 — Contraevidência. Por que incluir no dossiê o exercício D2 que falhou? Rubrica: 3 = honestidade; mostra a fraqueza e a correção; reforça a credibilidade; 2 = parcial; 1 = omitir; 0 = nenhuma.
Síntese
Argumente com estrutura, indexe as evidências com hashes, declare hipóteses e riscos residuais e inclua as contraevidências.
Continue estudando — capítulo 48 de 50
← Capítulo 47 (rascunho) · Índice de capítulos do curso · Capítulo 49 (rascunho) →