Capítulo 2 — Segurança da informação: seminário avançado | Mestrado Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Segurança da informação: seminário avançado

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 A visão das normas"]
  N1["2.2 Catálogos de controles e frameworks"]
  N2["2.3 Princípios de projeto"]
  N3["2.4 O argumento do seminário"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 A visão das normas"]
  N1["2.2 Catálogos de controles e frameworks"]
  N2["2.3 Princípios de projeto"]
  N3["2.4 O argumento do seminário"]
  N0 --> N1 --> N2 --> N3 --> Q["EX008"]

[2.1 A visão das normas]
    |
    v
[2.2 Catálogos de controles e frameworks]
    |
    v
[2.3 Princípios de projeto]
    |
    v
[2.4 O argumento do seminário]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) relacionar o treinamento de conscientização às normas de gestão e aos catálogos de controles; (2) ligar o comportamento dos usuários aos princípios de projeto; (3) construir um argumento que liga a intervenção ao desfecho.

2.1 A visão das normas

No seminário avançado, Priya situa seu tema nas normas reconhecidas. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) exige que uma organização que opera um sistema de gestão da segurança da informação torne as pessoas conscientes da política de segurança e da sua contribuição para ela. A ISO/IEC 27002:2022 dá orientações sobre conscientização, educação e treinamento como controle organizacional e de pessoas. A ISO/IEC 27000:2026, a visão geral atual da família, explica como esses documentos se encaixam. Priya observa que nenhuma delas prescreve um método de treinamento específico, o que deixa sua pergunta em aberto. Ela cita cada norma pela sua edição.

2.2 Catálogos de controles e frameworks

A NIST SP 800-53 Revisão 5 agrupa os controles de treinamento na sua família de conscientização e treinamento, incluindo o treinamento de letramento que abrange o reconhecimento de phishing. O NIST Cybersecurity Framework 2.0 situa a conscientização e o treinamento na sua função Proteger. Priya observa que os catálogos e os frameworks descrevem o que uma organização deve ter, enquanto seu estudo pergunta que forma de entregá-lo muda o comportamento. Ela registra essa diferença entre ter um controle e o controle funcionar, porque sua dissertação precisa tratar da segunda. O Dr. Bello concorda que essa distinção dá à dissertação um propósito claro, além de descrever os controles existentes.

2.3 Princípios de projeto

O Dr. Bello pede que o seminário leia o artigo de Saltzer e Schroeder de 1975, que inclui a aceitabilidade psicológica entre seus princípios de projeto: a proteção deve ser fácil o bastante para que as pessoas a apliquem de forma rotineira e correta. Priya argumenta que o feedback imediato segue esse princípio, porque ensina no momento do erro, e não meses depois. Os colegas contra-argumentam que o feedback também pode constranger os funcionários e reduzir os relatos. Ela acrescenta as taxas de relato como desfecho secundário para que o estudo possa detectar esse efeito colateral. A turma concorda que esse acréscimo fortalece o desenho.

2.4 O argumento do seminário

Priya apresenta seu argumento: o feedback imediato vai reduzir os cliques porque liga a lição a um erro concreto enquanto ele ainda está fresco. Ela declara a direção esperada e um tamanho plausível, alguns pontos percentuais, com base na literatura que encontrou. O Dr. Bello elogia o argumento por nomear um mecanismo e um efeito colateral. Ele pede que ela escreva que resultado contaria contra sua hipótese antes de ver qualquer dado, uma etapa que ela conclui no capítulo seguinte. Priya aceita a tarefa.

Exemplo resolvido

Priya situa o treinamento na ISO/IEC 27001, na ISO/IEC 27002, na SP 800-53 e no CSF 2.0, liga o feedback à aceitabilidade psicológica e acrescenta os relatos como desfecho secundário.

Caso sintético. As normas são parafraseadas; consulte as edições citadas.

Erros e limites

Presumir que um controle funciona porque uma norma o exige confunde ter com funcionar.

Exercícios

EX008 — Requisito da 27001. O que a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) exige sobre as pessoas? Rubrica: 3 = consciência da política e da sua contribuição;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX009 — Papel da 27000. O que é a ISO/IEC 27000:2026? Rubrica: 3 = a visão geral da família;; 2 = parcialmente correto;; 1 = só vocabulário;; 0 = nenhuma.
EX010 — Família da SP 800-53. Que família da SP 800-53 contém os controles de treinamento? Rubrica: 3 = conscientização e treinamento;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.
EX011 — Função do CSF. Que função do CSF 2.0 inclui a conscientização e o treinamento? Rubrica: 3 = Proteger;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.
EX012 — Princípio de projeto. Que princípio de Saltzer e Schroeder sustenta o feedback? Rubrica: 3 = aceitabilidade psicológica;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.
EX013 — Desfecho secundário. Que desfecho secundário é acrescentado? Rubrica: 3 = taxas de relato;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX014 — Tamanho esperado. Que tamanho de efeito Priya espera? Rubrica: 3 = alguns pontos percentuais;; 2 = parcialmente correto;; 1 = grande;; 0 = nenhuma.

Continue estudando — aula 02 (capítulo 02 de 08)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.