Capítulo 7 — Criptografia e serviços de confiança: integração organizacional
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["7.1 Das normas aos processos"]
N1["7.2 Propriedade entre as unidades"]
N2["7.3 Compras e fornecedores"]
N3["7.4 Gerenciamento de mudanças"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["7.1 Das normas aos processos"]
N1["7.2 Propriedade entre as unidades"]
N2["7.3 Compras e fornecedores"]
N3["7.4 Gerenciamento de mudanças"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX031"]
[7.1 Das normas aos processos]
|
v
[7.2 Propriedade entre as unidades]
|
v
[7.3 Compras e fornecedores]
|
v
[7.4 Gerenciamento de mudanças]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) incorporar normas criptográficas aos processos organizacionais; (2) atribuir a propriedade entre as unidades; (3) integrar-se às compras, à revisão de arquitetura e ao gerenciamento de mudanças.
7.1 Das normas aos processos
Uma linha de base num documento não faz nada até que os processos a usem. Leila incorpora a norma criptográfica da Corvane a quatro processos: a revisão de arquitetura, em que os novos projetos precisam declarar os algoritmos e a propriedade das chaves; as compras, em que os fornecedores respondem a um questionário de criptografia; o gerenciamento de mudanças, em que as mudanças de TLS e de chaves precisam de um plano de reversão; e a integração de novos funcionários, em que os engenheiros aprendem a norma e suas razões. Ela publica a norma com uma lista de algoritmos aprovados e datas de desativação, seguindo a abordagem de transição da SP 800-131A, e designa a equipe de arquitetura de segurança para mantê-la.
7.2 Propriedade entre as unidades
Cada unidade de negócio indica um responsável por criptografia, encarregado do seu inventário, das renovações e das migrações. Leila conduz um fórum mensal em que os responsáveis compartilham problemas e avanços. A propriedade resolve um padrão observado no inventário: os certificados e as chaves sem dono claro eram justamente os que expiravam ou permaneciam em algoritmos descontinuados. Ela define uma matriz RACI: as unidades são responsáveis pelos seus sistemas, a arquitetura de segurança responde pela norma, as operações são consultadas sobre as mudanças e o comitê de riscos é informado trimestralmente.
7.3 Compras e fornecedores
As compras se tornam uma alavanca. Os novos contratos exigem suporte ao TLS 1.3, gerenciamento de chaves documentado, notificação de comprometimento de chaves dentro de um prazo definido e um roteiro de migração pós-quântica. Leila fornece um guia de pontuação para que a equipe de compras, que não é de criptógrafos, possa avaliar as respostas. A primeira licitação que usa o questionário rejeita um fornecedor cujas respostas revelaram chaves embutidas no código do seu produto. Ela observa que as compras não conseguem corrigir rapidamente os contratos existentes, de modo que as renovações se tornam a principal oportunidade com os fornecedores mais antigos. Ela também oferece à equipe de compras um treinamento curto sobre o guia.
7.4 Gerenciamento de mudanças
Mudanças criptográficas podem quebrar sistemas em silêncio, por exemplo a remoção de uma suíte de cifras que desconecta um parceiro. Leila acrescenta um modelo de mudança criptográfica: o que muda, quais clientes podem falhar, como detectar a falha, os passos de reversão e a notificação dos parceiros. As mudanças no EDI legado exigem aviso aos parceiros com semanas de antecedência. Depois que uma mudança desconecta inesperadamente um pequeno parceiro, ela acrescenta uma varredura de compatibilidade dos clientes antes de cada mudança. Integrar a criptografia ao gerenciamento de mudanças reduz tanto as indisponibilidades quanto a tentação de evitar mudanças de segurança por medo de quebrar alguma coisa.
Exemplo resolvido
Leila incorpora a norma à revisão de arquitetura, às compras, ao gerenciamento de mudanças e à integração de novos funcionários, nomeia responsáveis nas unidades com uma matriz RACI e acrescenta uma varredura de compatibilidade depois da desconexão de um parceiro.
Caso sintético. Os processos da Corvane são inventados; a SP 800-131A é real.
Erros e limites
Normas sem donos se degradam. Questionários de compras precisam de orientação de pontuação, ou as respostas ficam sem conferência.
Exercícios
-
EX031 — Quatro processos. Em quais quatro processos a norma foi incorporada? Rubrica: 3 = revisão de arquitetura, compras, gerenciamento de mudanças, integração de novos funcionários;; 2 = três;; 1 = um;; 0 = nenhuma.
-
EX032 — Padrão de propriedade. Que padrão do inventário a propriedade nas unidades resolveu? Rubrica: 3 = os certificados e as chaves sem dono eram os que expiravam ou ficavam em algoritmos descontinuados;; 2 = padrão;; 1 = vago;; 0 = nenhuma.
-
EX033 — Requisitos contratuais. Liste três requisitos contratuais para os novos fornecedores. Rubrica: 3 = três entre TLS 1.3, gerenciamento de chaves documentado, notificação de comprometimento, roteiro pós-quântico;; 2 = dois;; 1 = um;; 0 = nenhuma.
-
EX034 — Rejeição na licitação. Por que um fornecedor foi rejeitado na primeira licitação? Rubrica: 3 = as respostas revelaram chaves embutidas no código do seu produto;; 2 = chaves embutidas;; 1 = preço;; 0 = nenhuma.
-
EX035 — Varredura de compatibilidade. O que motivou a varredura de compatibilidade antes das mudanças? Rubrica: 3 = uma mudança desconectou inesperadamente um pequeno parceiro;; 2 = indisponibilidade;; 1 = auditoria;; 0 = nenhuma.
Síntese
A criptografia se torna prática organizacional quando as normas conduzem os processos, existem responsáveis em todas as unidades e as mudanças são gerenciadas quanto à compatibilidade.
Continue estudando — aula 07 (capítulo 07 de 12)
← Capítulo 06 · Índice das aulas · Capítulo 08 →
Continue para a próxima aula já escrita.