OpenCyber Academy
Pós-graduação · Capítulo 4 · Português
Código do curso: OCA-140Capítulo 04: OCA-140-C004

Capítulo 4 — Inventário de ativos e de fornecedores

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["4.1 Ativos entre as unidades"]
  N1["4.2 Classificando a informação"]
  N2["4.3 Fornecedores"]
  N3["4.4 Responsabilidade"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["4.1 Ativos entre as unidades"]
  N1["4.2 Classificando a informação"]
  N2["4.3 Fornecedores"]
  N3["4.4 Responsabilidade"]
  N0 --> N1 --> N2 --> N3 --> Q["EX016"]

[4.1 Ativos entre as unidades]
    |
    v
[4.2 Classificando a informação]
    |
    v
[4.3 Fornecedores]
    |
    v
[4.4 Responsabilidade]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) montar um inventário de ativos confiável entre as unidades; (2) identificar os fornecedores com acesso a dados; (3) atribuir donos e classificações.

4.1 Ativos entre as unidades

O inventário de Elena fica numa planilha atualizada quando os dispositivos são comprados. Ela a compara com o sistema de gestão de dispositivos e com os registros da rede. Várias clínicas têm computadores de imagem comprados diretamente pelos dentistas e nunca registrados. Eles rodam sistemas operacionais antigos, porque os fornecedores do software de imagem não certificaram versões mais novas. O Dr. Qureshi observa que os dispositivos não registrados muitas vezes carregam o maior risco, porque ficam, por padrão, fora das correções, do monitoramento e do backup. Ela encontra onze computadores de imagem não registrados e os acrescenta ao inventário com a clínica, o fornecedor e a versão do sistema operacional.

4.2 Classificando a informação

Elena classifica as informações: os prontuários clínicos e as imagens dos pacientes como restritos, os dados de pagamento como restritos, os registros dos funcionários como confidenciais, as agendas de consultas como confidenciais e os materiais de marketing como internos. Cada classe tem regras de tratamento, como a cifração nos dispositivos portáteis para os dados restritos. Ela mantém o esquema em quatro níveis. A ISO/IEC 27002:2022 inclui orientações sobre a classificação e a rotulagem da informação, que ela usa como referência sem copiar seu texto. Ela imprime um guia de uma página para as clínicas, com exemplos de cada classe e as regras de tratamento, e os gerentes das clínicas o afixam nas salas da equipe.

4.3 Fornecedores

O Moorfield usa fornecedores para o sistema de prontuários, o software de imagem, os pagamentos, o e-mail e o suporte de TI nas três clínicas com contatos em tempo parcial. Elena lista os acessos e os dados de cada fornecedor. O fornecedor de imagem se conecta remotamente aos computadores das clínicas usando uma senha compartilhada conhecida pela sua equipe de suporte. Elena recomenda contas individuais, autenticação multifator e acesso habilitado apenas durante sessões de suporte aprovadas. O fornecedor de imagem concorda depois que Elena explica as exigências da seguradora do Moorfield, e a mudança é concluída ao longo de dois meses. Ela registra os acessos dos fornecedores num registro revisado a cada trimestre pelo comitê de segurança.

4.4 Responsabilidade

Cada ativo e cada relação com fornecedor precisa de um dono. Elena designa os gerentes das clínicas como donos dos dispositivos locais, o líder clínico como dono dos prontuários dos pacientes e a si mesma como dona dos sistemas centrais. As relações com fornecedores ficam com a pessoa que gerencia cada contrato. Ela registra os donos no inventário. O Dr. Qureshi observa que a responsabilidade torna a prestação de contas concreta, sobretudo nas organizações com muitas unidades. Os gerentes das clínicas recebem uma breve orientação explicando o que a responsabilidade significa na prática: saber que dispositivos estão na sua clínica, comunicar mudanças e confirmar as listas de acesso em cada revisão trimestral.

Exemplo resolvido

Elena concilia o inventário com os registros de dispositivos e da rede, encontra computadores de imagem não registrados, classifica as informações, restringe o acesso do fornecedor de imagem e atribui donos.

Caso sintético. Os inventários são sintéticos.

Erros e limites

Os dispositivos comprados fora das compras centrais muitas vezes escapam das correções e do backup.

Exercícios

Respostas comentadas

EX016. Computadores de imagem comprados diretamente pelos dentistas.

EX017. Os fornecedores de imagem não certificaram versões mais novas.

EX018. Os prontuários clínicos dos pacientes, as imagens e os dados de pagamento.

EX019. Contas individuais, autenticação multifator e acesso apenas durante as sessões.

EX020. O líder clínico.