Capítulo 1 — Tomada de decisão avançada em segurança
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 Objetos de decisão"]
N1["1.2 Tipos de incerteza"]
N2["1.3 Aceitação versus adiamento"]
N3["1.4 Legibilidade para o examinador"]
N4["1.5 Autoridade"]
N5["1.6 Prática"]
N6["1.7 Narrativa"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 Objetos de decisão"]
N1["1.2 Tipos de incerteza"]
N2["1.3 Aceitação versus adiamento"]
N3["1.4 Legibilidade para o examinador"]
N4["1.5 Autoridade"]
N5["1.6 Prática"]
N6["1.7 Narrativa"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]
[1.1 Objetos de decisão]
|
v
[1.2 Tipos de incerteza]
|
v
[1.3 Aceitação versus adiamento]
|
v
[1.4 Legibilidade para o examinador]
|
v
[1.5 Autoridade]
|
v
[1.6 Prática]
|
v
[1.7 Narrativa]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) estruturar decisões sob incerteza para programas de testes autorizados; (2) separar a aceitação de risco do pensamento desejoso; (3) usar registros de decisão que examinadores consigam acompanhar; (4) recusar decisões que não têm responsável.
1.1 Objetos de decisão
Na Meridian Clearing House, Amira Hassan trata cada escolha importante de testes como um objeto com cinco campos: opções, evidências, incertezas, recomendação e responsável. "Deveríamos fazer mais red team" não é um objeto de decisão enquanto esses campos não forem escritos, porque os examinadores não conseguem ver o que foi sacrificado. A DEC-14 rejeita trabalho anual guiado por ameaças porque a capacidade do white team não cobre dois ciclos completos sem tomar emprestados analistas do SOC da operação do dia a dia. O CISO aceita esse limite de capacidade por escrito, e Amira arquiva a aceitação ao lado da tabela de opções, para que um examinador futuro veja que a troca foi assumida, e não subentendida.
1.2 Tipos de incerteza
Ela distingue a incerteza aleatória (taxas de detecção ruidosas) da incerteza epistêmica (não se sabe se existe um canal de conexão). Intervalos no estilo de Wilson ajudam na primeira; oficinas de arquitetura ajudam na segunda. Misturá-las produz falsa precisão, e é assim que os materiais do conselho ganham uma única porcentagem que finge certeza. Na DEC-14, ela marca o ruído da taxa de detecção como aleatório e o canal desconhecido adjacente ao SWIFT como epistêmico; a oficina de arquitetura seguinte tem data e um líder nomeado. Seus registros de decisão indicam qual incerteza é qual, para que um leitor futuro saiba o que mais dados poderiam resolver e o que só o trabalho de desenho pode resolver.
1.3 Aceitação versus adiamento
Aceitar risco residual exige um aceitante nomeado, uma data de expiração e um controle compensatório. Adiar um teste porque "o ano que vem é melhor", sem data, não é aceitação nem gestão — é deriva. A exclusão adjacente ao SWIFT nomeia o CISO como aceitante, expira na próxima revisão do catálogo e lista o isolamento de rede e o MFA no jump host como controles compensatórios. Amira não arquiva uma aceitação se qualquer um desses três campos estiver em branco, e não trata um adiamento sem prazo como substituto deles. Um examinador que lê o registro deve ver uma escolha deliberada, e não uma conversa adiada disfarçada de gestão.
1.4 Legibilidade para o examinador
Os registros de decisão respondem: o que foi escolhido, o que foi rejeitado, quais evidências contaram e o que continua desconhecido. Amira rejeita registros que soam como slogans; frases como "levamos a segurança a sério" são apagadas dos rascunhos antes de saírem da mesa dela. Um registro legível da DEC-14 declara que foram escolhidos testes web trimestrais no estilo do WSTG mais um exercício bienal guiado por ameaças, que o exercício anual guiado por ameaças foi rejeitado por capacidade e que os sistemas adjacentes ao SWIFT continuam excluídos. Um diretor que perdeu a reunião consegue reconstruir a troca sem ligar para Amira, e um sucessor consegue continuar o programa sem pedir a ela o folclore.
1.5 Autoridade
Somente os papéis listados no estatuto de governança podem aceitar risco residual adjacente a pagamentos: o CISO, para exclusões comuns, e o comitê de riscos do conselho, para escolhas que afetam todo o programa. Amira escala em vez de inventar autoridade, porque a autoridade inventada desmorona diante do questionamento do examinador. Quando um responsável de produto pede que ela aceite o que só o CISO pode aceitar, ele recebe um escalonamento com o trecho do estatuto anexado, e não um aceno discreto. Ela mantém o mesmo trecho ao lado de cada registro de aceitação, para que qualquer pessoa que leia o arquivo depois possa verificar que quem assinou tinha direito de assinar.
1.6 Prática
A clínica semanal de decisões pega uma escolha real (sintética), como adiar o exercício guiado por ameaças em um trimestre, e dedica vinte minutos a ela. A sessão termina com opções, evidências e responsável escritos antes de alguém sair da sala. Os juniores apresentam primeiro; Amira edita para dar clareza, e não para suavizar conclusões. Ela lança o registro no log de decisões no mesmo dia, para que a clínica não vire uma conversa de corredor sem documentação. Vinte minutos bastam quando a escolha é concreta, e o hábito de terminar com um registro escrito é o que a clínica realmente treina.
1.7 Narrativa
Amira guarda os registros DEC em uma pasta que a auditoria interna amostrou no ano passado sem encontrar adiamentos sem data; a carta da amostragem está fixada acima do monitor dela. Quando um VP pede um sim rápido para ampliar o escopo às redes dos participantes, ela abre um objeto de decisão em branco no projetor e preenche as opções em voz alta até que o VP assuma a responsabilidade ou retire o pedido. O ritual parece lento e evita a inflação silenciosa de escopo entre os participantes da compensação. Três adjuntos já escreveram registros DEC que a auditoria aceitou sem alterações.
Exemplo resolvido (MCH sintética)
O registro DEC-14 de Amira escolhe testes web trimestrais no estilo do WSTG mais um exercício bienal guiado por ameaças; rejeita o exercício anual guiado por ameaças por razões de capacidade; e lista os sistemas adjacentes ao SWIFT como fora do escopo comum, com o CISO como aceitante dessa exclusão.
Caso sintético — Meridian Clearing House (MCH). A organização de compensação, Amira Hassan e todos os números foram inventados para fins didáticos.
Erros e limites
Testes guiados por ameaças e de sistemas de compensação exigem autorização jurídica especializada. Este livro só usa casos sintéticos e não traz código de exploração nem roteiro de ataque ao mercado.
Exercícios
- EX001 — Campos do objeto de decisão. Liste cinco campos de um objeto de decisão. Rubrica: 3 = cinco entre opções, evidências, incertezas, recomendação, responsável e opções rejeitadas; 2 = três; 1 = um; 0 = nada.
- EX002 — Aleatória versus epistêmica. Dê um exemplo de cada uma na MCH. Rubrica: 3 = os dois tipos corretos; 2 = um; 1 = trocados; 0 = nada.
- EX003 — Adiamento ruim. Por que "testar no ano que vem", sem data, é um problema? Rubrica: 3 = deriva / nem aceita nem gerencia; 2 = parcial; 1 = está tudo bem; 0 = nada.
- EX004 — Autoridade. Quem pode aceitar risco residual adjacente a pagamentos? Rubrica: 3 = papéis do estatuto de governança / nível de CISO; 2 = parcial; 1 = qualquer engenheiro; 0 = nada.
- EX005 — O que a DEC-14 rejeita. O que a DEC-14 rejeita e por quê? Rubrica: 3 = o exercício anual guiado por ameaças, por capacidade; 2 = parcial; 1 = todos os testes; 0 = nada.
Síntese
Decisões são objetos com responsável e com as incertezas nomeadas; slogans e adiamentos sem data não contam.
Continue estudando — capítulo 01 de 12
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →