Capítulo 7 — Integração organizacional
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX031.
flowchart TD
N0["7.1 Mapa de integração"]
N1["7.2 Programas paralelos"]
N2["7.3 Cadência"]
N3["7.4 Métricas de saúde"]
N4["7.5 Cuidado com os participantes"]
N5["7.6 Modo de falha"]
N6["7.7 Narrativa"]
N7["7.8 Slide da anistia"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX031"]
Desenho lógico
flowchart LR
N0["7.1 Mapa de integração"]
N1["7.2 Programas paralelos"]
N2["7.3 Cadência"]
N3["7.4 Métricas de saúde"]
N4["7.5 Cuidado com os participantes"]
N5["7.6 Modo de falha"]
N6["7.7 Narrativa"]
N7["7.8 Slide da anistia"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX031"]
[7.1 Mapa de integração]
|
v
[7.2 Programas paralelos]
|
v
[7.3 Cadência]
|
v
[7.4 Métricas de saúde]
|
v
[7.5 Cuidado com os participantes]
|
v
[7.6 Modo de falha]
|
v
[7.7 Narrativa]
|
v
[7.8 Slide da anistia]
|
v
[Exemplo resolvido] --> [Exercício EX031]
Objetivos de aprendizagem
Você vai (1) integrar os testes ao SOC, à gestão de riscos, à área jurídica e aos participantes; (2) desenhar fluxos de informação; (3) evitar programas paralelos; (4) medir a saúde da integração.
7.1 Mapa de integração
Amira desenha quem recebe o quê: o SOC recebe tags do ATT&CK e linhas do tempo; a gestão de riscos recebe riscos residuais classificados; a área jurídica recebe os fatos relevantes para divulgação; os participantes recebem apenas o que os contratos permitem. Um achado marcado com técnicas do ATT&CK para o SOC é reescrito para a gestão de riscos como risco residual classificado antes de circular. Os avisos aos participantes usam apenas fatos permitidos pelo contrato, de modo que uma linha do tempo do SOC nunca chega a um membro da compensação por encaminhamento; compartilhar demais no canal errado é como se quebra a confiança dos participantes da compensação. O diagrama fica no manual de integração e é revisado sempre que surge uma nova parte interessada.
7.2 Programas paralelos
Unidades de negócio que contratam pequenas empresas de varredura sem ROE criam risco paralelo; integração significa um só catálogo e um só caminho de autorização. Uma varredura avulsa sem ROE não tem autoridade de parada nem lista de exclusões, então pode tocar hosts adjacentes ao SWIFT sem que ninguém perceba. A semana de anistia convida as unidades a declarar essas varreduras, para que as varreduras paralelas entrem no catálogo ou parem. As varreduras declaradas que continuam passam pelo mesmo caminho de autorização dos testes web trimestrais no estilo do WSTG conduzidos pela própria Amira, e, depois da semana de anistia, toda varredura externa entra pelo mesmo formulário de pedido usado pelos testes internos. Varreduras não declaradas descobertas depois viram achados de auditoria contra a unidade, e não exceções silenciosas.
7.3 Cadência
Amira faz uma sincronização trimestral com o SOC sobre os orçamentos de ruído, uma revisão mensal com a gestão de riscos sobre as expirações de aceitações e reuniões pontuais com a área jurídica sobre divulgação. A sincronização com o SOC combina quantos alertas cada teste planejado pode gerar, para que os analistas consigam separar o ruído dos testes de ataques reais. Ela mantém os convites de calendário recorrentes, para que a integração não dependa da memória. Uma sincronização perdida é registrada como dívida do programa, e não como falha pessoal, e a lista de dívidas é revista na revisão seguinte do catálogo, para que faltas repetidas levem a uma mudança de cadência, e não a culpados.
7.4 Métricas de saúde
A saúde da integração é medida pela porcentagem de achados com responsável, pela porcentagem de testes que estão no catálogo e pela mediana do tempo entre o achado e o chamado de detecção. A mediana do tempo até o chamado de detecção é o número lento no quadro de indicadores do exemplo resolvido, e por isso a ponte entre o PulseMap e o backlog foi financiada. Amira recusa contagens de vaidade de achados brutos sem validação; elas ficam fora dos slides da gestão. As três métricas de saúde aparecem ao lado das contagens da anistia na mesma família de slides, para que o conselho veja a higiene do programa, e não o volume.
7.5 Cuidado com os participantes
Os participantes da compensação são clientes da confiança, e uma frase errada em um aviso a um participante pode causar um ruído no mercado que nenhuma severidade de achado justifica. Por isso, os modelos de comunicação são pré-aprovados pela área jurídica e pela gestão de participantes, e são as únicas palavras que saem do prédio. Amira não inventa redação sob pressão quando um aviso é necessário. Os modelos têm versão, e o número da versão é registrado com cada aviso, para que a área jurídica consiga reconstruir exatamente o que um participante recebeu e quando. Durante incidentes ligados a testes que envolvem participantes, ela rejeita e-mails improvisados, mesmo quando vêm de pessoas seniores.
7.6 Modo de falha
A integração falha quando os testes são um evento anual heroico sem backlog para a engenharia do dia a dia; o heroísmo sem backlog produz os mesmos problemas no ano seguinte, e os examinadores percebem quando eles voltam. A ponte entre o PulseMap e o backlog existe para que cada lacuna de detecção encontrada nos testes vire um chamado comum de engenharia, e não um slide. Todo achado que precisa de correção deve ter um chamado na fila comum de engenharia antes que Amira declare a integração saudável. Um achado que só aparece em materiais do conselho é contado como não integrado, por melhor que tenha sido apresentado.
7.7 Narrativa
A semana de anistia dos programas paralelos convida as unidades de negócio a declarar varreduras avulsas. Cada declaração nomeia o fornecedor, os alvos varridos e o líder da unidade que encomendou o trabalho. As varreduras declaradas entram no catálogo ou param, e as não declaradas descobertas depois viram achados de auditoria contra o líder da unidade. As regras são publicadas antes de a semana começar, porque uma anistia sem consequências para a ocultação posterior é teatro. No encerramento da semana, a lista de declarações vai para a auditoria interna, para que descobertas posteriores possam ser conferidas com ela sem discussão sobre o que foi declarado.
7.8 Slide da anistia
As métricas da semana de anistia — declaradas, catalogadas, paradas — vão para o comitê de riscos do conselho em um só slide. Manter as três contagens juntas permite ao comitê ver se as declarações levaram de fato à parada das ferramentas. A contagem de paradas é impressa no mesmo tamanho da contagem de declarações e fica no corpo do slide, nunca em nota de rodapé, para que ninguém leia o slide como uma lista de aprovações e para que um desligamento travado não possa ser escondido. A transparência sobre a contagem de paradas é o que mostra que a anistia teve dentes.
7.9 Resultados da anistia
A semana de anistia produziu doze declarações: oito catalogadas e quatro paradas. As quatro varreduras paradas não puderam ser colocadas sob ROE com autoridade de parada, por isso foram encerradas em vez de entrar no catálogo. O slide para o comitê de riscos usou apenas esses três números; os nomes das unidades ficaram no catálogo, mantendo o comitê concentrado em saber se a anistia funcionou. Amira recusa narrativas de anistia sem contagens. As unidades que ficaram em silêncio e foram descobertas varrendo depois receberam achados com os responsáveis nomeados na ata, e esses achados trazem as datas da anistia, para que nenhuma unidade possa alegar que nunca ouviu falar da janela.
7.10 Contagens arquivadas
As contagens da anistia são arquivadas com o hash da ata assinada do comitê, para que um leitor futuro possa verificar que os números relatados foram os que o comitê viu. A entrada do arquivo guarda juntas as contagens doze, oito e quatro, o arquivo do slide e o hash da ata. Amira também registra o hash no registro de alterações do catálogo, para que o registro sobreviva a uma troca de secretário do comitê. Ela já usou essa verificação quando uma unidade contestou se havia declarado; apresentar o hash encerrou a disputa.
Exemplo resolvido (MCH sintética)
O quadro de indicadores de integração de Amira mostra 100% de cobertura do catálogo, mas um tempo lento até o chamado de detecção; ela financia uma ponte entre o PulseMap e o backlog.
Caso sintético — Meridian Clearing House (MCH). A organização de compensação, Amira Hassan e todos os números foram inventados para fins didáticos.
Erros e limites
Testes guiados por ameaças e de sistemas de compensação exigem autorização jurídica especializada. Este livro só usa casos sintéticos e não traz código de exploração nem roteiro de ataque ao mercado.
Exercícios
- EX031 — Destinatários. Cite três grupos de destinatários e o que cada um recebe. Rubrica: 3 = três pares corretos; 2 = dois; 1 = um; 0 = nada.
- EX032 — Risco paralelo. O que transforma uma varredura avulsa em um programa paralelo? Rubrica: 3 = estar fora das ROE, do catálogo ou do caminho de autorização; 2 = parcial; 1 = usar fornecedores; 0 = nada.
- EX033 — Métrica de saúde. Dê duas métricas de saúde da integração. Rubrica: 3 = duas do capítulo; 2 = uma; 1 = contagem de vaidade de achados; 0 = nada.
- EX034 — Evento anual heroico. Por que um evento heroico apenas anual fracassa na integração? Rubrica: 3 = sem backlog no dia a dia / sem melhoria contínua; 2 = parcial; 1 = é o ideal; 0 = nada.
- EX035 — Ponte. Que ponte Amira financia no exemplo resolvido? Rubrica: 3 = do PulseMap para o backlog; 2 = parcial; 1 = mais varreduras; 0 = nada.
Síntese
Integração é um só catálogo, destinatários nomeados e backlog no dia a dia — e não heroísmo anual.
Continue estudando — capítulo 07 de 12
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →