Capítulo 8 — Arquitetura e engenharia de segurança: casos difíceis

Capítulo 8 — Arquitetura e engenharia de segurança: casos difíceis

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX036.

flowchart TD
  N0["8.1 O scanner sem patches"]
  N1["8.2 Uma fusão"]
  N2["8.3 Quando nenhuma resposta é limpa"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX036"]

Desenho lógico

flowchart LR
  N0["8.1 O scanner sem patches"]
  N1["8.2 Uma fusão"]
  N2["8.3 Quando nenhuma resposta é limpa"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX036"]

[8.1 O scanner sem patches]
    |
    v
[8.2 Uma fusão]
    |
    v
[8.3 Quando nenhuma resposta é limpa]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX036]

Objetivos de aprendizagem

Você vai (1) lidar com um dispositivo legado que não consegue atender à arquitetura; (2) gerenciar a fusão de duas redes; (3) raciocinar sobre casos sem resposta limpa.

8.1 O scanner sem patches

O scanner de imagem de uma clínica roda um sistema operacional que o fabricante não suporta mais, e substituí-lo custaria mais do que o orçamento anual de equipamentos da clínica. Ele não consegue entrar no projeto ciente de identidade. Priya o trata como uma exceção documentada: isolá-lo em um segmento próprio, permitir que apenas o arquivo de imagens converse com ele, monitorar esse tráfego e fixar uma data de substituição no plano de investimentos. O comitê de governança clínica aceita o risco residual por escrito. Exceções são riscos gerenciados, e não falhas escondidas.

8.2 Uma fusão

A Corvane adquire um grupo fictício de clínicas privadas, a Hollin Care, com uma rede plana e contas de administrador compartilhadas. Conectar as duas redes rapidamente importaria as fraquezas da Hollin; mantê-las separadas bloqueia os prontuários compartilhados dos pacientes. Priya propõe uma integração escalonada: primeiro, uma conexão intermediada apenas para aplicações específicas; segundo, a equipe da Hollin migra para identidades da Corvane; terceiro, a rede da Hollin é reconstruída segundo a segmentação da Corvane. Cada etapa tem critérios de entrada. Ela usa a modelagem de ameaças de Shostack (2014) para analisar a conexão intermediada antes que qualquer tráfego passe por ela.

8.3 Quando nenhuma resposta é limpa

Os dois casos forçam trade-offs em que toda opção deixa risco. Priya segue um padrão: declarar as opções, o risco que cada uma deixa e quem o aceita; escolher a opção que preserva o atributo mais importante, aqui a disponibilidade do atendimento; e fixar uma data para revisitar. Ela escreve que o objetivo nos casos difíceis não é eliminar o risco, mas torná-lo visível, com responsável e temporário sempre que possível. A Dra. Voss observa que esse é o núcleo do trabalho de arquitetura sênior, em que as respostas de livro raramente se encaixam.

Exemplo resolvido

Priya isola um scanner sem suporte como exceção documentada, planeja uma integração de fusão em três etapas e aplica um padrão consistente a casos sem resposta limpa.

Caso sintético. O scanner, a Hollin Care e as decisões são sintéticos; Shostack (2014) é real.

Erros e limites

As exceções tendem a se tornar permanentes sem datas. Fusões escalonadas emperram sob pressão do negócio.

Exercícios

• EX036 — Tratamento do scanner. Como o scanner sem suporte foi tratado? Rubrica: 3 = isolado, limitado ao arquivo de imagens, monitorado, com data de substituição;; 2 = isolamento;; 1 = substituído já;; 0 = nenhuma.

• EX037 — Responsável pela exceção. Quem aceitou o risco residual do scanner? Rubrica: 3 = o comitê de governança clínica, por escrito;; 2 = comitê;; 1 = arquiteta;; 0 = nenhuma.

• EX038 — Dilema da fusão. Por que nem a conexão rápida nem a separação total eram aceitáveis? Rubrica: 3 = a rápida importa fraquezas; a separação bloqueia os prontuários compartilhados;; 2 = os dois lados;; 1 = vago;; 0 = nenhuma.

• EX039 — Primeira etapa da fusão. Qual foi a primeira etapa da fusão? Rubrica: 3 = uma conexão intermediada apenas para aplicações específicas;; 2 = intermediada;; 1 = junção total;; 0 = nenhuma.

• EX040 — Objetivo nos casos difíceis. Qual é o objetivo nos casos difíceis? Rubrica: 3 = tornar o risco visível, com responsável e temporário sempre que possível;; 2 = visível;; 1 = eliminar todo risco;; 0 = nenhuma.

Síntese

Casos difíceis são tratados com exceções documentadas, planos em etapas e risco visível, com dono e com data.

Continue estudando — aula 08 (capítulo 08 de 12)

← Capítulo 07 · Índice das aulas · Capítulo 09 →

Continue para a próxima aula já escrita.