Capítulo 3 — Prática autorizada e tratamento de evidências

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX011.

flowchart TD
  N0["3.1 Por que a autorização é um problema de coordenaç"]
  N1["3.2 O que contém uma autorização válida"]
  N2["3.3 Registros de decisão"]
  N3["3.4 Tratamento de evidências pelo coordenador"]
  N4["3.5 Compartilhamento: o Traffic Light Protocol"]
  N5["3.7 Atividade prática"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX011"]

Desenho lógico

flowchart LR
  N0["3.1 Por que a autorização é um problema de coordenaç"]
  N1["3.2 O que contém uma autorização válida"]
  N2["3.3 Registros de decisão"]
  N3["3.4 Tratamento de evidências pelo coordenador"]
  N4["3.5 Compartilhamento: o Traffic Light Protocol"]
  N5["3.7 Atividade prática"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX011"]

[3.1 Por que a autorização é um problema de coordenaç]
    |
    v
[3.2 O que contém uma autorização válida]
    |
    v
[3.3 Registros de decisão]
    |
    v
[3.4 Tratamento de evidências pelo coordenador]
    |
    v
[3.5 Compartilhamento: o Traffic Light Protocol]
    |
    v
[3.7 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX011]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• explicar quem pode autorizar trabalho de segurança num serviço essencial e o que contém uma autorização válida;
• escrever um registro de decisão que resista às perguntas de um regulador ou auditor um ano depois;
• gerenciar as evidências que um programa de coordenação produz: o que guardar, onde, por quanto tempo e quem pode vê-las;
• compartilhar informações sensíveis com parceiros usando um esquema de marcação acordado (o Traffic Light Protocol).

O Capítulo 2 identificou quem decide. Este capítulo torna as suas decisões explícitas, registradas e seguras para compartilhar.

3.1 Por que a autorização é um problema de coordenação

O trabalho de segurança num serviço essencial — uma avaliação, uma varredura de vulnerabilidades, uma sessão de manutenção de fornecedor, um teste de intrusão, até mesmo "só dar uma olhada" na configuração de um controlador — pode afetar o serviço. Em ambientes de controle, o NIST observa que algumas atividades rotineiras de TI, incluindo a varredura ativa, podem perturbar as operações (NIST SP 800-82 Rev. 3). A autorização existe para que a pessoa responsável pela consequência concorde de antemão com o que vai acontecer, e para que todos possam depois mostrar o que foi acordado.

O coordenador costuma ser quem monta uma autorização: redige o escopo, obtém as assinaturas certas, distribui o documento e o guarda. Raramente é quem a concede.

3.2 O que contém uma autorização válida

Use os elementos a seguir para qualquer avaliação, teste ou trabalho de terceiros em sistemas operacionais. O guia de testes do NIST descreve regras de engajamento com conteúdo semelhante para avaliações técnicas (NIST SP 800-115).

Tabela da aula; deslize para ver todas as colunas →

Uma condição de parada é um evento acordado de antemão que encerra o trabalho imediatamente — "qualquer alarme inesperado na estação; qualquer pedido de um operador; qualquer perda de visão nas telas dos operadores". As condições de parada transformam "tome cuidado" em algo verificável.

3.3 Registros de decisão

A coordenação produz decisões: aceitar um risco, adiar uma correção, isolar uma estação, notificar um regulador. Um registro de decisão é uma nota curta e datada que registra:

1. a decisão, numa frase;
2. quem a tomou, e sob qual autoridade;
3. as opções consideradas e por que esta foi escolhida;
4. as informações disponíveis na época, e o que era desconhecido;
5. condições e data de revisão ("rever se o fornecedor lançar uma correção, ou até 30 de junho");
6. quem foi informado.

O objetivo do item 4 é a justiça com quem decidiu. Uma decisão tomada às 02:00 com informações parciais pode ser boa mesmo que o resultado seja ruim. Sem um registro, a retrospectiva reescreve a história. Com um registro, a organização consegue aprender quais decisões foram ruins e quais foram azaradas.

3.4 Tratamento de evidências pelo coordenador

Um coordenador lida com três tipos de evidência:

• Evidências de governança — autorizações, registros de decisão, aceitações de risco, atas de reunião, relatórios de exercícios. Guardadas como registro da organização; proteja a integridade (quem mudou o quê) e retenha conforme a política.
• Evidências de incidente — logs, imagens e e-mails reunidos durante um incidente. A sua coleta é trabalho técnico; o coordenador garante que ela seja pedida cedo, que a custódia seja registrada e que o acesso seja limitado. As orientações do NIST para resposta a incidentes enfatizam a preparação da coleta de evidências antes que os incidentes aconteçam (NIST SP 800-61 Rev. 3).
• Informações sensíveis de projeto — diagramas de rede, relatórios de vulnerabilidades, listas de acesso de fornecedores. Não são evidência de irregularidade, mas são muito úteis a um atacante. Armazene-as num local com controle de acesso, nunca em conversas gerais de e-mail.

Três regras práticas: um local oficial por tipo de registro; um dono nomeado para cada local; e nenhum segredo (senhas, chaves) em nenhum registro.

3.5 Compartilhamento: o Traffic Light Protocol

Os parceiros — o CSIRT nacional, um grupo setorial de compartilhamento de informações, o hospital — precisam de informações para se proteger. O Traffic Light Protocol (TLP) é um esquema de marcação amplamente usado que diz aos destinatários até onde podem compartilhá-las (FIRST, TLP 2.0):

• TLP:RED — apenas para os destinatários nomeados;
• TLP:AMBER — os destinatários podem compartilhar dentro da sua organização e com os clientes dela, conforme a necessidade de saber; TLP:AMBER+STRICT limita o compartilhamento apenas à organização do destinatário;
• TLP:GREEN — pode ser compartilhado dentro da comunidade do destinatário, não publicamente;
• TLP:CLEAR — sem restrição além dos direitos autorais normais.

O TLP marca a permissão de compartilhamento, não uma classificação de confidencialidade, e não substitui obrigações legais. Marque a linha de assunto e o início da mensagem, e escolha o rótulo menos restritivo que ainda proteja as pessoas.

3.6 Exemplo resolvido: autorizando a avaliação de um fornecedor (sintético)

A ScadaCo oferece uma "verificação de saúde de segurança" gratuita do sistema de controle da estação de tratamento. A coordenadora redige a autorização:

• Finalidade: revisar a configuração dos servidores de supervisão segundo o guia de endurecimento da ScadaCo.
• No escopo: os dois servidores de supervisão da KW-TW e a sua documentação. Fora do escopo: todos os controladores das estações, o sistema de dosagem, o firewall da rede.
• Permitido: revisão somente leitura de arquivos de configuração exportados, entrevista supervisionada com J. Tan. Proibido: varredura de rede, instalação de software, alteração de qualquer configuração, cópia de dados para fora do local, exceto o relatório final.
• Pessoas: M. Ilic (ScadaCo), supervisionado por J. Tan.
• Janela: 21 de abril de 2026, 09:00–13:00, horário local.
• Condições de parada: qualquer pedido de um operador; qualquer alarme na KW-TW.
• Tratamento de dados: o relatório é marcado como TLP:AMBER+STRICT, entregue pelo serviço seguro de transferência de arquivos acordado e armazenado na biblioteca de registros de segurança; a ScadaCo apaga as anotações de trabalho em até 14 dias e confirma por escrito.
• Autoridade: A. Mensah (gerente de operações, dono da KW-TW); o gerente de serviços da ScadaCo assina em conjunto.

No dia, M. Ilic pede para "rodar rapidinho uma ferramenta de descoberta para conferir as versões". J. Tan recusa, porque a autorização proíbe varreduras, e registra o pedido. O registro de decisão anota a recusa e que a verificação de versões será feita a partir da documentação. Isso é a autorização funcionando como pretendido.

3.7 Atividade prática

Pegue qualquer visita rotineira de fornecedor numa organização que você conheça e escreva a sua autorização no formato da tabela da seção 3.2. Marque quais elementos você não conseguiu preencher; essas são as lacunas na prática dessa organização.

Escolha uma visita que toque um sistema que preocuparia alguém, como uma sessão de manutenção num controlador, e não uma faxina ou uma entrega. Escreva as condições de parada como eventos que qualquer pessoa no local consiga reconhecer. Depois pergunte a quem assinaria como dono do serviço se concorda com o seu escopo e as suas exclusões; a resposta costuma revelar um sistema que você esqueceu. Guarde o seu rascunho e os comentários dessa pessoa juntos, como evidência da lacuna que você encontrou.

3.8 Erros comuns e limites

• "OK verbal" de alguém sem autoridade sobre o serviço.
• Escopo escrito como "a rede de TO", sem exclusões.
• Nenhuma condição de parada, ou condições de parada que ninguém no local conhece.
• Registros de decisão escritos depois que o resultado é conhecido.
• Enviar informações de projeto como anexos de e-mail comuns.

• Usar o TLP como se fosse uma classificação legal ou para esconder informações de quem precisa delas.

• Deixar o fornecedor redefinir o trabalho no próprio dia, como o pedido da ScadaCo para rodar uma ferramenta de descoberta teria feito se J. Tan não o tivesse recusado.

• Não manter registro de uma recusa, de modo que um revisor posterior não consegue ver que a autorização foi cumprida.

Exercícios — capítulo 3

EX011 — Conserte uma autorização. Objetivo: encontrar os elementos ausentes. Insumos: "OK para a Northgate fazer um pentest na rede de TO semana que vem — A. Mensah (pelo chat)". Passos: listar os elementos ausentes e reescrevê-la. Evidência esperada: lista de lacunas e reescrita. Rubrica: 3 = identifica finalidade, escopo e exclusões, atividades permitidas/proibidas, pessoas nomeadas, janela com fuso horário, condições de parada, tratamento de dados e autoridade por escrito; a reescrita exclui os sistemas de segurança e de dosagem e prefere métodos não intrusivos; 2 = a maioria dos elementos; 1 = edições pequenas; 0 = nada.

EX012 — Escreva um registro de decisão. Objetivo: registrar uma decisão com justiça. Insumos: às 02:10, o gerente de plantão decidiu manter a KW-05 em automático apesar de um login remoto inexplicado, porque a operação manual exigia convocar pessoal, com 90 minutos de espera. Passos: escrever o registro em seis partes. Evidência esperada: o registro. Rubrica: 3 = as seis partes, com os desconhecidos declarados na época (se o login era malicioso), condições (vigiar os valores de dosagem, rever às 06:00) e quem foi informado; 2 = faltam opções ou desconhecidos; 1 = apenas narrativa; 0 = nada.

EX013 — Escolha um rótulo TLP. Objetivo: aplicar o TLP 2.0. Insumos: (a) indicadores de uma campanha de phishing contra empresas de água, a enviar ao grupo setorial; (b) um relatório que nomeia os modelos de controladores sem correção da Kestrel Water, para o KVROC; (c) um aviso público para os clientes. Passos: escolher os rótulos e justificar. Evidência esperada: três rótulos. Rubrica: 3 = (a) GREEN (benefício à comunidade), (b) AMBER+STRICT ou RED (sensível para a empresa; o KVROC precisa dele), (c) CLEAR; razões dadas; 2 = rótulos sem razões; 1 = tudo RED; 0 = nada.

EX014 — Locais das evidências. Objetivo: organizar as evidências de governança. Insumos: autorizações na caixa de entrada de um engenheiro, aceitações de risco em atas do conselho, relatórios de exercícios num drive compartilhado, listas de acesso de fornecedores numa planilha enviada por e-mail todo mês. Passos: propor um esquema. Evidência esperada: esquema de um parágrafo, com donos. Rubrica: 3 = um local oficial com controle de acesso por tipo de registro, donos nomeados, retenção, histórico de versões, parar de enviar listas de acesso por e-mail; 2 = local sem donos; 1 = "usar o SharePoint"; 0 = nada.

EX015 — Teste da condição de parada. Objetivo: tornar a cautela verificável. Insumos: uma atualização de firmware de fornecedor na KW-09 programada para 13:00–15:00. Passos: escrever três condições de parada e dizer quem tem autoridade para acioná-las. Evidência esperada: condições e autoridade. Rubrica: 3 = condições observáveis (alarme inesperado, perda de visão, ultrapassagem das 15:00, pedido de um operador) e o operador de turno ou o gerente de operações podem parar sem justificativa; 2 = condições vagas; 1 = o fornecedor decide; 0 = nada.

Síntese do capítulo

A autorização faz o dono da consequência concordar de antemão com exatamente o que vai acontecer e permite que todos o provem depois. Uma autorização válida tem escopo com exclusões, atividades permitidas e proibidas, pessoas nomeadas, uma janela, condições de parada, tratamento de dados e autoridade por escrito. Os registros de decisão capturam o que se sabia na época; as evidências de governança ficam em locais controlados e com dono; o TLP diz aos parceiros até onde podem compartilhar.