Capítulo 5 — Infraestrutura crítica e segurança setorial: ferramentas e interpretação

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["5.1 O panorama dos frameworks"]
  N1["5.2 Lendo uma avaliação"]
  N2["5.3 Métricas que conduzem decisões"]
  N3["5.4 Interpretando constatações técnicas"]
  N4["5.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["5.1 O panorama dos frameworks"]
  N1["5.2 Lendo uma avaliação"]
  N2["5.3 Métricas que conduzem decisões"]
  N3["5.4 Interpretando constatações técnicas"]
  N4["5.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX021"]

[5.1 O panorama dos frameworks]
    |
    v
[5.2 Lendo uma avaliação]
    |
    v
[5.3 Métricas que conduzem decisões]
    |
    v
[5.4 Interpretando constatações técnicas]
    |
    v
[5.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• escolher entre os principais frameworks e linhas de base públicos para um serviço essencial e explicar para que serve cada um;
• ler de forma crítica uma autoavaliação ou uma nota de maturidade: o que ela mede, quem a produziu e o que ela não consegue mostrar;
• desenhar um pequeno conjunto de métricas do programa que conduzam decisões, em vez de enfeitar relatórios;
• interpretar constatações técnicas entregues por engenheiros e fornecedores bem o bastante para fazer as perguntas de acompanhamento certas.

As "ferramentas" do coordenador são, na maior parte, documentos e medidas. O Capítulo 4 construiu o registro; este capítulo fornece as réguas externas e os números que reportam sobre ele.

5.1 O panorama dos frameworks

Você vai encontrar várias referências que se sobrepõem. Cada uma tem uma finalidade distinta:

Tabela da aula; deslize para ver todas as colunas →

A regra do coordenador: uma estrutura principal (por exemplo, o CSF 2.0) para o programa, com as outras referências mapeadas para ela, em vez de quatro planilhas paralelas. Os requisitos regulatórios da sua jurisdição vêm primeiro; os frameworks ajudam a cumpri-los, não os substituem.

5.2 Lendo uma avaliação

Um resultado de avaliação como "Proteger: 2,4 / 4" ou "cobertura dos CPGs de 71%" convida a uma falsa confiança. Antes de repeti-lo, faça cinco perguntas:

1. O que foi avaliado? Quais locais, sistemas e processos — e quais não foram?
2. Quem avaliou, e como? Autoavaliação pelo dono do sistema, um par, um avaliador independente? Por entrevista, revisão de documentos ou teste?
3. O que conta como "atendido"? Uma política escrita, uma política em uso ou uma política que comprovadamente funciona?
4. Quando? Avaliações envelhecem depressa depois de reorganizações, trocas de fornecedor e incidentes.
5. Que decisão ela apoia? Se nenhuma decisão muda em função do número, ele é enfeite.

Uma autoavaliação tem valor — é barata e constrói entendimento —, mas mede aquilo em que os donos acreditam. O Capítulo 7 acrescenta formas de obter evidências mais fortes.

5.3 Métricas que conduzem decisões

Boas métricas de programa têm três propriedades em comum: relacionam-se a uma consequência ou a um controle que protege contra ela; o seu dono consegue alterá-las; e um limiar dispara uma ação conhecida. Compare:

Tabela da aula; deslize para ver todas as colunas →

Contagens de atividade ("bloqueamos 40.000 ataques") são fáceis de produzir e raramente úteis para decisões. Prefira medidas de exposição, tempestividade e cobertura das coisas que mais importam.

5.4 Interpretando constatações técnicas

Engenheiros, o KVROC e fornecedores enviam constatações. Você não precisa verificá-las tecnicamente, mas precisa fazer perguntas que as deixem prontas para decisão:

• O que é afetado — qual local, qual função, qual nível de consequência?
• Como você sabe — observado diretamente, inferido ou relatado por uma ferramenta que pode estar errada?
• Qual é a exposição — alcançável a partir da internet, da rede de escritório, apenas no local?
• Qual é a ação recomendada, por quem, até quando, e o que ela perturba?
• Existe um alerta público? Se existir, coloque o link; alertas como o da CISA para o setor de água sobre controladores expostos à internet com senhas padrão (CISA AA23-335A) ajudam a diretoria a entender que uma constatação não é hipotética.

5.5 Exemplo resolvido: uma autoavaliação pelos CPGs (sintético)

L. Ferreira preencheu uma lista de verificação dos CPGs para a Kestrel Water e relata "71% das metas atendidas". A coordenadora faz as cinco perguntas e descobre: a avaliação cobriu a rede corporativa e a estação de tratamento, mas não as doze estações; as respostas eram "sim" se existisse uma política; e ela foi feita antes da mudança no arranjo de acesso remoto da HydroLogic. Dois itens "atendidos" — sobre autenticação multifator para acesso remoto e sobre a revogação de credenciais de funcionários que saem — não têm evidência para as contas de fornecedores.

Ela relata à diretoria: "Uma autoavaliação da TI corporativa e da estação de tratamento constatou que a maioria das práticas de base está implementada no papel. Ela não cobriu as estações, e dois itens que mais importam para as estações — autenticação multifator para acesso remoto e remoção tempestiva de contas — não estão verificados para os fornecedores. Proponho uma revisão do acesso de fornecedores em maio (Capítulo 8) e repetir a avaliação, incluindo as estações, até setembro." Os 71% ficam num apêndice.

5.6 Atividade prática

Pegue qualquer painel público ou declaração de relatório anual sobre cibersegurança (por exemplo, "100% da equipe treinada"). Aplique as cinco perguntas e reescreva-a como uma declaração pronta para decisão, anotando o que você precisaria saber.

Escreva a sua reescrita na mesma forma do relatório da coordenadora sobre a autoavaliação pelos CPGs: o que foi coberto, como foi julgado, o que ficou de fora e que decisão decorre. Se a declaração não apoia nenhuma decisão, diga isso; isso já é uma constatação. Mantenha o número original, mas coloque-o depois do contexto, e não na frente. Anote a data da declaração e se algo mudou desde então, como uma reorganização ou um novo fornecedor.

5.7 Erros comuns e limites

• Usar vários frameworks em paralelo sem mapeamento.
• Escolher métricas porque os dados são fáceis de obter.
• Tratar o marketing de um fornecedor ("conforme a 62443") como uma avaliação da sua instalação.

• Esquecer que frameworks e linhas de base são revisados; cite a versão e a data.

• Contar uma meta como atendida porque existe uma política, como fez a autoavaliação pelos CPGs, sem perguntar se ela está em uso ou se comprovadamente funciona.

• Deixar de fora parte do serviço, como as doze estações, e ainda assim relatar um único número para a empresa inteira, ou relatar percentuais sem escopo e método.
• Repetir um resultado de avaliação à diretoria antes de perguntar quando ela foi feita e o que mudou desde então.

Exercícios — capítulo 5

EX021 — Escolha uma estrutura principal. Objetivo: selecionar e mapear frameworks. Insumos: a Kestrel Water precisa reportar ao seu regulador, compra sistemas de TO de fornecedores e tem um conselho pouco familiarizado com segurança. Passos: propor uma estrutura principal e como os CPGs e a 62443 se relacionam com ela. Evidência esperada: uma justificativa curta. Rubrica: 3 = requisitos regulatórios primeiro, CSF 2.0 como estrutura do programa para o conselho, CPGs como linha de base priorizada mapeada para ele, 62443 usada para requisitos de fornecedores e de aquisição; 2 = escolha sem mapeamento; 1 = "fazer todos"; 0 = nada.

EX022 — Interrogue uma nota. Objetivo: aplicar as cinco perguntas. Insumos: "Maturidade em Detectar 3,1/5, acima de 2,6". Passos: escrever as cinco perguntas aplicadas a essa nota e dizer que resposta tornaria a melhora crível. Evidência esperada: perguntas e critérios. Rubrica: 3 = pergunta escopo, avaliador e método, definição dos níveis, data e decisão apoiada; crível se o escopo e o método forem os mesmos, independente ou baseada em evidências, e ligada a um resultado observado (por exemplo, a detecção de uma injeção de exercício); 2 = apenas perguntas; 1 = aceita; 0 = nada.

EX023 — Conserte as métricas. Objetivo: desenhar métricas que conduzam decisões. Insumos: relatório mensal atual: e-mails bloqueados, detecções de antivírus, políticas aprovadas, equipe treinada. Passos: substituir por quatro métricas, incluindo dono e ação no limiar. Evidência esperada: tabela. Rubrica: 3 = métricas ligadas à consequência e ao controle (por exemplo, higiene dos riscos de nível 5, tempo de remoção de contas de fornecedores, exposição de interfaces operacionais, participação em exercícios), cada uma com dono e ação; 2 = métricas sem ações; 1 = mudanças cosméticas; 0 = nada.

EX024 — Deixe uma constatação pronta para decisão. Objetivo: questionar uma constatação técnica. Insumos: e-mail do KVROC: "Vimos RDP da internet para o hmi-02 ontem à noite, recomendamos bloquear." Passos: escrever a resposta. Evidência esperada: resposta. Rubrica: 3 = pergunta a qual local e função o hmi-02 serve, se a conexão teve sucesso, a origem e as evidências, se ainda está exposto; pergunta quem pode bloquear e o que o bloqueio perturba (acesso de fornecedor?); envolve o dono operacional; trata como potencialmente urgente; 2 = pergunta parte disso; 1 = "favor bloquear"; 0 = nada.

EX025 — Relate com honestidade. Objetivo: comunicar os limites de uma avaliação. Insumos: o exemplo resolvido 5.5. Passos: reescrever a mensagem da diretoria para o conselho em menos de 100 palavras. Evidência esperada: mensagem. Rubrica: 3 = declara com clareza a lacuna de cobertura e os itens não verificados, dá o plano e a data, evita o percentual como manchete; 2 = menciona o percentual primeiro, mas inclui os limites; 1 = "71% conforme"; 0 = nada.

Síntese do capítulo

Frameworks e linhas de base são réguas: escolha uma estrutura principal, cumpra a lei primeiro e mapeie o resto. Leia toda avaliação pelo escopo, método, definição, data e decisão apoiada. Meça a exposição, a tempestividade e a cobertura do que importa, com donos e ações nos limiares. Deixe as constatações técnicas prontas para decisão perguntando o quê, como se sabe, quão exposto, quem age e o que é perturbado.