Capítulo 7 — Infraestrutura crítica e segurança setorial: controles e verificação

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["7.1 O que é um controle, para um gestor"]
  N1["7.2 Níveis de garantia"]
  N2["7.3 Quem verifica"]
  N3["7.4 Exceções"]
  N4["7.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["7.1 O que é um controle, para um gestor"]
  N1["7.2 Níveis de garantia"]
  N2["7.3 Quem verifica"]
  N3["7.4 Exceções"]
  N4["7.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX031"]

[7.1 O que é um controle, para um gestor]
    |
    v
[7.2 Níveis de garantia]
    |
    v
[7.3 Quem verifica]
    |
    v
[7.4 Exceções]
    |
    v
[7.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• descrever um controle em termos que um gestor possa assumir: objetivo, dono, operação e evidência;
• distinguir níveis de garantia — declarado, documentado, observado, testado — e decidir de qual nível cada controle precisa;
• planejar um programa de verificação proporcional para os controles que protegem contra consequências de nível 5;
• gerenciar exceções a controles como decisões de risco com prazo e com dono.

O Capítulo 6 fez o programa funcionar. Este capítulo pergunta se as suas proteções realmente funcionam.

7.1 O que é um controle, para um gestor

Um controle é uma medida que modifica o risco (a NIST SP 800-53 Rev. 5 cataloga milhares deles). Para fins de coordenação, descreva cada controle importante num único cartão:

• Objetivo — qual risco ele trata e como ("impede o uso de uma senha roubada de fornecedor para entrar nas estações");
• Dono — quem responde pelo seu funcionamento;
• Operação — o que acontece, com que frequência e por quem ("o gateway de acesso remoto exige um segundo fator para toda conta de fornecedor");
• Evidência — o que mostraria que ele está funcionando, e onde é guardada;
• Sinal de falha — o que você veria se ele parasse de funcionar.

Controles sem dono se deterioram, assim como riscos sem dono.

7.2 Níveis de garantia

Quão seguro você está de que um controle funciona? Quatro níveis úteis:

Tabela da aula; deslize para ver todas as colunas →

Níveis mais altos custam mais. Um programa proporcional busca o nível testado para os controles que protegem contra consequências de nível 5, observado para os níveis 3–4, e aceita documentado para o restante. As orientações do NIST sobre monitoramento contínuo descrevem a manutenção de uma consciência permanente sobre se os controles continuam eficazes (NIST SP 800-137).

7.3 Quem verifica

• Primeira linha — os donos dos controles verificam os próprios controles (autoavaliação, verificações de rotina).
• Segunda linha — o coordenador ou a função de segurança revisa as evidências e faz amostragens.
• Terceira linha — a auditoria interna ou um avaliador independente dá garantia ao conselho.

O coordenador costuma desenhar o plano de verificação e conduzir as verificações de segunda linha. Testes em sistemas operacionais precisam ser autorizados como qualquer outro trabalho (Capítulo 3), e, em ambientes de controle, um "teste" muitas vezes é uma revisão de configuração e de logs, e não uma tentativa ativa.

As verificações de segunda linha devem amostrar as evidências diretamente, em vez de aceitar o resumo do dono.

7.4 Exceções

Às vezes um controle não pode ser aplicado: um controlador antigo de estação não suporta um segundo fator; um dispositivo médico não pode receber correções sem perder a sua certificação. Uma exceção é uma decisão registrada e com dono de operar sem o controle, o que é uma forma de aceitação de risco (Capítulo 4). Ela precisa de: o controle e o sistema em questão; o motivo; medidas compensatórias; a autoridade que aceita; uma data de validade; e um plano para eliminar a exceção. Um registro de exceções é revisto junto com o registro de riscos.

Na Kestrel Water, a exceção do controlador da KW-10 foi ao conselho com validade até março.

7.5 Exemplo resolvido: verificando três controles (sintético)

A coordenadora escolhe três controles que protegem contra riscos de nível 5 e verifica cada um:

Tabela da aula; deslize para ver todas as colunas →

O plano de verificação que se segue: corrigir o C1 em até 30 dias (dono: A. Mensah); agendar um teste de restauração do C2 em até 60 dias, com resultado cronometrado (dono: J. Tan); repetir a verificação do C3 depois de qualquer mudança de lógica. A coordenadora relata o nível de garantia de cada controle, e não uma declaração única de "controles eficazes".

7.6 Atividade prática

Escreva cartões de controle (objetivo, dono, operação, evidência, sinal de falha) para dois controles de uma organização que você conheça e atribua a cada um o nível de garantia atual, com justificativa.

Para cada cartão, diga como o sinal de falha apareceria na prática, por exemplo um login de fornecedor sem evento de segundo fator no log do gateway. Explique por que você escolheu o nível de garantia, citando as evidências que você de fato viu. Depois decida que nível o controle deveria atingir, dada a consequência contra a qual protege, e que passo o elevaria, por exemplo um teste de restauração para um backup que só foi observado tendo sucesso. Mantenha os cartões curtos o bastante para que um dono os atualize.

7.7 Erros comuns e limites

• Igualar "o job teve sucesso" a "o controle funciona" (backups, correções).
• Verificação apenas nos níveis declarado ou documentado para controles críticos.
• Testes ativos de sistemas operacionais sem autorização e sem a concordância das operações.
• Exceções sem validade, que silenciosamente se tornam o projeto.

• Relatar controles como "eficazes" sem dizer como isso foi estabelecido.

• Tratar a própria declaração de um fornecedor de que a MFA está habilitada como evidência observada, quando só a exportação do gateway a mostra.

• Verificar um controle uma vez e nunca mais, de modo que uma mudança posterior de configuração o remove silenciosamente.
• Testar um sistema reserva ou de bancada e esquecer de confirmar que a produção coincide, como o C3 fez por checksum.

Exercícios — capítulo 7

EX031 — Escreva um cartão de controle. Objetivo: tornar um controle assumível. Insumos: "As contas de fornecedores são removidas quando os contratos terminam." Passos: escrever o cartão em cinco partes. Evidência esperada: cartão. Rubrica: 3 = objetivo ligado a um risco, dono com autoridade (gerente de operações ou dono do contrato), operação com gatilho e prazo, evidência (conciliação mensal das contas com os contratos), sinal de falha (existem contas de contratos encerrados); 2 = falta o sinal de falha; 1 = repete a frase; 0 = nada.

EX032 — Atribua metas de garantia. Objetivo: aplicar a proporcionalidade. Insumos: controles: MFA para acesso de fornecedores; política de senhas para notebooks do escritório; procedimento de operação manual das estações; crachás de visitante na sede. Passos: atribuir os níveis de garantia-alvo e justificar pela consequência. Evidência esperada: quatro metas. Rubrica: 3 = testado para a MFA de fornecedores e para a operação manual (por exercício ou simulado), documentado ou observado para os demais, com raciocínio; 2 = metas sem razões; 1 = tudo testado; 0 = nada.

EX033 — Desenhe um teste de restauração. Objetivo: verificar o C2. Insumos: o exemplo resolvido. Passos: esboçar o teste, os critérios de sucesso e a autorização. Evidência esperada: esboço. Rubrica: 3 = restauração num ambiente isolado, não na produção; cronometrada contra o objetivo de 24 h; verifica a completude dos dados para um período escolhido; autorizado pelo dono do serviço; resultado registrado com data e evidência; 2 = sem critérios de sucesso; 1 = "conferir os logs de backup"; 0 = nada.

EX034 — Escreva uma exceção. Objetivo: gerenciar uma lacuna de controle. Insumos: o controlador da KW-10 não suporta MFA para o acesso local de engenharia. Passos: redigir a exceção. Evidência esperada: registro de exceção. Rubrica: 3 = controle e sistema, motivo, medidas compensatórias (nenhum caminho remoto, controle de acesso físico, monitoramento de mudanças), autoridade que aceita compatível com a consequência, validade, plano de eliminação; 2 = sem validade; 1 = "não é possível"; 0 = nada.

EX035 — Relate a garantia. Objetivo: comunicar a verificação com honestidade. Insumos: a tabela do exemplo resolvido. Passos: escrever três linhas para a diretoria, uma por controle. Evidência esperada: três linhas. Rubrica: 3 = cada uma declara o nível de garantia alcançado, a lacuna ou o resultado, o dono e a data; evita "eficaz" sem evidência; 2 = faltam datas; 1 = "controles eficazes"; 0 = nada.

Síntese do capítulo

Um controle é algo que um gestor pode assumir: objetivo, dono, operação, evidência e sinal de falha. A garantia sobe de declarado para documentado, observado e testado; busque o nível testado nos controles que protegem contra as piores consequências. Verifique de forma proporcional pelas três linhas, autorize os testes como qualquer outro trabalho e mantenha as exceções com dono, compensadas e com prazo.