Capítulo 1 — Fundamentos de segurança para profissionais

Capítulo 1 — Fundamentos de segurança para profissionais

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 O caso"]
  N1["1.2 Três metas"]
  N2["1.3 Um controle entre muitos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 O caso"]
  N1["1.2 Três metas"]
  N2["1.3 Um controle entre muitos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX001"]

[1.1 O caso]
    |
    v
[1.2 Três metas]
    |
    v
[1.3 Um controle entre muitos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) descrever as metas de confidencialidade, integridade e autenticidade a que a criptografia serve; (2) situar a criptografia entre os demais controles; (3) conhecer o caso do provedor de serviços gerenciados usado ao longo do livro.

1.1 O caso

Dana Whitlock acabou de entrar no fictício provedor de serviços gerenciados Copperleaf Managed Services como analista de segurança júnior, num programa profissional de seis meses. Seu mentor é Marcus Oyelaran, analista líder. O principal cliente da Copperleaf neste livro é o fictício Bayside Dental Group, que mantém quatro clínicas com um site de agendamento para pacientes, um banco de dados de gestão clínica, notebooks da equipe, um serviço de e-mail e pagamentos com cartão por meio de um processador externo. Todas as pessoas, empresas, sistemas e números aqui são sintéticos. O trabalho de Dana é executar verificações repetíveis, registrar evidências e explicar os achados com clareza ao gerente da clínica, e não projetar nova criptografia.

1.2 Três metas

Marcus explica a criptografia por meio de três metas. A confidencialidade mantém os prontuários e os dados de agendamento legíveis apenas por pessoas autorizadas. A integridade torna detectáveis as alterações não autorizadas, por exemplo numa fatura ou num laudo de raio X. A autenticidade confirma quem enviou ou assinou algo, como uma notificação de pagamento do processador. A disponibilidade também importa, mas a criptografia pode prejudicá-la, por exemplo quando um certificado expira ou quando se perde uma chave de cifração de disco. Dana aprende a perguntar a que meta um controle serve antes de julgá-lo, porque a cifração sozinha não prova quem enviou uma mensagem e uma assinatura sozinha não esconde seu conteúdo.

1.3 Um controle entre muitos

A criptografia protege os dados em trânsito e em repouso, mas não resolve uma senha roubada, um servidor sem correções ou uma recepcionista enganada para enviar arquivos. Na Bayside, o site de agendamento usa TLS, os notebooks usam cifração de disco completo e os backups são cifrados, mas o maior incidente recente foi um e-mail de phishing. Dana aprende a situar os achados criptográficos no contexto: um certificado expirado pode ser urgente porque os pacientes veem avisos, enquanto uma configuração de cifra forte acrescenta pouco se toda a equipe compartilha uma única senha de administrador. Bons profissionais relatam as questões criptográficas com seu peso real, sem inflá-las nem descartá-las.

Exemplo resolvido

Dana relaciona os cinco principais serviços da Bayside às três metas e anota quais controles existentes são criptográficos e quais não são.

Caso sintético. A Copperleaf, o Bayside Dental Group, Dana e Marcus são inventados.

Erros e limites

As três metas simplificam; alguns mecanismos servem a várias ao mesmo tempo. O contexto muda a prioridade, então uma lista de verificação sozinha não consegue ordenar os achados.

Exercícios

• EX001 — Atribuições da analista. O que envolve o papel de Dana na Copperleaf? Rubrica: 3 = executar verificações repetíveis, registrar evidências e explicar achados, sem projetar criptografia;; 2 = parcial;; 1 = projeta cifras;; 0 = nenhuma.

• EX002 — Assinatura e sigilo. Uma assinatura digital numa fatura a mantém confidencial? Rubrica: 3 = não; dá integridade e autenticidade, não confidencialidade;; 2 = diz que não;; 1 = diz que sim;; 0 = nenhuma.

• EX003 — Dano à disponibilidade. Dê uma forma pela qual a criptografia pode reduzir a disponibilidade. Rubrica: 3 = certificado expirado ou chave de cifração perdida;; 2 = um exemplo;; 1 = vago;; 0 = nenhuma.

• EX004 — Maior incidente. Qual foi o maior incidente recente da Bayside, e o que ele ensina? Rubrica: 3 = phishing; a criptografia é um controle entre muitos;; 2 = cita o phishing;; 1 = cita uma cifra;; 0 = nenhuma.

• EX005 — Pesando os achados. Por que um certificado expirado pode ter prioridade sobre uma configuração de cifra? Rubrica: 3 = os pacientes veem avisos e o serviço falha; o impacto importa mais que a força teórica;; 2 = impacto;; 1 = sempre iguais;; 0 = nenhuma.

Síntese

Os profissionais julgam cada controle criptográfico pela meta a que ele serve e pelo seu peso real entre todos os controles de um cliente.

Continue estudando — aula 01 (capítulo 01 de 12)

← Início do curso · Índice das aulas · Capítulo 02 →

Continue para a próxima aula já escrita.