Capítulo 6 — Criptografia e serviços de confiança: fluxo operacional

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX026.

flowchart TD
  N0["6.1 O fluxo mensal"]
  N1["6.2 Acompanhando os achados"]
  N2["6.3 Repassando as correções"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX026"]

Desenho lógico

flowchart LR
  N0["6.1 O fluxo mensal"]
  N1["6.2 Acompanhando os achados"]
  N2["6.3 Repassando as correções"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX026"]

[6.1 O fluxo mensal]
    |
    v
[6.2 Acompanhando os achados]
    |
    v
[6.3 Repassando as correções]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX026]

Objetivos de aprendizagem

Você vai (1) executar o fluxo mensal de verificação criptográfica da Copperleaf; (2) acompanhar os achados da descoberta ao encerramento; (3) repassar as correções ao dono certo.

6.1 O fluxo mensal

A Copperleaf executa uma verificação criptográfica mensal para cada cliente. A etapa um exporta o inventário e executa o script da linha de base. A etapa dois confirma as sinalizações à mão. A etapa três consulta os logs de transparência de certificados, definidos na RFC 6962, em busca de qualquer certificado emitido para os domínios do cliente que o inventário não liste. A etapa quatro classifica e registra os achados no rastreador. A etapa cinco envia o resumo ao cliente. Dana segue uma lista de verificação para cada etapa e a assina com a data. Uma lista de verificação parece monótona, mas é o que torna o fluxo repetível quando Dana está doente e um colega o executa no lugar dela.

6.2 Acompanhando os achados

Cada achado recebe um identificador, uma descrição, o link para a evidência, uma classificação de risco, um dono, um prazo e um status: aberto, em andamento, corrigido aguardando verificação ou encerrado. Um achado só é encerrado depois que Dana verifica a correção, e não quando o dono diz que terminou. No mês passado, a agência relatou que a cadeia do agendamento estava corrigida, mas o novo teste de Dana ainda mostrou a intermediária ausente num dos dois servidores com balanceamento de carga. O acompanhamento com verificação pega essas meias correções, e o histórico mostra ao cliente quanto tempo as questões ficam abertas, o que é útil ao discutir níveis de serviço.

6.3 Repassando as correções

Dana raramente corrige as coisas ela mesma. As renovações de certificados do site de agendamento vão para a agência, as questões de cifração dos notebooks vão para a equipe de desktops da Copperleaf, e as configurações da integração de pagamentos vão para o gerente da clínica, que contata o processador. Cada repasse inclui o achado, a evidência, uma sugestão de correção com uma referência, como a RFC ou a página do NIST pertinente, e o prazo. Marcus a ensina a propor em vez de ordenar: um fornecedor que entende por que uma mudança importa costuma agir mais rápido do que um que recebe uma exigência sem explicação.

Exemplo resolvido

Dana conclui uma execução mensal para a Bayside, encontra uma cadeia corrigida pela metade num dos servidores com balanceamento de carga, mantém o achado aberto e o devolve à agência com evidências.

Caso sintético. As entradas do rastreador e a troca com a agência são sintéticas; a RFC 6962 é real.

Erros e limites

Ciclos mensais deixam passar problemas de curta duração entre as execuções. Os logs de transparência cobrem apenas ACs públicas.

Exercícios

• EX026 — Propósito da etapa três. Por que consultar os logs de transparência no fluxo mensal?

  Mostrar critérios de avaliação

  Rubrica: 3 = para encontrar certificados emitidos para domínios do cliente que não estão no inventário;; 2 = certificados não listados;; 1 = vago;; 0 = nenhuma.

• EX027 — Regra de encerramento. Quando um achado pode passar a encerrado?

  Mostrar critérios de avaliação

  Rubrica: 3 = só depois que Dana verifica a correção ela mesma;; 2 = verificação;; 1 = quando o dono diz;; 0 = nenhuma.

• EX028 — Meia correção. Que meia correção o novo teste de Dana pegou?

  Mostrar critérios de avaliação

  Rubrica: 3 = intermediária ainda ausente num dos dois servidores com balanceamento de carga;; 2 = um servidor;; 1 = vago;; 0 = nenhuma.

• EX029 — Repasse dos notebooks. Quem recebe um achado de cifração de disco dos notebooks?

  Mostrar critérios de avaliação

  Rubrica: 3 = a equipe de desktops da Copperleaf;; 2 = equipe de desktops;; 1 = agência;; 0 = nenhuma.

• EX030 — Propor, não ordenar. Por que Marcus aconselha propor correções em vez de ordená-las?

  Mostrar critérios de avaliação

  Rubrica: 3 = fornecedores que entendem o motivo agem mais rápido;; 2 = entendimento;; 1 = nenhum motivo;; 0 = nenhuma.

Síntese

Um fluxo repetível, com encerramento verificado e repasses claros, transforma as verificações mensais em melhorias duradouras.