Capítulo 9 — Comunicação, ética e relatórios

Capítulo 9 — Comunicação, ética e relatórios

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX041.

flowchart TD
  N0["9.1 Estrutura do relatório"]
  N1["9.2 Classificações consistentes"]
  N2["9.3 Ética na prática"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX041"]

Desenho lógico

flowchart LR
  N0["9.1 Estrutura do relatório"]
  N1["9.2 Classificações consistentes"]
  N2["9.3 Ética na prática"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX041"]

[9.1 Estrutura do relatório]
    |
    v
[9.2 Classificações consistentes]
    |
    v
[9.3 Ética na prática]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX041]

Objetivos de aprendizagem

Você vai (1) estruturar um relatório de achados criptográficos; (2) classificar riscos de forma consistente; (3) aplicar a ética profissional à divulgação e à honestidade.

9.1 Estrutura do relatório

O relatório mensal da Copperleaf para a Bayside tem quatro partes. Um sumário executivo de meia página diz o que mais importa e o que o cliente deve decidir. Uma tabela de achados lista cada item com identificador, descrição simples, classificação de risco, dono e prazo. Os apêndices técnicos guardam comandos, saídas e referências para a agência e a equipe de desktops. Uma seção final lista o que não foi verificado. Dana aprende a escrever o sumário por último, depois que os achados estão confirmados, e a começar pela ação necessária em vez do histórico da investigação, porque o gerente da clínica lê apenas a primeira página.

9.2 Classificações consistentes

As classificações de risco precisam significar a mesma coisa todo mês. A Copperleaf classifica pela probabilidade e pelo impacto, cada um numa escala de três pontos, combinados em baixo, médio ou alto. Um certificado público expirado tende a ser notado e prejudica os agendamentos, então é alto. Uma chave RSA-1024 num servidor interno acessível apenas pela equipe é médio: a fraqueza é real e deve ser corrigida, mas a exploração exige antes acesso à rede. Dana escreve uma frase de justificativa para cada classificação. Quando Marcus revisa seu trabalho, ele confere se achados semelhantes em clientes diferentes receberam classificações semelhantes, o que mantém o serviço justo e defensável.

9.3 Ética na prática

A ética aparece em pequenas escolhas. Dana descobre que o próprio site da agência, fora do seu escopo, mostra o mesmo erro de cadeia; ela não o testa mais, mas menciona isso informalmente ao contato da agência. Quando um achado é constrangedor porque a própria Copperleaf fez a configuração, ela o relata como qualquer outro. Ela nunca exagera o risco para vender mais serviços, nem o minimiza para evitar uma reunião desconfortável. Se algum dia encontrasse uma falha no produto de um fornecedor que afetasse muitos clientes, seguiria a divulgação coordenada por meio da Copperleaf, sem publicá-la abertamente. Relatórios honestos são aquilo pelo que os clientes pagam.

Exemplo resolvido

Dana escreve um relatório mensal da Bayside com um sumário de meia página, uma tabela de achados classificados com justificativas e um apêndice, incluindo um achado causado pela Copperleaf.

Caso sintético. O relatório, as classificações e o site da agência são sintéticos.

Erros e limites

Escalas de três pontos escondem nuances; as justificativas carregam o detalhe. Anotações informais sobre questões fora do escopo não podem virar testes não autorizados.

Exercícios

• EX041 — Posição do sumário. Por que escrever o sumário executivo por último? Rubrica: 3 = os achados precisam estar confirmados antes e o sumário começa pela ação;; 2 = confirmados;; 1 = primeiro;; 0 = nenhuma.

• EX042 — Classificação do RSA-1024 interno. Por que a chave RSA-1024 interna é classificada como médio, e não alto? Rubrica: 3 = fraqueza real, mas a exploração exige acesso à rede interna;; 2 = acesso necessário;; 1 = classificada como baixo;; 0 = nenhuma.

• EX043 — Verificação entre clientes. O que Marcus confere nas classificações entre clientes? Rubrica: 3 = achados semelhantes receberam classificações semelhantes;; 2 = consistência;; 1 = vago;; 0 = nenhuma.

• EX044 — Erro próprio. Como Dana deve relatar uma fraqueza introduzida pela própria Copperleaf? Rubrica: 3 = exatamente como qualquer outro achado, sem escondê-la;; 2 = relatar;; 1 = escondê-la;; 0 = nenhuma.

• EX045 — Falha no produto do fornecedor. O que deve acontecer se Dana encontrar uma falha num produto de fornecedor amplamente usado? Rubrica: 3 = divulgação coordenada por meio da Copperleaf, sem publicação aberta;; 2 = divulgação;; 1 = publicar abertamente;; 0 = nenhuma.

Síntese

Estrutura clara, classificações consistentes e ética honesta tornam os relatórios criptográficos confiáveis e acionáveis.

Continue estudando — aula 09 (capítulo 09 de 12)

← Capítulo 08 · Índice das aulas · Capítulo 10 →

Continue para a próxima aula já escrita.