Capítulo 8 — O essencial da segurança

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX036.

flowchart TD
  N0["8.1 Registros em papel"]
  N1["8.2 Dispositivos"]
  N2["8.3 Contas e acesso"]
  N3["8.4 Phishing e fornecedores"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX036"]

Desenho lógico

flowchart LR
  N0["8.1 Registros em papel"]
  N1["8.2 Dispositivos"]
  N2["8.3 Contas e acesso"]
  N3["8.4 Phishing e fornecedores"]
  N0 --> N1 --> N2 --> N3 --> Q["EX036"]

[8.1 Registros em papel]
    |
    v
[8.2 Dispositivos]
    |
    v
[8.3 Contas e acesso]
    |
    v
[8.4 Phishing e fornecedores]
    |
    v
[Exemplo resolvido] --> [Exercício EX036]

Objetivos de aprendizagem

Você vai (1) aplicar controles básicos de segurança em uma pequena organização beneficente; (2) proteger papéis e dispositivos; (3) controlar o acesso aos sistemas compartilhados.

8.1 Registros em papel

Os formulários de encaminhamento chegam em papel aos bancos de alimentos. Grace introduz arquivos com chave em cada local, com as chaves em poder dos líderes. Os formulários são digitalizados em um sistema de casos seguro em até uma semana, e o papel é triturado. Ela confere cada banco um mês depois e encontra dois que ainda guardam os formulários em uma caixa aberta. Conversa com os líderes sobre os motivos, e eles explicam que o arquivo fica em outra sala; ela então providencia um arquivo para a sala de distribuição. O novo arquivo chega em quinze dias, e os formulários passam a ser trancados ao fim de cada turno.

8.2 Dispositivos

Os voluntários usavam celulares pessoais para os contatos dos clientes. Grace os substitui por celulares da organização com bloqueio de tela, criptografia e apagamento remoto ativados. Os notebooks usados nos encaminhamentos são criptografados e exigem senha. Ela escreve uma regra curta, explicada no guia dos voluntários: dados de clientes não podem ser guardados em dispositivos pessoais. O Sr. Nowak observa que organizações pequenas conseguem uma proteção forte com configurações básicas de baixo custo. Grace configura ela mesma os celulares com uma lista de verificação curta, para que todos tenham as mesmas proteções e as configurações possam ser conferidas depois.

8.3 Contas e acesso

A caixa compartilhada aberta a todos é substituída por uma caixa de encaminhamentos acessível apenas aos líderes e a Grace. Cada pessoa tem seu próprio login com autenticação multifator. Grace revisa os acessos a cada trimestre e remove os voluntários que saíram. Ela encontra três ex-voluntários que ainda conseguiam ler o banco de doadores e os remove. Explica que remover os acessos sem demora é um dos controles de segurança mais simples e eficazes. Ela registra cada revisão com a data e as mudanças feitas, e a conselheira que supervisiona os dados confere o registro na reunião seguinte do conselho.

8.4 Phishing e fornecedores

Grace organiza uma sessão curta de conscientização sobre phishing depois que uma voluntária quase digitou a senha em uma página de login falsa. Também verifica se o fornecedor do banco de doadores oferece criptografia, backups e logs de acesso, e se o contrato inclui cláusulas de proteção de dados. O Sr. Nowak observa que as organizações beneficentes são alvos frequentes de golpes, e que combinar a conscientização da equipe com verificações dos fornecedores cobre as ameaças mais comuns. Grace escreve uma nota curta sobre como reconhecer páginas de login falsas e a quem avisar, afixada ao lado do computador de cada banco e repetida na integração.

Exemplo resolvido

Grace introduz arquivos trancados, digitalização e trituração, celulares e notebooks da organização criptografados, uma caixa de encaminhamentos restrita com MFA, revisões trimestrais de acesso que removem três ex-voluntários e conscientização sobre phishing.

Caso sintético. Os controles são sintéticos.

Erros e limites

Manter o acesso de ex-voluntários expõe os dados muito depois de eles saírem.

Exercícios

• EX036 — Prazo de digitalização. Em quanto tempo os formulários de encaminhamento são digitalizados?
  Mostrar critérios de avaliação

  Rubrica: 3 = em até uma semana;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
• EX037 — Motivo da caixa aberta. Por que dois bancos ainda usavam caixas abertas?
  Mostrar critérios de avaliação

  Rubrica: 3 = o arquivo ficava em outra sala;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
• EX038 — Configurações dos celulares. Que configurações os celulares da organização têm?
  Mostrar critérios de avaliação

  Rubrica: 3 = bloqueio de tela, criptografia e apagamento remoto;; 2 = todas;; 1 = algumas;; 0 = nenhuma.
• EX039 — Acessos antigos. Quantos ex-voluntários ainda conseguiam ler o banco de doadores?
  Mostrar critérios de avaliação

  Rubrica: 3 = três;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
• EX040 — Verificações do fornecedor. O que Grace conferiu com o fornecedor do banco de dados?
  Mostrar critérios de avaliação

  Rubrica: 3 = criptografia, backups, logs e cláusulas contratuais;; 2 = a maioria;; 1 = poucas;; 0 = nenhuma.