Capítulo 2 — Entendendo a firma | Profissionalizante Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Entendendo a firma

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX006.

flowchart TD
  N0["2.1 Inventário de informações"]
  N1["2.2 Quem depende delas"]
  N2["2.4 O que não pode ser perdido"]
  N0 --> N1 --> N2
  N2 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX006"]

Desenho lógico

flowchart LR
  N0["2.1 Inventário de informações"]
  N1["2.2 Quem depende delas"]
  N2["2.4 O que não pode ser perdido"]
  N0 --> N1 --> N2 --> Q["EX006"]

[2.1 Inventário de informações]
    |
    v
[2.2 Quem depende delas]
    |
    v
[2.4 O que não pode ser perdido]
    |
    v
[Exemplo resolvido] --> [Exercício EX006]

Objetivos de aprendizagem

Você vai (1) mapear as informações que uma firma de serviços profissionais guarda; (2) identificar quem depende delas; (3) declarar o que a firma não pode se dar ao luxo de perder.

2.1 Inventário de informações

Daniel passa a primeira semana listando o que a Corbridge guarda. Os documentos de identidade e os extratos bancários dos clientes chegam por e-mail e por um portal de envio. As declarações de impostos e os cálculos da folha de pagamento ficam no software de contabilidade. As cartas de contratação e os papéis de trabalho ficam em pastas compartilhadas na nuvem. Os registros dos funcionários ficam num serviço de folha de pagamento. Os arquivos de clientes mais antigos, alguns com mais de dez anos, continuam no servidor de arquivos do escritório. Ele registra cada tipo com a localização, o responsável e o volume aproximado numa planilha e anota onde a mesma informação é copiada em mais de um lugar, porque cada cópia precisa de proteção.

2.2 Quem depende delas

Daniel pergunta a cada sócio sem quais informações eles não conseguiriam trabalhar por uma semana. As respostas se concentram em três coisas: o software de contabilidade durante a temporada de impostos, o sistema de e-mail para a comunicação com os clientes e o portal dos clientes para a coleta de documentos. Ele também pergunta à recepção e à equipe da folha de pagamento, que acrescentam o sistema telefônico e o serviço de folha de pagamento. A Sra. Ashby explica que a dependência é tão importante quanto a sensibilidade. Um sistema que guarda poucos dados pessoais ainda pode parar a empresa se falhar, e esse tipo de risco muitas vezes escapa a quem pensa apenas em sigilo.

2.3 Objetivos de segurança

A Sra. Ashby apresenta os três objetivos que a ISO/IEC 27000:2026 usa para descrever a segurança da informação: confidencialidade, integridade e disponibilidade. Para a Corbridge, a confidencialidade importa mais para os documentos de identidade e os extratos bancários. A integridade importa mais para os cálculos de impostos e para os dados bancários dos clientes usados nas restituições, porque um número ou uma conta alterados causam dano financeiro direto. A disponibilidade importa mais nas semanas que antecedem os prazos de entrega das declarações, quando uma indisponibilidade de um único dia já causa entregas perdidas. Daniel acrescenta ao inventário uma coluna que marca o objetivo mais importante para cada tipo de informação, com uma frase explicando por quê.

2.4 O que não pode ser perdido

Daniel redige uma breve declaração para a Sra. Pike: a firma não pode se dar ao luxo de um vazamento dos documentos de identidade dos clientes, de uma alteração nos dados bancários de restituição dos clientes nem da perda do software de contabilidade em janeiro. Ela concorda e acrescenta um quarto item tirado da própria experiência: a reputação de discrição da firma, que traz a maior parte dos novos clientes por indicação. A Sra. Ashby diz a Daniel que essa declaração vai orientar todas as decisões de prioridade no resto do curso e que uma lista curta acordada com a liderança vale mais do que uma lista longa escrita sozinho.

Exemplo resolvido

Daniel inventaria as informações da Corbridge, descobre de que os sócios dependem, liga cada tipo a um objetivo de segurança e acorda quatro coisas que a firma não pode perder.

Caso sintético. Os tipos e os volumes de informação são sintéticos.

Erros e limites

Listar apenas os dados sensíveis deixa de fora os sistemas de que a empresa depende para operar.

Exercícios

EX006 — Três objetivos. Quais três objetivos a ISO/IEC 27000:2026 usa? Rubrica: 3 = confidencialidade, integridade, disponibilidade;; 2 = os três;; 1 = dois;; 0 = nenhuma.
EX007 — Exemplo de integridade. Dê um exemplo de integridade na Corbridge. Rubrica: 3 = os dados bancários de restituição dos clientes;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX008 — Pico de disponibilidade. Quando a disponibilidade importa mais? Rubrica: 3 = nas semanas antes dos prazos de entrega;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX009 — Quarto item. O que a Sra. Pike acrescentou à lista? Rubrica: 3 = a reputação de discrição da firma;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX010 — Lição da dependência. Por que perguntar sobre a dependência além da sensibilidade? Rubrica: 3 = sistemas pouco sensíveis ainda podem parar a empresa;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 02 (capítulo 02 de 12)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.