Capítulo 7 — Fornecedores e serviços em nuvem | Profissionalizante Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 7 — Fornecedores e serviços em nuvem

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["7.1 Lista de fornecedores"]
  N1["7.2 Perguntas proporcionais"]
  N2["7.3 A empresa de suporte"]
  N3["7.4 O risco do fornecedor"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["7.1 Lista de fornecedores"]
  N1["7.2 Perguntas proporcionais"]
  N2["7.3 A empresa de suporte"]
  N3["7.4 O risco do fornecedor"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[7.1 Lista de fornecedores]
    |
    v
[7.2 Perguntas proporcionais]
    |
    v
[7.3 A empresa de suporte]
    |
    v
[7.4 O risco do fornecedor]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) listar os fornecedores que lidam com as informações da firma; (2) fazer perguntas de segurança proporcionais; (3) registrar o que cada fornecedor consegue alcançar.

7.1 Lista de fornecedores

Daniel lista todas as organizações externas que armazenam ou conseguem alcançar informações da Corbridge: o serviço de e-mail e arquivos, o fornecedor do software de contabilidade, o provedor do portal dos clientes, o serviço de folha de pagamento, a empresa de suporte e uma empresa de trituração de documentos. Ele anota o que cada uma guarda e como se conecta. A empresa de suporte se destaca porque tem acesso de administrador a todos os notebooks e ao sistema de e-mail. A Sra. Ashby explica que um fornecedor com acesso amplo faz parte da segurança da firma, quer alguém pense nele assim ou não, por isso ele pertence ao registro de riscos.

7.2 Perguntas proporcionais

A Sra. Ashby desaconselha o envio de questionários longos que os pequenos fornecedores não conseguem responder. Em vez disso, Daniel faz a cada um poucas perguntas adequadas ao que eles guardam: o acesso da equipe exige um segundo fator, com que rapidez vocês nos avisarão de uma violação, onde nossos dados ficam armazenados e o que acontece com eles quando o contrato termina. A ISO/IEC 27002:2022, a orientação sobre os controles de segurança da informação, inclui as relações com fornecedores entre seus temas de controle, e Daniel a usa como lista de verificação para suas perguntas, e não como um livro de regras, escolhendo apenas os itens que importam para cada fornecedor.

7.3 A empresa de suporte

As respostas da empresa de suporte mostram que seus técnicos compartilham uma única conta de administrador para os sistemas da Corbridge. Daniel explica que isso torna impossível saber quem mudou o quê. Ele pede contas nominais, cada uma com um segundo fator, e uma lista mensal das mudanças feitas. A empresa concorda, depois de alguma discussão sobre o custo. Daniel também confirma que o contrato de suporte inclui o dever de comunicar incidentes em até um dia útil. A Sra. Ashby observa que cláusulas contratuais claras dão a uma firma pequena um poder de negociação que de outro modo ela não teria diante de um provedor maior.

7.4 O risco do fornecedor

Daniel volta ao risco de violação no fornecedor, que recebeu nota baixa no capítulo três. O fornecedor do software de contabilidade publica um resumo de segurança e tem uma certificação reconhecida, o que Daniel registra. Ele também verifica como a firma ficaria sabendo de uma violação e o que precisaria fazer: avisar os clientes afetados e possivelmente o regulador. Ele redige um breve plano para esse caso e o arquiva com os procedimentos de incidentes. A Sra. Ashby observa que planejar para um risco fora de seu controle continua sendo útil, porque a resposta está sob seu controle.

Exemplo resolvido

Daniel lista seis fornecedores, faz quatro perguntas proporcionais a cada um, consegue que a empresa de suporte substitua uma conta de administrador compartilhada por contas nominais e planeja a resposta a uma violação no fornecedor.

Caso sintético. Os fornecedores e as respostas são sintéticos.

Erros e limites

Questionários genéricos e longos muitas vezes ficam sem resposta e deixam as lacunas reais desconhecidas.

Exercícios

EX031 — Acesso mais amplo. Qual fornecedor tem o acesso mais amplo? Rubrica: 3 = a empresa de suporte;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.
EX032 — Quatro perguntas. Cite duas das perguntas de Daniel aos fornecedores. Rubrica: 3 = MFA, aviso de violação, local dos dados, fim do contrato;; 2 = duas;; 1 = uma;; 0 = nenhuma.
EX033 — Conta compartilhada. Que problema a empresa de suporte tinha? Rubrica: 3 = uma única conta de administrador compartilhada;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX034 — Dever de comunicação. Em quanto tempo a empresa de suporte precisa comunicar incidentes? Rubrica: 3 = em até um dia útil;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
EX035 — Plano para o fornecedor. Por que planejar para uma violação no fornecedor, fora do controle da firma? Rubrica: 3 = a resposta está sob seu controle;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 07 (capítulo 07 de 12)

← Capítulo 06 · Índice das aulas · Capítulo 08 →

Continue para a próxima aula já escrita.