Capítulo 2 — Contexto de serviços e partes interessadas
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX006.
flowchart TD
N0["2.1 Serviços que importam"]
N1["2.2 Por que o núcleo bancário é excluído"]
N2["2.3 Partes interessadas"]
N3["2.4 Contexto no plano"]
N4["2.5 Terceiros"]
N5["2.6 Expectativas dos examinadores"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX006"]
Desenho lógico
flowchart LR
N0["2.1 Serviços que importam"]
N1["2.2 Por que o núcleo bancário é excluído"]
N2["2.3 Partes interessadas"]
N3["2.4 Contexto no plano"]
N4["2.5 Terceiros"]
N5["2.6 Expectativas dos examinadores"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX006"]
[2.1 Serviços que importam]
|
v
[2.2 Por que o núcleo bancário é excluído]
|
v
[2.3 Partes interessadas]
|
v
[2.4 Contexto no plano]
|
v
[2.5 Terceiros]
|
v
[2.6 Expectativas dos examinadores]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX006]
Objetivos de aprendizagem
Você vai (1) identificar os serviços da HCU e quem é responsável por eles; (2) explicar por que o núcleo bancário costuma ficar fora do escopo; (3) mapear as partes interessadas de um engajamento; (4) escrever um parágrafo de contexto para um plano de teste.
2.1 Serviços que importam
A HCU opera internet banking, uma VPN da equipe, e-mail, um site para associados e um núcleo bancário em um AS/400. O internet banking e a VPN são alcançáveis pela internet e mudam com frequência; são alvos iniciais comuns de revisão autorizada, por isso a próxima revisão autorizada de Leo começa por eles. A VPN da equipe tem prioridade alta porque uma senha de administrador compartilhada ali alcançaria sistemas internos, como a constatação posterior do ENG-440 mostrou. O e-mail e o site público também importam, mas mudam com menos frequência e estão mais abaixo no plano atual. O AS/400 está na lista para que todos saibam que ele existe e que é deixado de lado de propósito. Cada serviço da lista traz o nome do seu responsável, para que Leo saiba a quem perguntar antes que qualquer verificação o toque.
2.2 Por que o núcleo bancário é excluído
O AS/400 guarda o sistema de registro dos saldos. Uma indisponibilidade acidental pararia as agências. A menos que um trabalho especializado e fortemente controlado seja financiado, ele fica fora do escopo e é protegido por controles compensatórios. Esses controles — isolamento de rede, caminhos administrativos rigidamente limitados e monitoramento — são o que torna a exclusão defensável diante dos examinadores. O plano de Leo os nomeia, com o responsável de cada um, em vez de fingir que o sistema é invisível, para que os examinadores possam fazer perguntas diretamente à equipe de rede. Um trabalho especializado exigiria financiamento próprio, ROE próprias e operadores treinados nessa plataforma; até que seja financiado, o AS/400 aparece no relatório apenas como uma exclusão com seus controles listados.
2.3 Partes interessadas
O CISO autoriza; o responsável de produto do internet banking aceita o risco; a equipe de rede abre regras temporárias; o SOC observa o tráfego de teste; o jurídico revisa o contrato. O trabalho de Leo é saber quem decide o quê, por isso, antes do kickoff, ele consegue nomear cada pessoa e o que ela precisa aprovar. Se o responsável de produto não aceitou o risco residual, ou se o SOC não foi avisado da janela, ele não começa. Ele mantém no ticket do ENG-440 um registro de aprovação datado, de uma linha, para cada parte interessada; a regra temporária de firewall da equipe de rede, por exemplo, precisa estar ativa até as 08:00 de sábado, ou a janela é adiada. Saber quem decide o quê evita um teste que está autorizado no papel, mas bloqueado na prática.
2.4 Contexto no plano
Um bom plano declara o propósito de negócio (proteger os associados, atender às expectativas dos examinadores), os serviços dentro e fora do escopo e os horários de pico a evitar (por exemplo, a sexta-feira de pagamento). O rascunho de Leo para a HCU declara o propósito (dados dos associados e o exame anual), lista o internet banking e a VPN no escopo, exclui o AS/400, a rede de caixas eletrônicos e a processadora de cartões e evita a janela de processamento em lote da manhã de sábado. A janela de sábado e a exclusão do dia de pagamento ficam ao lado da lista de hosts, para que um revisor veja julgamento sobre horários, e não apenas endereços. Os revisores também podem conferir os horários com a escala do SOC, já que os analistas de plantão naquela manhã de sábado precisam esperar o tráfego de teste.
2.5 Terceiros
Processadoras de cartões e e-mail em nuvem são organizações separadas. Testá-las exige a autorização delas, não apenas a da HCU. O plano de Leo lista a processadora de cartões e o e-mail em nuvem como fora do escopo por esse motivo, para que um testador entusiasmado não invente uma permissão que nunca foi concedida. Se a HCU quiser testá-los, o CISO precisa obter autorização por escrito de cada fornecedor e anexá-la às ROE. A assinatura da HCU sozinha nunca cobre os sistemas de outra organização, por mais conveniente que fosse sondar a processadora de cartões na mesma janela de sábado.
2.6 Expectativas dos examinadores
As cooperativas de crédito passam por exames de segurança e solidez que perguntam como os sistemas são testados. O parágrafo de contexto de Leo também é evidência para os examinadores: mostra que a HCU escolhe o escopo deliberadamente, exclui sistemas frágeis e agenda os testes em torno da operação, em vez de testar "tudo o que responde a um ping". O parágrafo é arquivado com as ROE, de modo que os examinadores leem o mesmo raciocínio de escopo que o CISO assinou e devem ver que a HCU testou o que pretendia testar. Nomear a exclusão do AS/400 e a fuga da janela de lote é tão útil quanto listar o que estava no escopo, porque mostra julgamento, e não uma checklist de todos os hosts alcançáveis.
Exemplo resolvido (HCU sintética)
Leo escreve: "Propósito: reduzir o risco aos dados dos associados e autenticar o internet banking antes do exame anual. No escopo: camada web do internet banking e VPN da equipe. Fora do escopo: núcleo AS/400, rede de caixas eletrônicos, processadora de cartões terceirizada. Evitar: janela de processamento em lote da manhã de sábado."
Caso sintético — Harborline Credit Union (HCU). A cooperativa de crédito, Leo Okonkwo e todos os números foram inventados para fins didáticos.
Erros e limites
Políticas e leis locais variam; siga a autorização da HCU e a sua jurisdição. Este livro nunca autoriza testes em sistemas reais.
Exercícios
- EX006 — Cinco serviços. Liste cinco serviços da HCU citados no capítulo. Rubrica: 3 = cinco corretos; 2 = quatro; 1 = dois; 0 = nada.
- EX007 — Motivo da exclusão do AS/400. Por que o AS/400 costuma ficar fora do escopo? Rubrica: 3 = sistema de registro; uma indisponibilidade para as agências; exige controles especializados; 2 = parcial; 1 = "é antigo"; 0 = nada.
- EX008 — Quem autoriza. Quem na HCU autoriza o engajamento? Rubrica: 3 = o CISO (com a aceitação do responsável de produto); 2 = o CISO; 1 = Leo; 0 = nada.
- EX009 — Papel do SOC. O que o SOC precisa saber antes de o teste começar? Rubrica: 3 = janela, IPs de origem, métodos ruidosos esperados; para não tratar o teste às cegas como ataque real; 2 = parcial; 1 = vago; 0 = nada.
- EX010 — Terceiro. As ROE da HCU podem, sozinhas, autorizar o teste da processadora de cartões? Rubrica: 3 = não; é necessária a autorização da própria processadora; 2 = não; 1 = sim; 0 = nada.
Síntese
Serviços, responsáveis, exclusões e terceiros entram no plano antes de qualquer método ser escolhido.
Continue estudando — capítulo 02 de 12
← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →