Capítulo 12 — Portfólio prático e revisão final

Capítulo 12 — Portfólio prático e revisão final

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX056.

flowchart TD
  N0["12.1 Conteúdo do portfólio"]
  N1["12.2 Apresentação"]
  N2["12.3 Perguntas prováveis"]
  N3["12.4 Próximos passos"]
  N4["12.5 Mantendo-se atualizado"]
  N5["12.6 Caso resolvido"]
  N6["12.7 Tarefa prática"]
  N7["12.8 Hábitos profissionais"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX056"]

Desenho lógico

flowchart LR
  N0["12.1 Conteúdo do portfólio"]
  N1["12.2 Apresentação"]
  N2["12.3 Perguntas prováveis"]
  N3["12.4 Próximos passos"]
  N4["12.5 Mantendo-se atualizado"]
  N5["12.6 Caso resolvido"]
  N6["12.7 Tarefa prática"]
  N7["12.8 Hábitos profissionais"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX056"]

[12.1 Conteúdo do portfólio]
    |
    v
[12.2 Apresentação]
    |
    v
[12.3 Perguntas prováveis]
    |
    v
[12.4 Próximos passos]
    |
    v
[12.5 Mantendo-se atualizado]
    |
    v
[12.6 Caso resolvido]
    |
    v
[12.7 Tarefa prática]
    |
    v
[12.8 Hábitos profissionais]
    |
    v
[Exemplo resolvido] --> [Exercício EX056]

Objetivos de aprendizagem

Você vai (1) montar um portfólio que mostre cada objetivo do curso; (2) apresentar o seu fluxo de trabalho e os seus resultados; (3) responder a perguntas sobre método, evidências e situação das orientações; (4) planejar os próximos passos na prática; e (5) manter o seu conhecimento atualizado.

12.1 Conteúdo do portfólio

Inclua: um texto explicativo correto (Capítulo 1); um mapa de serviços e de partes interessadas com prioridades (2); autorização e rótulos de evidência (3); um extrato graduado da CBOM (4); constatações a partir da saída de ferramentas (5); um rastreador com estados e dependências (6); registros de controle, verificação e risco residual (7); a análise do caso (8); relatórios para dois públicos (9); um checklist de qualidade e lições (10); as saídas do laboratório e a reflexão (11).

Escolha itens que mostrem resultados, além de documentos, como estados do rastreador sustentados por evidências. Cada item deve citar a sua fonte e a sua data, e os itens graduados devem mostrar o seu grau. Remova tudo o que não puder sustentar e anote quais objetivos estão fracamente cobertos, para poder tratá-los antes da revisão.

12.2 Apresentação

Dez minutos: o fluxo de trabalho, o que você produziu, uma decisão que você apoiou, uma lição. Depois, perguntas.

Por exemplo, você pode escolher a recomendação do caso do arquivo como a decisão e a regressão do portal de corretores como a lição. Mantenha a visão geral do fluxo de trabalho em dois minutos, para que a maior parte do tempo vá para os resultados. Ensaie com um cronômetro e prepare um slide que mostre o rastreador antes e depois do seu trabalho. Deixe tempo para as perguntas, já que a revisão testa como você raciocina tanto quanto o que você produziu. Leve o portfólio, para poder apontar as evidências quando perguntado.

12.3 Perguntas prováveis

"Como você sabe que um item está verificado?" "Por que o arquivo vem primeiro?" "O IR 8547 é definitivo?" "O que a troca de chaves híbrida não protege?" "O que você faria se um fornecedor nunca respondesse?" Responda com evidências do seu portfólio.

Por exemplo, "Como você sabe que um item está verificado?" se responde com os logs de negociação do portfólio, e não com um ticket de mudança. Prepare uma resposta de uma linha e uma evidência para cada uma. Pratique as respostas com um colega. Mantenha as evidências prontas para mostrar.

12.4 Próximos passos

Combine com o seu gestor quais responsabilidades do fluxo de trabalho você vai assumir, quais habilidades aprofundar (por exemplo, o curso técnico, para a configuração prática) e quando vai revisar o progresso.

Registre o acordo por escrito, com datas e um revisor nomeado. Escolha responsabilidades que usem o que o portfólio mostra que você sabe fazer, como conduzir o ciclo trimestral de uma divisão, e acrescente uma habilidade nova de cada vez. Revise o plano após três meses e ajuste-o com o seu gestor. Guarde uma cópia no portfólio.

12.5 Mantendo-se atualizado

Acompanhe as publicações do NIST e da IETF, as orientações setoriais e os anúncios dos fornecedores. Atualize o seu texto explicativo e a seção de normas do fluxo de trabalho quando a situação mudar — por exemplo, quando o FN-DSA ou a norma do HQC forem publicados, ou quando o IR 8547 for finalizado.

Reserve um horário fixo a cada mês para conferir essas fontes e registrar o que mudou, se algo mudou. Quando uma situação mudar, atualize o texto explicativo do Capítulo 1 e avise as partes interessadas que dependem dele. Quando as orientações mudarem, verifique se alguma decisão da MTI se apoiava na situação antiga e, se for o caso, leve o assunto à reunião mensal seguinte, em vez de esperar pela revisão anual.

12.6 Caso resolvido

Um participante apresenta a posição da MTI no 2º trimestre, a recomendação do caso do arquivo e a lição da regressão do portal de corretores. Perguntado "O que o híbrido não protege?", responde: "A autenticação — o certificado do portal ainda é clássico —, além de qualquer salto ou parceiro ainda em troca de chaves clássica e dos dados gravados antes da mudança." Perguntado sobre o IR 8547, declara que é um rascunho com datas propostas e mostra como as datas internas da MTI foram definidas.

As respostas funcionam porque cada uma aponta para evidências e declara limites. Nenhuma exagera, e ambas se referem aos próprios registros da MTI.

12.7 Tarefa prática

Monte o seu portfólio e ensaie a apresentação com um colega.

Verifique se cada item do portfólio corresponde a um objetivo do curso e traz evidências, e não apenas um documento. Ensaie a apresentação de dez minutos pelo menos duas vezes com um colega que faça as perguntas prováveis, incluindo se o IR 8547 é definitivo e o que o híbrido não protege. Cronometre-se, anote as perguntas que achou difíceis e prepare evidências para cada uma antes da revisão final. Peça ao colega anotações por escrito. Revise uma vez e guarde as duas versões.

12.8 Hábitos profissionais

Os hábitos que este curso constrói — dar fonte a cada afirmação, graduar as evidências, registrar as decisões, declarar o risco residual, comunicar com calma — se aplicam a qualquer programa de segurança. Pratique-os deliberadamente no seu próximo cargo; são eles que tornam um profissional digno de confiança para coordenar o trabalho entre equipes.

Escolha um hábito para praticar a cada mês e peça a um colega que o avise quando você escorregar. Na MTI, esses hábitos apareceram em pequenas coisas: uma alegação de fornecedor classificada como D, e não como B, uma regressão relatada abertamente e uma exceção com expiração. Continue praticando-os quando ninguém estiver conferindo.

12.9 Erros comuns e limites

• Portfólios de documentos sem evidências de resultados.
• Exagerar nas respostas.
• Nenhum plano para se manter atualizado.

Cada erro enfraquece a revisão final. Um portfólio de documentos sem resultados mostra atividade, mas não resultados, como estados do rastreador sem evidências. Exagerar, por exemplo chamando o IR 8547 de definitivo ou a troca de chaves híbrida de proteção completa, desfaz a credibilidade que o portfólio constrói. Sem um plano para se manter atualizado, o seu texto explicativo ficará desatualizado assim que o FN-DSA ou a norma do HQC forem publicados. Confira cada um antes de entregar.

Exercícios

• EX056 — Mapa do portfólio. Associe cinco objetivos do curso a itens do portfólio. Rubrica: 3 = artefatos específicos.
• EX057 — Resposta. Responda: "Como você sabe que um item está verificado?" Rubrica: 3 = evidência operacional, data, fonte.
• EX058 — Silêncio do fornecedor. O que você faz se um fornecedor nunca responde? Rubrica: 3 = escalar via compras, grau U, exceção/controles compensatórios, fornecedor alternativo.
• EX059 — Plano de atualização. Escreva um plano de três itens para se manter atualizado. Rubrica: 3 = fontes, cadência, ações de atualização.
• EX060 — Próximo cargo. Nomeie duas responsabilidades do fluxo de trabalho que você poderia assumir em seguida, e por quê. Rubrica: 3 = realistas, ligadas a evidências de habilidade.

Síntese

O portfólio e a revisão final demonstram um fluxo de trabalho repetível e baseado em evidências e as habilidades de comunicação para conduzi-lo, com um plano para se manter atualizado.

Continue estudando — capítulo 12 de 12

← Capítulo 11 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções

Respostas-modelo; qualquer resposta que atenda à rubrica recebe a mesma pontuação. Os números sobre a MTI são sintéticos.

EX001. AES-256: manter (Grover apenas tira a raiz quadrada da busca). RSA-2048: substituir (Shor). SHA-256: manter (sem quebra quântica prática). ECDSA P-256: substituir (Shor).

EX002. FIPS 203 ML-KEM: estabelecimento de chaves. FIPS 204 ML-DSA: assinaturas de uso geral. FIPS 205 SLH-DSA: assinaturas baseadas em hash.

EX003. HNDL: transferências de registros de apólices de vida por VPNs com troca de chaves clássica. Forjar depois: a AC raiz interna ou os documentos de apólice assinados que precisam permanecer verificáveis por décadas.

EX004. "O NIST IR 8547, um rascunho público inicial, propõe descontinuar os algoritmos vulneráveis ao quântico após 2030 e proibi-los após 2035; essas datas ainda não são definitivas."

EX005. "O TLS híbrido protege a troca de chaves da sessão contra decifração futura; os nossos certificados ainda usam assinaturas clássicas e precisam de uma migração separada."

EX006. Em risco quando 10 + 3 > z, ou seja, z < 13 anos.

EX007. Regras regulatórias de guarda de registros e contratos de apólices/sinistros, confirmados com os responsáveis pelos dados; a tabela de retenção como verificação cruzada.

EX008. Responsáveis pelos dados: perguntas sobre o tempo de vida. Responsáveis pelos sistemas: constatações claras e datas. Compras: texto das cláusulas. Jurídico/conformidade: mapeamento das obrigações. Patrocinador executivo: decisões e postura de risco. (Auditores: evidências.)

EX009. Ele está em risco sob todos os cronogramas supostos na varredura, porque o seu tempo de vida de 40 anos supera em muito qualquer z plausível.

EX010. "Registros que precisam permanecer privados por décadas poderiam ser gravados hoje e decifrados depois. Estamos protegendo essas transferências primeiro, depois o tráfego de sinistros e do portal. Essa ordem é correta qualquer que seja o cronograma quântico que se confirmar."

EX011. Sistemas; métodos; janela de tempo; tratamento dos dados; contatos (e condições de parada).

EX012. Coletar: versão do OpenSSH; KexAlgorithms configurados; tipos de chave de host. Não coletar: conteúdo dos arquivos transferidos; credenciais de usuários ou dados de sessão.

EX013. "Fonte: exportação de configuração (somente leitura); data 2026-10-06; coletor: coordenador; sistema: insurer-sftp-01/02; classificação: confidencial – inventário de segurança; ticket SEC-118."

EX014. Parar; não copiar nem usar a chave; comunicar imediatamente pelo processo de segurança; registrar o quê e onde; seguir as instruções sobre a revogação.

EX015. Registrar como "declaração do fornecedor (grau D), confidencial"; guardar com acesso restrito; compartilhar apenas com as pessoas que precisam dela para o programa.

EX016. O broker-portal tem troca de chaves híbrida; a sua assinatura continua RSA-2048 (clássica).

EX017. Handshake observado A; e-mail do fornecedor D; registro no banco de dados da AC B; diagrama de arquitetura C.

EX018. claims-app/key-exchange, policy-db/key-exchange, office-vpn/key-exchange: HNDL (gravar agora). broker-portal/signature e claims-app/signature: forjar depois.

EX019. 1 de 6 ativos = 17 %; relatá-la ao lado de cada número de cobertura, por exemplo "5 de 6 ativos avaliados; 1 (17 %) desconhecido".

EX020. "Determinar os algoritmos de troca de chaves e de assinatura usados pelo gravador de chamadas (modelo, versão). Método: questionário ao fornecedor e exportação de configuração. Responsável: TI da Central de Atendimento. Prazo: 30 dias."

EX021. O portal de sinistros oferece o grupo híbrido, mas lista o X25519 primeiro; a preferência do servidor prevalece, então os clientes negociam clássico, embora o híbrido esteja "presente".

EX022. O certificado do servidor (cifrado no TLS 1.3); obtê-lo da configuração ou do inventário de certificados.

EX023. "Pronto para PQC": 1. "ML-KEM-768 híbrido no TLS 1.3 a partir da v8.2, entregue": 3 se puder ser verificado, caso contrário 2. "Roteiro 2027 para a RFC 9370": 2.

EX024. "A hr-intranet oferece apenas grupos clássicos (auditoria de configuração, 6 de out.). Impacto: sessões com dados de RH expostas a HNDL. Recomendação: habilitar e preferir X25519MLKEM768 após verificar a biblioteca; verificar pelos logs. Responsável: TI Corporativa."

EX025. A ferramenta é atual o bastante para ver algoritmos PQ? Os dados são recentes? Outra fonte concorda?

EX026. Escopo (declaração de escopo), inventário (CBOM graduada), priorização (lista de prioridades), planejamento (planos dos itens), implementação (registros de mudança), verificação (evidências de negociação), registro (registro de riscos residuais/exceções), relato (relatório trimestral).

EX027. Evidência de negociação datada — logs ou saída de ferramenta mostrando o método híbrido no serviço pretendido.

EX028. Verificados 6/64 ≈ 9 %; Desconhecidos 6/64 ≈ 9 %.

EX029. Fornecedor, produto/versão, pedido enviado (data), resposta (data, conteúdo), grau da evidência, data de acompanhamento, via de escalonamento.

EX030. 5 min itens bloqueados e pedidos; 10 min itens a vencer no mês; 5 min novos desconhecidos e responsáveis; 5 min exceções perto do vencimento; 5 min decisões e ações.

EX031. Transferências do arquivo: troca de chaves híbrida + minimização. AC interna: plano de migração de assinaturas. Gravador de chamadas: investigação (questionário). CDN: acompanhamento do contrato/roteiro e configuração quando houver suporte.

EX032. Logs ou saída de ferramenta mostrando X25519MLKEM768 negociado no portal de corretores, com data e cobertura.

EX033. O identificador do algoritmo viaja com cada tag e a lista de aceitos da política decide a validade; remover o identificador antigo o aposenta em todos os lugares, sem mudanças de código.

EX034. "Três resseguradoras com clientes antigos continuam expostas a HNDL até a atualização (prazo de 12 meses); chaves de host clássicas (forjar depois). Responsável: Infraestrutura. Revisão: trimestral."

EX035. Escopo: gravador de chamadas (modelo X). Motivo: algoritmos desconhecidos, resposta do fornecedor pendente. Compensatórios: segmentação de rede, exportação mínima de dados. Responsável: TI da Central de Atendimento. Expiração: 90 dias ou a resposta do fornecedor.

EX036. Transferências: HNDL. Assinaturas dos documentos: forjar depois. AES-256 em repouso: adequado. Envolvimento de chaves com RSA-OAEP: preocupação apenas se as chaves envolvidas ficarem expostas fora do HSM.

EX037. A: proteção 5, tempo 3 (dois trimestres). B: proteção 3–4 (depende da gestão das PSKs), tempo 4. C: proteção 2–3 (reduz o volume), tempo 5 (imediata).

EX038. Nomear a Gestão de Documentos como responsável pela criptografia do arquivo; acrescentar uma cláusula contratual exigindo suporte datado a assinaturas PQ; registrar exceções para os escritórios atrasados, com expiração.

EX039. "O nosso arquivo de apólices de 40 anos poderia ser gravado hoje e decifrado depois. Em até seis meses vamos atualizar as VPNs dos escritórios para uma nova proteção resistente ao quântico e reduzir já as transferências noturnas. Custo de CU 40–70 mil. As assinaturas dos documentos continuam clássicas até que o fornecedor do arquivo entregue; estamos aditando o contrato para exigir datas."

EX040. Quando as chaves envolvidas saem do HSM — em backups, exportações ou transferências gravadas —, um adversário com um CRQC poderia desfazer o envolvimento delas depois.

EX041. Executivos: decisões, postura, custo, risco residual. Auditores: evidências, método, definições, amostragem.

EX042. "Ninguém pode dizer quando existirá um computador quântico capaz de quebrar a criptografia atual; as nossas prioridades foram escolhidas para continuar corretas, esteja isso a dez ou a vinte e cinco anos de distância."

EX043. "Computadores quânticos futuros poderiam decifrar dados gravados hoje. Estamos protegendo primeiro os dados de vida mais longa e acompanhando o progresso trimestralmente."

EX044. "A MTI exige assinaturas pós-quânticas para os documentos de apólice arquivados. Confirme, por favor, o suporte ao ML-DSA (NIST FIPS 204) e as datas de lançamento planejadas. Precisamos também de suporte à renovação dos carimbos de tempo dos documentos existentes. Forneça, por favor, um ambiente de teste até 31 de março. Contato: coordenador do programa de segurança."

EX045. Explicar o HNDL: dados gravados com tempos de vida longos já estão expostos; mostrar que as prioridades se mantêm entre os cronogramas; oferecer opções em fases, com custos; registrar a decisão.

EX046. Evidências vencidas; itens sem responsáveis; desconhecidos sem tarefas; Verificados sem evidência; exceções vencidas.

EX047. "Primeira etapa: aguardando mais dados antes de ampliar. Segunda: é seguro ampliar. Terceira: uma falha num site está sendo investigada; esse site está pausado."

EX048. Voltar o item para Em andamento; acrescentar uma reverificação automática mensal de todos os itens Verificados.

EX049. Envolver os responsáveis certos; estabelecer o impacto; enviar a comunicação às partes interessadas; marcar o item como bloqueado, com o motivo, no rastreador (e registrar as lições).

EX050. Proporção de itens sorteados cuja evidência coincide com o estado no rastreador = itens coincidentes / itens sorteados (por exemplo, 9/10 = 90 %), relatada mensalmente.

EX051. Dia 1 escopo/autorização, inventário graduado; Dia 2 lista de prioridades e tabela de Mosca; Dia 3 planos dos itens, pedidos aos fornecedores, constatações; Dia 4 acompanhamento da implantação e tratamento do incidente; Dia 5 relatório e apresentação.

EX052. Uma alegação de grau D não está verificada; gastar ou programar com base nela arrisca erro, então a próxima ação passa a ser a verificação, e não a migração.

EX053. "Hoje, às 10:20, a proteção pós-quântica da API de cotação foi encontrada desativada após uma atualização. Sem indisponibilidade; as cotações continuam. A equipe da plataforma está restaurando a configuração agora. Próxima atualização até as 14:00."

EX054. Exatidão do inventário e das prioridades; qualidade das constatações; tratamento de evidências; integridade do rastreador; comunicação e tratamento do incidente.

EX055. "O que deu certo foi… Eu mudaria… A habilidade que preciso praticar é… Uma melhoria do fluxo de trabalho é… O meu próximo passo é…"

EX056. Texto explicativo → comunicação correta (Cap. 1); CBOM graduada → método de inventário (Cap. 4); rastreador → fluxo de trabalho (Cap. 6); análise do caso → recomendação (Cap. 8); relatórios → comunicação por público (Cap. 9).

EX057. Por evidência operacional datada — logs de negociação ou saída de ferramenta — de uma fonte nomeada, mostrando o controle em vigor, reverificada mensalmente.

EX058. Escalar via compras/gestão de contas; manter o grau U; aplicar controles compensatórios sob uma exceção por tempo limitado; considerar fornecedores alternativos na renovação.

EX059. Fontes: NIST CSRC, IETF datatracker, orientações setoriais; cadência: varredura mensal, atualização trimestral do texto explicativo; ações: atualizar a seção de normas e informar o patrocinador das mudanças de situação.

EX060. Conduzir o relatório trimestral (demonstrado pelos relatórios do portfólio) e coordenar os questionários aos fornecedores (demonstrado pelas respostas pontuadas e pelo acompanhamento das dependências).

Rota de ensino de doze disciplinas

Este é o curso profissional para quem conduz o fluxo de trabalho da migração na sintética Marlow & Tide Insurance (MTI): fundamentos, contexto, evidências autorizadas, inventário, interpretação de ferramentas, fluxo de trabalho, controles e verificação, análise de caso, comunicação, qualidade e um laboratório supervisionado.