Capítulo 6 — Arquitetura e engenharia de segurança: fluxo operacional | Profissionalizante Arquitetura e engenharia de segurança

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX026.

flowchart TD
  N0["6.1 Trabalhar com os processos existentes"]
  N1["6.2 Fluxo de acesso dos contratados"]
  N2["6.3 Reduzir o esforço manual"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX026"]

Desenho lógico

flowchart LR
  N0["6.1 Trabalhar com os processos existentes"]
  N1["6.2 Fluxo de acesso dos contratados"]
  N2["6.3 Reduzir o esforço manual"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX026"]

[6.1 Trabalhar com os processos existentes]
    |
    v
[6.2 Fluxo de acesso dos contratados]
    |
    v
[6.3 Reduzir o esforço manual]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX026]

Objetivos de aprendizagem

Você vai (1) encaixar verificações de segurança nos fluxos de trabalho existentes; (2) desenhar um fluxo de acesso para contratados; (3) reduzir o esforço manual.

6.1 Trabalhar com os processos existentes

A Thornbury já tem processos para cadastrar contratados, abrir mudanças de TI e tratar reclamações. Owen acrescenta etapas de segurança a esses processos, em vez de criar processos separados. O cadastro de contratados ganha uma etapa para acordar as regras de manuseio de dados e as contas nominais. As mudanças de TI ganham três perguntas de segurança. As reclamações que mencionam o manuseio de dados são copiadas ao encarregado de proteção de dados. Ines observa que as etapas de segurança entrelaçadas em fluxos familiares são cumpridas com muito mais confiabilidade do que procedimentos de segurança separados, que as pessoas precisam lembrar de seguir. Owen acorda cada mudança primeiro com o responsável pelo processo.

6.2 Fluxo de acesso dos contratados

Para a ameaça dos ex-funcionários dos contratados, Owen desenha um fluxo. Os contratados solicitam contas para funcionários nominais pelo portal de fornecedores; a equipe de imóveis aprova; as contas expiram após noventa dias, a menos que sejam renovadas; e os contratados precisam comunicar os desligamentos em até dois dias úteis, o que fica escrito nos contratos. Todo mês, a equipe de imóveis recebe uma lista das contas sem uso há trinta dias e confirma se deve mantê-las. O fluxo acaba com os logins compartilhados e dá à Thornbury um registro claro de quem pode ver as ordens de serviço dos inquilinos.

6.3 Reduzir o esforço manual

Owen pergunta ao fornecedor do portal de fornecedores se os relatórios de expiração e de contas sem uso podem ser automatizados. Podem, por meio de configurações existentes. Ele também providencia que os códigos dos cofres de chaves apareçam apenas na ordem do contratado designado e apenas no dia da visita. A verificação mensal da equipe de imóveis agora leva quinze minutos. Ele mede a mudança: as contas ativas de contratados caem de duzentas e dez para cento e trinta e cinco depois da primeira revisão. Menos trabalho manual torna o fluxo sustentável para uma equipe ocupada.

Exemplo resolvido

Owen acrescenta etapas de segurança aos processos existentes, desenha um fluxo de acesso com expiração para os contratados e automatiza relatórios, reduzindo as contas de 210 para 135.

Caso sintético. Os processos e os números são sintéticos.

Erros e limites

As cláusulas contratuais dependem de cobrança. A expiração automática pode bloquear funcionários ativos.

Exercícios

EX026 — Etapas entrelaçadas. Por que acrescentar etapas aos processos existentes?
Mostrar critérios de avaliação
Rubrica: 3 = são cumpridas com mais confiabilidade do que procedimentos separados;; 2 = confiabilidade;; 1 = vago;; 0 = nenhuma.
EX027 — Prazo de expiração. Quando as contas dos contratados expiram?
Mostrar critérios de avaliação
Rubrica: 3 = após noventa dias, a menos que sejam renovadas;; 2 = noventa dias;; 1 = nunca;; 0 = nenhuma.
EX028 — Mudança nos códigos. Como os códigos dos cofres de chaves foram restringidos?
Mostrar critérios de avaliação
Rubrica: 3 = só para o contratado designado e no dia da visita;; 2 = designado;; 1 = vago;; 0 = nenhuma.
EX029 — Redução de contas. Como mudaram as contas ativas de contratados?
Mostrar critérios de avaliação
Rubrica: 3 = de 210 para 135;; 2 = caíram;; 1 = vago;; 0 = nenhuma.
EX030 — Comunicação de desligamentos. Em que prazo os contratados precisam comunicar desligamentos?
Mostrar critérios de avaliação
Rubrica: 3 = em até dois dias úteis, por contrato;; 2 = dois dias;; 1 = vago;; 0 = nenhuma.

Síntese

A segurança funciona melhor entrelaçada aos fluxos de trabalho existentes, com a automação mantendo o esforço sustentável.