Capítulo 1 — Fundamentos de segurança para profissionais
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 Conceitos centrais"]
N1["1.2 Aplicar à Marston"]
N2["1.3 Onde a governança ajuda"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 Conceitos centrais"]
N1["1.2 Aplicar à Marston"]
N2["1.3 Onde a governança ajuda"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX001"]
[1.1 Conceitos centrais]
|
v
[1.2 Aplicar à Marston]
|
v
[1.3 Onde a governança ajuda]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) explicar os conceitos centrais de segurança em termos de negócio; (2) relacioná-los aos serviços de uma cooperativa de crédito; (3) reconhecer onde a governança agrega valor.
1.1 Conceitos centrais
Lena Hoffmann trabalha há seis anos em compliance na Marston Credit Union, uma cooperativa financeira fictícia, de propriedade dos associados, com quatrocentos funcionários, produtos de poupança e crédito, um aplicativo de mobile banking e serviços de cartão. Ela entra no curso profissional de seis meses da fictícia Ashby Professional Academy, com a mentoria do Sr. Victor Reyes. O primeiro módulo revisita as ideias centrais: confidencialidade, integridade e disponibilidade; ameaças que exploram vulnerabilidades para causar impacto; e controles que previnem, detectam ou corrigem. Ela aprende a explicar cada uma com os serviços da Marston, em vez de definições abstratas.
1.2 Aplicar à Marston
Para os dados das contas dos associados, a confidencialidade e a integridade são o que mais importa: vazamentos ou saldos errados abalam a confiança e podem violar a lei. Para o aplicativo, a disponibilidade também importa, já que os associados esperam acesso a qualquer hora. Lena lista as ameaças mais relevantes: tomada de conta por senhas roubadas, fraude por engenharia social contra a equipe da central de atendimento, ransomware afetando o core bancário e erros de fornecedores. Ela aprende que entender o negócio primeiro permite julgar quais controles são proporcionais. A tomada de conta por senhas roubadas, por exemplo, aponta para uma autenticação mais forte no aplicativo, e não para mais treinamento na central.
1.3 Onde a governança ajuda
A experiência de Lena em compliance a ajuda a ver onde a governança agrega valor. Existem muitos controles, mas ninguém verifica se funcionam. As decisões de risco são tomadas informalmente pela TI, sem envolver os donos de negócio. O conselho recebe relatórios longos, com pouca análise. Ela vê seu novo papel como ligar essas peças: responsabilidades claras, decisões de risco documentadas com a participação do negócio, controles testados e relatórios ao conselho que permitam decidir. O Sr. Reyes observa que a disciplina de compliance dela é uma base sólida para esse trabalho mais amplo, e acrescenta que as decisões informais da TI são a primeira lacuna a fechar, porque todos os passos seguintes dependem da participação dos donos de negócio.
Exemplo resolvido
Lena relaciona os conceitos de segurança aos serviços da Marston, lista as principais ameaças e identifica onde a governança agregaria valor.
Caso sintético. A Ashby, a Marston e todos os detalhes são sintéticos.
Erros e limites
O enquadramento de negócio pode simplificar demais a tecnologia. As listas de ameaças mudam.
Exercícios
- EX001 — Prioridades dos dados dos associados. Que objetivos de segurança mais importam para os dados das contas dos associados? Rubrica: 3 = confidencialidade e integridade;; 2 = C e I;; 1 = só disponibilidade;; 0 = nenhuma.
- EX002 — Disponibilidade do aplicativo. Por que a disponibilidade importa para o aplicativo? Rubrica: 3 = os associados esperam acesso a qualquer hora;; 2 = acesso;; 1 = vago;; 0 = nenhuma.
- EX003 — Alvo da engenharia social. Que equipe é alvo da fraude por engenharia social? Rubrica: 3 = a equipe da central de atendimento;; 2 = central;; 1 = vago;; 0 = nenhuma.
- EX004 — Lacunas de governança. Cite duas lacunas de governança que Lena identificou. Rubrica: 3 = controles não testados e decisões de risco informais;; 2 = lacunas;; 1 = vago;; 0 = nenhuma.
- EX005 — Força do compliance. Por que a experiência de Lena em compliance é útil? Rubrica: 3 = sua disciplina é uma base sólida;; 2 = disciplina;; 1 = vago;; 0 = nenhuma.
Síntese
Fundamentos de segurança enquadrados em termos de negócio mostram onde a governança agrega valor.
Continue estudando — aula 01 (capítulo 01 de 12)
← Início do curso · Índice das aulas · Capítulo 02 →
Continue para a próxima aula já escrita.