Capítulo 1 — Cibersegurança: fundamentos e decisões

Objetivos de aprendizagem

Ao final deste capítulo, você deve ser capaz de:

1. Descrever um ativo, uma ameaça, uma vulnerabilidade, um controle, um cenário de risco e uma evidência em linguagem comum.
2. Explicar confidencialidade, integridade e disponibilidade com um exemplo concreto de serviço.
3. Separar uma observação de uma premissa e de uma recomendação.
4. Descrever as seis funções do NIST Cybersecurity Framework (CSF) 2.0 sem tratá-las como uma sequência obrigatória ou uma lista de produtos.
5. Produzir uma nota de segurança pequena e revisável sem sondar um sistema real.

1.1 Comece pelo serviço e pelas pessoas

A segurança começa com uma pergunta: O que precisa continuar funcionando, para quem, e que dano viria se não funcionasse? A resposta dá sentido aos detalhes técnicos. Um servidor não é valioso apenas por ser um servidor. Ele importa porque sustenta um serviço, guarda informação ou ajuda pessoas a concluir uma tarefa. Uma página de acesso importa porque controla o acesso ao que está atrás dela. Uma cópia de segurança importa se de fato puder restaurar o serviço no tempo de que as pessoas precisam.

O caso de ensino é a Harbor Library, uma biblioteca pública inteiramente fictícia. Moradores reservam salas de estudo por um site. A equipe pode ver as reservas, resolver conflitos e imprimir a agenda do dia. A biblioteca também guarda uma lista de frequentadores que pediram para receber anúncios de eventos. São detalhes inventados; nenhuma biblioteca real e nenhum registro pessoal são usados nesta aula.

Antes de propor uma ferramenta de segurança, liste os resultados do serviço:

Tabela da aula; deslize para ver todas as colunas →

Esta tabela é um primeiro modelo, não um inventário verificado. Numa organização real, um responsável pelo serviço confirmaria os resultados e a interrupção aceitável. Nos exercícios daqui, o caso fictício é o escopo inteiro; não teste um site real.

1.2 Nomeie ativos e dependências

Um ativo é algo de valor que ajuda a prestar ou a proteger um serviço. Pode ser informação, software, um dispositivo, uma conta, um processo ou o tempo e a confiança de uma pessoa. Os registros de reserva da Harbor Library são ativos de informação. A aplicação de reservas, as contas da equipe, as cópias de segurança e a agenda impressa também são ativos. O valor e o tratamento diferem: uma agenda impressa pode ser essencial durante uma interrupção, enquanto uma conta da equipe pode alterar reservas e, por isso, precisa de controles de acesso fortes.

Uma dependência é algo de que um serviço precisa para funcionar. A página de reservas pode precisar de um serviço de identidade, de um banco de dados, de uma conexão de rede e de procedimentos da equipe. Uma dependência não se torna automaticamente um ponto único de falha; essa afirmação exige evidência sobre alternativas e recuperação. Desenhe uma cadeia simples antes de atribuir um controle:

Morador -> página de reserva -> depósito de reservas -> agenda da equipe
                            \-> mensagem de confirmação
Membro da equipe -> acesso da equipe -> depósito de reservas

As setas significam que informação ou um pedido se move entre partes do serviço. Elas não provam que a implementação foi construída assim. Essa distinção importa: um diagrama é uma hipótese até que um responsável ou uma observação a confirme.

1.3 Três propriedades da informação

O modelo conhecido de confidencialidade, integridade e disponibilidade descreve três modos diferentes de um serviço ou da sua informação sofrer dano. É uma lente de ensino, não uma lista exaustiva de todos os danos.

• Confidencialidade pergunta quem pode ver a informação. Se a lista de contatos de eventos é enviada a um destinatário não autorizado, a confidencialidade é afetada mesmo que o site de reservas continue no ar.
• Integridade pergunta se a informação está correta e se só muda do modo pretendido. Se uma reserva é alterada em silêncio, a agenda pode estar disponível e mesmo assim errada.
• Disponibilidade pergunta se as pessoas autorizadas conseguem usar o serviço quando precisam. Uma interrupção pode impedir um morador de reservar e a equipe de consultar a agenda, mesmo que nenhuma informação seja divulgada.

Um evento pode afetar várias propriedades. Por exemplo, uma conta com privilégios excessivos poderia exportar a lista de contatos e mudar reservas de sala. Evite reduzir a análise a um único rótulo. Declare a consequência real, as pessoas afetadas e o que se sabe.

Outras preocupações também podem importar: se os dados de uma pessoa foram coletados para uma finalidade legítima, se os registros podem ser ligados a uma ação autorizada e se a biblioteca consegue restaurar o serviço depois de uma interrupção. Capítulos posteriores tratarão disso com mais profundidade.

1.4 Distinga ameaça, vulnerabilidade, evento e risco

Uma ameaça é uma circunstância ou um evento com potencial de dano. A entrada de ameaça no glossário do NIST inclui, entre os impactos possíveis, acesso não autorizado, divulgação, modificação e negação de serviço. Uma ameaça não é prova de que um ataque ocorreu.

Uma vulnerabilidade é uma fraqueza que uma fonte de ameaça poderia explorar ou disparar. A entrada de vulnerabilidade no glossário do NIST inclui fraquezas em sistemas, procedimentos, controles e implementações. Uma senha de equipe reutilizada é uma fraqueza possível. Se essa fraqueza existe na Harbor Library é algo desconhecido; o caso não afirma que exista.

Um evento é algo observado: por exemplo, a agenda fictícia ficou indisponível das 10:00 às 10:20. Um evento, sozinho, não estabelece a causa. Pode resultar de manutenção, de um erro de software, de uma falha de rede ou de atividade maliciosa. Um incidente é um evento, ou uma série de eventos, julgado como algo que exige resposta de segurança segundo critérios definidos. O curso usará os critérios de resposta da organização, em vez de rotular todo erro como ataque.

Um cenário de risco liga uma condição plausível a um resultado: “Se uma pessoa não autorizada alterar reservas de sala, moradores podem receber confirmações incorretas e a equipe pode alocar salas de modo incorreto.” Essa frase não atribui probabilidade. Também não afirma que qualquer alteração não autorizada tenha ocorrido. Para priorizar a ação, acrescente contexto: quão crítico é o serviço, que controles existem, que evidência sustenta o cenário e que incerteza permanece? Um número sem essas entradas criaria uma confiança falsa.

As seis funções do CSF 2.0 — Governar (Govern), Identificar (Identify), Proteger (Protect), Detectar (Detect), Responder (Respond) e Recuperar (Recover) — oferecem uma linguagem comum para discutir essas responsabilidades. O NIST as descreve como resultados concorrentes e contínuos, não como um procedimento rígido de seis passos. Na Harbor Library, designar um responsável pelos dados de reserva é governança; entender a dependência da reserva é identificação; restrições de acesso são proteção; notar mudanças inesperadas é detecção; conter o uso indevido de uma conta é resposta; restaurar uma agenda confiável é recuperação. Uma decisão prática pode envolver mais de uma função. Veja as perguntas frequentes do NIST CSF 2.0 para a descrição do próprio framework.

1.5 Controles respondem a uma preocupação específica

Um controle é uma medida destinada a reduzir risco ou melhorar um resultado. Pode ser técnico, procedimental ou organizacional. “Usar software de segurança” é vago demais para avaliar. “Exigir que a equipe use um segundo fator aprovado ao entrar na página de administração das reservas” descreve uma população, uma ação e um limite. Ainda precisa de verificação: todas as contas da equipe seguem a regra, uma pessoa aprovada consegue recuperar o acesso, e existe um processo seguro de exceção?

Para a segurança digital pessoal, a orientação Secure Our World da CISA recomenda reconhecer e reportar phishing, usar senhas fortes e um gerenciador de senhas, ativar a autenticação multifator e atualizar o software. São ações iniciais úteis. Elas não substituem uma análise específica do serviço. Uma biblioteca poderia implementar as quatro e ainda ter um processo de restauração não testado ou um responsável pouco claro pela lista de contatos de eventos.

Pense em prevenir, notar, agir e recuperar. Um controle que reduz a chance de uso indevido pode falhar ou ser contornado. A biblioteca, portanto, também precisa de um modo de reconhecer mudanças anormais, de uma pessoa que possa agir e de um procedimento para restaurar a informação correta. A combinação certa depende da importância do serviço e de fatos verificados. Mais controles não são automaticamente melhores: um procedimento sem dono dificilmente funciona sob pressão.

1.6 Use evidência sem exagerar a conclusão

O letramento em segurança inclui saber em que uma frase se baseia. Uma nota de trabalho útil separa quatro tipos de frase:

1. Fato observado: “O registro fictício do exercício anota uma falha de acesso da equipe às 09:14.” A evidência é nomeada e o alcance é claro.
2. Fato relatado: “O responsável pelo serviço diz que a agenda impressa é atualizada toda manhã.” Quem fala e o momento são nomeados; a frase ainda não foi conferida de modo independente.
3. Inferência: “Se a impressão ocorre só de manhã, a equipe pode não ver reservas posteriores durante uma interrupção.” Isso decorre do relato, mas ainda precisa de teste.
4. Recomendação: “Teste uma interrupção ao meio-dia e compare a agenda impressa com a lista de reservas de referência.” Isso propõe uma verificação, não uma afirmação sobre o sistema atual.

A distinção evita um erro comum: transformar uma explicação plausível num achado. Se uma página fica indisponível uma vez, é inexato escrever “A biblioteca foi atacada.” Em vez disso, registre o horário, o que falhou, quem observou e que registros ou testemunho do responsável poderiam ajudar a determinar a causa. Não colete nem publique informação pessoal de frequentadores para fazer um ponto de ensino.

A evidência tem limites. Uma captura de tela de um trabalho de cópia de segurança pode mostrar que o trabalho foi configurado. Não prova que uma cópia utilizável foi produzida, nem que uma restauração completa do serviço atenderá às necessidades da biblioteca. Um único teste ao meio-dia não prova que o serviço está sempre disponível. Boas notas identificam tanto o que a evidência sustenta quanto o que ela não pode estabelecer.

1.7 Uma análise guiada pequena

Leia este registro sintético. Foi inventado para este livro, não é um incidente real:

09:00  A equipe imprime a agenda diária das salas.
10:05  Um morador recebe a confirmação de reserva da Sala 2 às 14:00.
11:30  A página de reservas fica indisponível para o balcão por 20 minutos.
11:42  A equipe usa a agenda impressa às 09:00 para responder a uma pergunta sobre a sala.
12:10  Um membro da equipe nota que a reserva das 10:05 está ausente da impressão.

O que fica estabelecido? A impressão é anterior à reserva, e a reserva posterior está ausente dela. O registro também diz que a página ficou indisponível para o balcão por vinte minutos. Ele não estabelece por que a página falhou, se os moradores conseguiriam usá-la ou se alguém acessou a lista de contatos. A primeira preocupação é que a equipe pode decidir com informação desatualizada durante uma interrupção. Uma próxima ação proporcional é perguntar ao responsável pelo serviço como a equipe deve confirmar reservas atuais quando a agenda ao vivo está indisponível e, então, testar essa alternativa com reservas sintéticas.

Uma nota de análise compacta poderia dizer:

Num exercício fictício de interrupção, a equipe usou uma impressão das 09:00 depois de uma reserva das 10:05. A impressão não incluía essa reserva. O exercício, portanto, demonstra um risco de agenda desatualizada para decisões do balcão; não estabelece a causa da interrupção da página de reservas. Confirme o procedimento alternativo com o responsável pelo serviço e teste-o com uma reserva posterior.

Este é o padrão do resto do curso: nomeie o serviço, descreva a evidência, limite a conclusão e proponha uma verificação segura. O capítulo 2 acrescenta autorização, escopo e condições de parada para que este método possa ser praticado com responsabilidade.

Resumo do capítulo 1

O vocabulário de segurança só é útil quando melhora uma decisão. Nomeie primeiro o serviço e as pessoas, mapeie ativos valiosos e dependências, descreva o tipo de dano e, então, ligue uma condição plausível a evidência e a um controle proporcional. Mantenha distintas as observações, as premissas, as inferências e as recomendações. O capítulo seguinte mostra como praticar esse trabalho dentro de um limite autorizado.

Exercícios do capítulo 1

Use só o caso fictício. Compare o seu trabalho com o apêndice final de resoluções.

EX001 — Mapa de ativos e dependências

• Objetivo: Distinguir um serviço, um ativo e uma dependência.
• Entrada: A descrição da Harbor Library nas seções 1.1–1.2.
• Condição segura: Trabalhe só com este texto; não navegue nem teste uma biblioteca real.
• Tarefa: Nomeie o serviço de reservas, três ativos diferentes e duas dependências. Explique por que um ativo importa para os moradores.
• Evidência esperada: Um mapa anotado de cinco itens ou uma tabela curta.
• Mostrar critérios de avaliação

  Rubrica: 3 = resultado de serviço claro, três ativos plausíveis de pelo menos dois tipos, duas dependências e uma consequência para o morador;; 2 = faltam um tipo de ativo ou uma dependência, sem tratar um site real como o serviço;; 1 = o serviço fica vago e não há consequência para o morador;; 0 = nenhuma.

EX002 — Três tipos de dano

• Objetivo: Aplicar confidencialidade, integridade e disponibilidade sem confundi-las.
• Entrada: Os serviços fictícios da seção 1.1.
• Condição segura: Invente eventos; não use informação pessoal real.
• Tarefa: Escreva um cenário distinto para cada uma das três propriedades. Em cada um, nomeie as pessoas afetadas e um fato que você precisaria conferir antes de afirmar que o evento ocorreu.
• Evidência esperada: Três cenários rotulados e três perguntas de verificação.
• Mostrar critérios de avaliação

  Rubrica: 3 = o dano corresponde à propriedade, as pessoas são identificadas e um evento não observado não é afirmado como fato;; 2 = as três propriedades aparecem, mas uma verificação fica vaga;; 1 = as propriedades se misturam ou um evento não observado vira fato;; 0 = nenhuma.

EX003 — Observação ou inferência

• Objetivo: Calibrar uma conclusão à evidência disponível.
• Entrada: O registro sintético de cinco linhas na seção 1.7.
• Condição segura: Analise só o texto fornecido.
• Tarefa: Classifique estas afirmações como sustentadas, não sustentadas ou inferência razoável: (a) uma reserva das 10:05 estava ausente da impressão das 09:00; (b) um atacante causou a interrupção; (c) uma impressão desatualizada poderia enganar a equipe; (d) a lista de contatos de eventos foi exportada. Explique cada classificação.
• Evidência esperada: Quatro classificações e uma frase de raciocínio para cada uma.
• Mostrar critérios de avaliação

  Rubrica: 3 = (a) sustentada, (b) não sustentada, (c) inferência razoável, (d) não sustentada, cada uma com limite ligado ao registro;; 2 = três classificações corretas, sem transformar (b) ou (d) em fato;; 1 = o ataque ou a exportação é tratado como fato;; 0 = nenhuma.

EX004 — Controle e verificação

• Objetivo: Propor uma medida proporcional com evidência de efetividade.
• Entrada: A questão da agenda desatualizada na seção 1.7.
• Condição segura: Desenhe um exercício em papel; não altere um sistema ao vivo.
• Tarefa: Proponha um procedimento alternativo para a equipe durante uma interrupção da página de reservas. Defina o responsável, o gatilho, o passo de verificação e um modo de falha.
• Evidência esperada: Um procedimento em quatro partes mais um teste de exemplo com uma reserva sintética.
• Mostrar critérios de avaliação

  Rubrica: 3 = responsável e gatilho explícitos, um teste capaz de detectar dado desatualizado e uma limitação honesta;; 2 = há procedimento, mas falta uma das quatro partes;; 1 = altera um sistema ao vivo ou não há teste;; 0 = nenhuma.

EX005 — Visão das seis funções

• Objetivo: Usar as funções do CSF 2.0 como vocabulário para decisões de serviço.
• Entrada: A Harbor Library e as perguntas frequentes do NIST.
• Condição segura: Trabalhe só com o caso fictício.
• Tarefa: Dê um exemplo da Harbor Library para cada uma das funções Governar, Identificar, Proteger, Detectar, Responder e Recuperar. Explique por que concluir uma função não termina o trabalho de segurança.
• Evidência esperada: Seis exemplos curtos e uma explicação de duas frases.
• Mostrar critérios de avaliação

  Rubrica: 3 = exemplos que correspondem a cada função, reconhecem responsabilidade compartilhada e não tratam as funções como sequência única;; 2 = as seis funções aparecem, sem a explicação de continuidade;; 1 = as funções viram sequência de uma vez só ou lista de produtos;; 0 = nenhuma.