Capítulo 2 — Escopo, permissão e prática segura | Curso rápido Fatores humanos e política cibernética

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Escopo, permissão e prática segura

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX014.

flowchart TD
  N0["2.1 Definição do escopo"]
  N1["2.2 Permissão"]
  N2["2.3 Manuseio seguro dos reportes"]
  N3["2.4 Simulações e ética"]
  N4["2.5 Resumo da prática segura"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX014"]

Desenho lógico

flowchart LR
  N0["2.1 Definição do escopo"]
  N1["2.2 Permissão"]
  N2["2.3 Manuseio seguro dos reportes"]
  N3["2.4 Simulações e ética"]
  N4["2.5 Resumo da prática segura"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX014"]

[2.1 Definição do escopo]
    |
    v
[2.2 Permissão]
    |
    v
[2.3 Manuseio seguro dos reportes]
    |
    v
[2.4 Simulações e ética]
    |
    v
[2.5 Resumo da prática segura]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX014]

Objetivos de aprendizagem

Você vai (1) definir o escopo do trabalho de segurança numa pequena organização beneficente; (2) obter permissão e respeitar limites; (3) praticar com segurança e ética, inclusive quanto às simulações.

2.1 Definição do escopo

Callum pede a Ruth que escreva o que seu trabalho de segurança vai abranger. Estão no escopo o reporte de mensagens suspeitas, o procedimento de alteração bancária, as contas individuais e um guia curto de boas-vindas para os voluntários. Ficam fora do escopo ler o e-mail de qualquer pessoa, monitorar o que os voluntários fazem e qualquer teste que engane as pessoas sem acordo. Pôr o escopo por escrito ajuda Ruth a explicar sua função aos colegas e a protege de pedidos que prejudicariam a confiança, como vigiar determinados voluntários. A gerente o lê.

2.2 Permissão

Ruth pede à gerente da organização e à presidente do conselho de curadores que aprovem seu escopo de uma página. Elas o assinam. Ruth conta aos funcionários e aos coordenadores de voluntários o que vai fazer e por quê. Callum explica que a permissão importa mesmo para mudanças pequenas e amigáveis, porque o trabalho de segurança mexe com as contas das pessoas, com seus dados e com a sensação de que confiam nelas. Pedir antes também traz ideias úteis: a coordenadora de voluntários sugere incluir o guia no kit de integração que todo voluntário novo já recebe, o que poupa Ruth de criar um processo separado.

2.3 Manuseio seguro dos reportes

Ruth aprende hábitos seguros para lidar com as mensagens reportadas. Ela nunca clica em links nem abre anexos dos e-mails reportados; encaminha-os ao voluntário de TI da organização pelo método combinado; e registra apenas a data, o tipo e o desfecho, não quem reportou. Se um reporte sugere algo grave, como dados de doadores enviados ao endereço errado, ela segue as etapas de incidente da organização e pede ajuda ao voluntário de TI, em vez de investigar sozinha. O manuseio seguro protege tanto a organização quanto a pessoa que reportou.

2.4 Simulações e ética

A gerente da organização pergunta se o Riverbend deveria enviar e-mails falsos de phishing para testar os voluntários. Callum explica que o engano pode prejudicar a confiança, da qual depende uma organização baseada em voluntários. Lain, Kostiainen e Čapkun (2022) constataram que algumas práticas comuns de simulação não ajudavam. Ruth recomenda nenhuma simulação por enquanto. Se algum dia forem usadas, as regras devem ser acordadas com os representantes dos funcionários e dos voluntários: anunciar o programa, evitar iscas sobre dinheiro, comida ou dificuldades pessoais, dar retorno gentil na hora, relatar só totais e nunca usar os resultados contra ninguém.

2.5 Resumo da prática segura

Ruth escreve para si mesma um resumo curto da prática segura: trabalhar dentro do escopo assinado; pedir antes de alterar o acesso de qualquer pessoa; lidar com os reportes sem clicar; manter os registros sem nomes; usar exemplos sintéticos nos treinamentos; e praticar os procedimentos com encenação anunciada, e não com testes secretos. Ela o prende acima da sua mesa. Callum observa que esses hábitos são o que separa um trabalho de segurança confiável de uma interferência bem-intencionada, e que importam ainda mais em organizações beneficentes, onde as pessoas doam seu tempo livremente e podem simplesmente ir embora se sentirem desconfiança.

Exemplo resolvido

Ruth escreve um escopo e obtém sua aprovação, adota um manuseio seguro dos reportes, recomenda nenhuma simulação, com regras rígidas para o futuro, e escreve um resumo da prática segura.

Caso sintético. O escopo e as regras são sintéticos; Lain et al. (2022) é real.

Erros e limites

O escopo pode precisar de atualização. Os voluntários podem não ler os guias.

Exercícios

EX014 — Item fora do escopo. Cite um item fora do escopo de Ruth. Rubrica: 3 = ler o e-mail de qualquer pessoa;; 2 = monitoramento;; 1 = reporte;; 0 = nenhuma.
EX015 — Signatárias do escopo. Quem assinou o escopo de Ruth? Rubrica: 3 = a gerente da organização e a presidente do conselho de curadores;; 2 = duas;; 1 = vago;; 0 = nenhuma.
EX016 — Ideia da coordenadora. O que a coordenadora de voluntários sugeriu? Rubrica: 3 = incluir o guia no kit de integração;; 2 = integração;; 1 = vago;; 0 = nenhuma.
EX017 — Regra dos links reportados. O que Ruth nunca deve fazer com os links dos e-mails reportados? Rubrica: 3 = clicar neles;; 2 = não clicar;; 1 = vago;; 0 = nenhuma.
EX018 — Campos registrados. O que Ruth registra sobre os reportes? Rubrica: 3 = apenas data, tipo e desfecho;; 2 = mínimo;; 1 = nomes;; 0 = nenhuma.
EX019 — Reporte grave. O que Ruth faz com um reporte grave? Rubrica: 3 = segue as etapas de incidente com o voluntário de TI;; 2 = escala;; 1 = investiga sozinha;; 0 = nenhuma.
EX020 — Risco das simulações. Por que as simulações são arriscadas para uma organização de voluntários? Rubrica: 3 = o engano pode prejudicar a confiança;; 2 = confiança;; 1 = custo;; 0 = nenhuma.
EX021 — Recomendação sobre simulações. O que Ruth recomenda agora sobre as simulações? Rubrica: 3 = nenhuma simulação por enquanto;; 2 = nenhuma simulação, sem o "por enquanto";; 1 = mensais;; 0 = sem resposta.
EX022 — Temas de isca proibidos. Que temas de isca são proibidos se algum dia houver simulações? Rubrica: 3 = dinheiro, comida ou dificuldades pessoais;; 2 = dificuldades;; 1 = vago;; 0 = nenhuma.
EX023 — Uso dos resultados. Como os resultados de simulação podem ser usados? Rubrica: 3 = só como totais, nunca contra ninguém;; 2 = agregados;; 1 = vago;; 0 = nenhuma.
EX024 — Prática dos procedimentos. Como os procedimentos devem ser praticados? Rubrica: 3 = encenação anunciada;; 2 = encenação;; 1 = testes secretos;; 0 = nenhuma.
EX025 — Por que os hábitos importam mais. Por que os hábitos seguros importam ainda mais nas organizações beneficentes? Rubrica: 3 = os voluntários podem ir embora se sentirem desconfiança;; 2 = voluntários;; 1 = vago;; 0 = nenhuma.
EX026 — Resumo afixado. Onde Ruth guarda seu resumo da prática segura? Rubrica: 3 = preso acima da sua mesa;; 2 = mesa;; 1 = vago;; 0 = nenhuma.

Síntese

Escopo claro, permissão e hábitos éticos tornam o trabalho de segurança confiável.

Continue estudando — aula 02 (capítulo 02 de 04)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.