Capítulo 1 — Um mês para acertar o básico

Capítulo 1 — Um mês para acertar o básico

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX051.

flowchart TD
  N0["1.1 A aluna"]
  N1["1.2 A clínica"]
  N2["1.3 O que a clínica guarda"]
  N3["1.4 O que não pode ser perdido"]
  N4["1.5 Regras básicas"]
  N5["Dados — onde está a informação da Hollybank"]
  N6["Fluxo de decisão — marcar um item"]
  N7["Aplicar"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX051"]

Desenho lógico

flowchart LR
  N0["1.1 A aluna"]
  N1["1.2 A clínica"]
  N2["1.3 O que a clínica guarda"]
  N3["1.4 O que não pode ser perdido"]
  N4["1.5 Regras básicas"]
  N5["Dados — onde está a informação da Hollybank"]
  N6["Fluxo de decisão — marcar um item"]
  N7["Aplicar"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX051"]

[1.1 A aluna]
    |
    v
[1.2 A clínica]
    |
    v
[1.3 O que a clínica guarda]
    |
    v
[1.4 O que não pode ser perdido]
    |
    v
[1.5 Regras básicas]
    |
    v
[Dados — onde está a informação da Hollybank]
    |
    v
[Fluxo de decisão — marcar um item]
    |
    v
[Aplicar]
    |
    v
[Exemplo resolvido] --> [Exercício EX051]

Objetivos de aprendizagem

Você vai (1) descrever o que cobre o curso rápido de um mês; (2) conhecer o caso que acompanha o livro; (3) listar o que uma pequena clínica guarda e o que ela não pode perder.

1.1 A aluna

Sofia Lindqvist é a gerente de uma pequena clínica veterinária. Depois que uma empresa vizinha perdeu uma semana de trabalho por causa de um ransomware, a dona pede a ela que garanta que a clínica não seja a próxima. Sofia se matricula num curso rápido de um mês em segurança da informação no fictício Eastgate Training Centre, com quatro sessões semanais e tarefas curtas entre elas. Seu instrutor, o Sr. Tomasz Nowak, passou anos ajudando pequenas empresas a se recuperar de incidentes. Ele diz à turma que um mês basta para corrigir as fraquezas mais comuns, embora não para se tornar especialista.

1.2 A clínica

Sofia trabalha na fictícia Hollybank Veterinary Practice, uma unidade única com dois veterinários, quatro enfermeiros, três recepcionistas e uma pequena equipe de escritório, dezoito funcionários ao todo. A clínica usa um sistema de gestão clínica em nuvem para as consultas, os prontuários dos animais e os pagamentos, um serviço de e-mail e arquivos em nuvem e nove computadores, além de dois tablets. Os registros dos clientes guardam nomes, endereços, telefones e o histórico de pagamentos. Um técnico externo vem quando algo quebra. A dona, a Dra. Rachel Moss, quer a clínica protegida sem atrasar o balcão da recepção nas manhãs movimentadas, quando já se formam filas.

1.3 O que a clínica guarda

Na primeira tarefa, Sofia lista as informações que a clínica guarda e onde elas ficam. Os prontuários dos animais e dos clientes, as consultas e os pagamentos estão no sistema de gestão clínica. Os contratos e as escalas dos funcionários ficam em pastas compartilhadas. As faturas e os dados bancários dos fornecedores chegam por e-mail. Os resultados de exames chegam por e-mail de um laboratório externo. As fotos de marketing para as redes sociais da clínica também ficam em pastas compartilhadas. O Sr. Nowak pede que ela marque cada item pelo dano que um vazamento, uma alteração errada ou uma perda causaria, usando alto, médio ou baixo.

1.4 O que não pode ser perdido

Sofia combina três prioridades com a Dra. Moss. A clínica não pode perder o acesso ao sistema de gestão clínica durante o horário de funcionamento, porque as consultas e as anotações de tratamento dependem dele. Ela não pode deixar vazar os contatos e os dados de pagamento dos clientes, porque os clientes os confiam à clínica e a lei exige que sejam protegidos. E ela não pode pagar uma fatura fraudulenta de fornecedor, porque as margens são apertadas. O Sr. Nowak explica que a ISO/IEC 27000:2026 descreve a segurança da informação como a proteção da confidencialidade, da integridade e da disponibilidade e que as três prioridades de Sofia correspondem perfeitamente a esses três objetivos.

1.5 Regras básicas

O Sr. Nowak define três regras para o mês. Obter a concordância por escrito da Dra. Moss antes de mudar qualquer configuração. Nunca colocar dados reais de clientes nos trabalhos do curso nem em exemplos compartilhados. Anotar cada mudança com a data e o motivo, para que o técnico e a Dra. Moss possam ver o que foi feito. Sofia cria um log de mudanças simples num documento compartilhado que só ela e a Dra. Moss podem abrir. O Sr. Nowak acrescenta que as pequenas empresas muitas vezes são prejudicadas por mudanças bem-intencionadas que ninguém registrou, porque os problemas posteriores não podem ser rastreados até sua causa.

Exemplo resolvido

Sofia entra no curso rápido, lista o que guarda a clínica de dezoito pessoas da Hollybank, combina três prioridades ligadas à confidencialidade, à integridade e à disponibilidade e inicia um log de mudanças.

Caso sintético. O Eastgate, a Hollybank e todas as pessoas são sintéticos.

Erros e limites

As mudanças não registradas tornam os problemas posteriores difíceis de rastrear.

Conceitos — três objetivos, uma marca de dano

A ISO/IEC 27000:2026 nomeia confidencialidade, integridade e disponibilidade. A marca alta, média ou baixa de Sofia é o modo como a Hollybank usa esses objetivos antes de comprar qualquer produto. A marca não é uma impressão sobre o quanto um arquivo parece secreto. É o dano que a leitura por um estranho, uma alteração errada ou uma perda causaria numa segunda-feira real.

Dados — onde está a informação da Hollybank

Conte os lugares, não as marcas dos produtos. Seis tipos de informação estão em três lugares: o sistema da clínica, as pastas compartilhadas e o e-mail. O log de mudanças registra uma mudança de lugar. Ele não substitui a marca.

Fluxo de decisão — marcar um item

flowchart TD
  A["Um item que Sofia sabe nomear e localizar"] --> B{"Um estranho que lesse isto prejudicaria um cliente ou violaria um dever?"}
  B -->|Sim| C["Confidencialidade alta"]
  B -->|Não| D{"Uma alteração errada causaria um pagamento errado ou um tratamento errado?"}
  D -->|Sim| E["Integridade alta"]
  D -->|Não| F{"Perder isto no horário de funcionamento pararia consultas ou notas?"}
  F -->|Sim| G["Disponibilidade alta"]
  F -->|Não| H["Médio ou baixo. O item continua na lista"]
  C --> I["Anote a marca, o lugar e a data no log de mudanças"]
  E --> I
  G --> I
  H --> I
  I --> J["A Dra. Moss concorda por escrito antes de qualquer ajuste"]

Um item pode ser alto em mais de um objetivo. O fluxo faz as três perguntas em ordem para a recepção não parar na primeira palavra técnica. A linha do log é a evidência de que a marca foi feita. Sem data e sem motivo, um problema posterior não pode ser rastreado, que é a regra da seção 1.5.

Exemplo resolvido — uma fotografia que não é divulgação

Uma enfermeira copia a fotografia de uma ferida para a pasta de divulgação, para achá-la no plantão seguinte. O nome do arquivo começa com o primeiro nome do cliente. Sofia não usa a linha de divulgação da tabela. Um estranho que abrisse essa pasta veria uma imagem clínica ligada a um cliente, então a confidencialidade é alta. Um arquivo ausente no dia da revisão também esconderia a comparação de que o veterinário precisa, então a disponibilidade da cópia de trabalho é alta. Sofia move a fotografia para o sistema da clínica, apaga a cópia compartilhada e escreve a mudança no log antes do fim do turno. A Dra. Moss concorda por escrito porque, no dia seguinte, a equipe vai procurar em outro lugar.

Caso sintético. A fotografia, o nome do arquivo e o atalho da enfermeira são inventados. Nenhum animal ou cliente é mostrado.

Aplicar

• EX051 — Marcar um resultado de exame. Um e-mail nomeia o cliente. Se o texto estiver errado, o tratamento da tarde muda. Se o e-mail faltar nessa manhã, o veterinário não compara o resultado com as notas. Dê a marca de confidencialidade, a marca de integridade e diga qual objetivo a ausência do e-mail ameaça primeiro. Rubrica: 3 = confidencialidade alta porque o cliente é nomeado; integridade alta porque o tratamento ficaria errado; a disponibilidade vem primeiro se o e-mail falta quando o veterinário precisa dele;; 2 = duas dessas três;; 1 = uma;; 0 = nenhuma.
• EX052 — Log atrasado. Sofia move a fotografia na segunda-feira e escreve o log na sexta. Qual regra falhou, e o que ainda pode ser verdade na quarta-feira? Rubrica: 3 = cada mudança é escrita com a data e o motivo quando acontece; na quarta a cópia compartilhada pode continuar aberta e ninguém rastreia a mudança;; 2 = só a regra do registro no mesmo dia;; 1 = vago;; 0 = nenhuma.

Exercícios

• EX001 — Duração do curso. Quanto dura o curso de Sofia? Rubrica: 3 = um mês, quatro sessões;; 2 = parcialmente correto;; 1 = parcial;; 0 = nenhuma.

• EX002 — Gatilho. O que levou a dona a agir? Rubrica: 3 = o ransomware de um vizinho;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX003 — Número de funcionários. Quantos funcionários a Hollybank tem? Rubrica: 3 = dezoito;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX004 — Sistema central. Onde ficam os prontuários dos animais e as consultas? Rubrica: 3 = sistema de gestão clínica em nuvem;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX005 — Número de dispositivos. Quantos computadores e tablets a clínica usa? Rubrica: 3 = nove computadores, dois tablets;; 2 = os dois;; 1 = um;; 0 = nenhuma.

• EX006 — Condição da dona. O que a Dra. Moss pediu? Rubrica: 3 = proteção sem atrasar a recepção;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX007 — Resultados de exames. Como chegam os resultados dos exames de laboratório? Rubrica: 3 = por e-mail;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX008 — Marcação do dano. Como Sofia marca cada item de informação? Rubrica: 3 = dano alto, médio ou baixo;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX009 — Prioridade de disponibilidade. Qual prioridade trata da disponibilidade? Rubrica: 3 = o sistema da clínica no horário de funcionamento;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

• EX010 — Prioridade de integridade. Qual prioridade trata da integridade? Rubrica: 3 = não pagar uma fatura fraudulenta;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

• EX011 — Norma citada. Qual norma descreve os três objetivos? Rubrica: 3 = ISO/IEC 27000:2026;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

• EX012 — Acesso ao log de mudanças. Quem pode abrir o log de mudanças? Rubrica: 3 = Sofia e a Dra. Moss;; 2 = parcialmente correto;; 1 = outra pessoa;; 0 = nenhuma.

• EX013 — Motivo do log. Por que registrar cada mudança? Rubrica: 3 = para que os problemas possam ser rastreados;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 01 (capítulo 01 de 04)

← Início do curso · Índice das aulas · Capítulo 02 →

Continue para a próxima aula já escrita.