Capítulo 2 — Escopo, permissão e prática segura

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX053.

flowchart TD
  N0["2.1 Por que o escopo vem primeiro"]
  N1["2.2 Permissão e autoridade"]
  N2["2.3 Tratar dados pessoais com segurança"]
  N3["2.4 Desenhar um exercício seguro"]
  N4["2.5 Registrar o que foi feito"]
  N5["Conceitos — quatro portões que não se abrem uns aos"]
  N6["Fluxo de decisão — ler, exportar, restaurar ou parar"]
  N7["Aplicar"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX053"]

Desenho lógico

flowchart LR
  N0["2.1 Por que o escopo vem primeiro"]
  N1["2.2 Permissão e autoridade"]
  N2["2.3 Tratar dados pessoais com segurança"]
  N3["2.4 Desenhar um exercício seguro"]
  N4["2.5 Registrar o que foi feito"]
  N5["Conceitos — quatro portões que não se abrem uns aos"]
  N6["Fluxo de decisão — ler, exportar, restaurar ou parar"]
  N7["Aplicar"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX053"]

[2.1 Por que o escopo vem primeiro]
    |
    v
[2.2 Permissão e autoridade]
    |
    v
[2.3 Tratar dados pessoais com segurança]
    |
    v
[2.4 Desenhar um exercício seguro]
    |
    v
[2.5 Registrar o que foi feito]
    |
    v
[Conceitos — quatro portões que não se abrem uns aos]
    |
    v
[Fluxo de decisão — ler, exportar, restaurar ou parar]
    |
    v
[Aplicar]
    |
    v
[Exemplo resolvido] --> [Exercício EX053]

Objetivos de aprendizagem

Você vai (1) definir por escrito o escopo de uma revisão de governança; (2) obter e registrar permissão antes de tocar em sistemas ou dados; (3) planejar a coleta de evidências e exercícios que não possam prejudicar serviços nem pessoas.

2.1 Por que o escopo vem primeiro

O capítulo 1 terminou com a Northstar Community Services rascunhando uma estratégia em torno do portal de agendamento e de um exercício cronometrado de restauração. Antes que alguém execute esse exercício ou colete evidências, o trabalho precisa de um escopo escrito. Um escopo declara quais serviços, sistemas, dados, locais e pessoas estão incluídos, quais estão excluídos e por quanto tempo o trabalho vai durar. Na Northstar, o primeiro escopo cobre o portal de agendamento, seu banco de dados de agendamento, o provedor de identidade e o serviço de backup. A gestão de casos e a escala de voluntários ficam de fora por enquanto, com uma nota de que serão revisadas no próximo trimestre. Um escopo claro evita duas falhas comuns: um trabalho que se expande silenciosamente para sistemas que ninguém aprovou e conclusões que afirmam mais do que as evidências cobrem.

2.2 Permissão e autoridade

Escopo não é o mesmo que permissão. O engenheiro de segurança pode saber ler logs de backup ou exportar contas, mas saber fazer não é autoridade para fazer. A permissão precisa vir da pessoa responsável por cada sistema ou conjunto de dados, e deve ser dada por escrito. Na Northstar, o diretor de operações é dono do serviço de agendamento e aprova a revisão; o responsável pela proteção de dados também precisa concordar, porque o banco de dados de agendamento guarda dados pessoais de clientes. A aprovação declara o que pode ser lido, o que pode ser alterado, quem pode fazê-lo e quando. Se mais tarde o engenheiro encontrar algo fora do escopo, como uma conta suspeita no sistema de gestão de casos, a conduta correta é comunicar o fato ao dono desse sistema, e não investigá-lo sozinho.

2.3 Tratar dados pessoais com segurança

O trabalho de governança muitas vezes toca dados pessoais mesmo quando sua finalidade não diz respeito a pessoas. Exportações de contas listam nomes de funcionários; testes de restauração copiam registros de consultas de clientes. A Northstar aplica os mesmos princípios que espera de todas as equipes: usar o mínimo de dados necessário, proteger o que for coletado e não guardar nada por mais tempo do que o preciso. O engenheiro pede exportações de contas apenas com os campos necessários à revisão, guarda as evidências em uma pasta restrita, mascara nomes de clientes nas capturas de tela e apaga as cópias temporárias depois do exercício. O NIST Privacy Framework trata o risco de privacidade como mais amplo do que os incidentes de segurança, o que lembra à equipe que um trabalho de revisão descuidado pode, ele próprio, causar dano à privacidade, mesmo sem nenhum atacante envolvido.

2.4 Desenhar um exercício seguro

O exercício de restauração do capítulo 1 não pode pôr em risco o portal em produção. A equipe escreve um plano curto: restaurar em um ambiente de teste isolado, nunca por cima da produção; usar o backup real mais recente, mas bloquear todo e-mail de saída para que os agendamentos de teste não cheguem aos clientes; marcar o exercício fora do horário de atendimento; nomear uma pessoa que possa interrompê-lo a qualquer momento; e definir antes de começar o que significa sucesso. O plano também lista o que pode dar errado, como restaurar por acidente por cima do banco de dados em produção, e o controle para cada risco, como credenciais separadas para o ambiente de teste. Pôr essas salvaguardas por escrito transforma um teste bem-intencionado em uma atividade governada, que o diretor de operações pode aprovar com confiança.

2.5 Registrar o que foi feito

A prática segura termina com um registro. Para cada atividade dentro do escopo, a Northstar registra a data, a pessoa, a referência da aprovação, o que foi acessado ou alterado e quais evidências foram guardadas. O registro tem três finalidades. Permite que outras pessoas repitam ou confiram o trabalho. Mostra que a equipe permaneceu dentro da permissão recebida. E dá ao diretor de operações uma base para decidir, porque as conclusões podem ser rastreadas até as evidências, e não até a memória de alguém. O registro não exige software especial; um log datado em uma pasta compartilhada restrita, revisado pelo diretor de operações no fim de cada mês, basta para uma organização do porte da Northstar.

Exemplo resolvido

A Northstar escreve um escopo que cobre o portal de agendamento e suas dependências, obtém aprovação por escrito do diretor de operações e do responsável pela proteção de dados, planeja um exercício de restauração isolado com regra de interrupção e registra todas as atividades.

Caso sintético. A Northstar Community Services e todos os seus detalhes continuam fictícios, dando sequência ao caso do capítulo 1.

Erros e limites

Escopos podem ser estreitos demais para mostrar as dependências reais. Uma permissão por escrito não torna seguro um teste inseguro. O mascaramento pode falhar se as capturas de tela incluírem campos inesperados.

Conceitos — quatro portões que não se abrem uns aos outros

Quatro perguntas permanecem independentes. Uma página de escopo lista inclusões e uma exclusão datada. Uma página de permissão nomeia o verbo, o ator e o relógio. Uma página de teste seguro nomeia o lugar, o bloqueio de saída e a pessoa autorizada a interromper o trabalho. Uma página de custódia nomeia a pasta. Passar na página de escopo não assina a página de permissão.

Tabela da aula; deslize para ver todas as colunas →

Fluxo de decisão — ler, exportar, restaurar ou parar

flowchart TD
  A["Uma ação proposta"] --> B{"Ela está na lista escrita de inclusão?"}
  B -->|Não| C["Comunique ao dono. Não abra"]
  B -->|Sim| D{"A aprovação nomeia este verbo?"}
  D -->|Só leitura| E["Não restaure e não exporte"]
  D -->|Exportação nomeada, falta uma assinatura| F["Espere o responsável pela proteção de dados"]
  D -->|As duas assinaturas, e o verbo está nomeado| G{"As regras do teste seguro estão presentes?"}
  G -->|A mensagem ainda pode sair, ou o alvo é a produção| H["Pare. Acrescente a cópia isolada e o bloqueio de saída"]
  G -->|Isolado, bloqueado, pessoa nomeada para interromper| I{"A evidência está na pasta restrita?"}
  I -->|Notebook pessoal| J["Mova. Mascarar não substitui a pasta"]
  I -->|Pasta restrita| K["Registre data, pessoa, referência da aprovação e o que mudou"]

Exemplo resolvido — a página de quarta para ler logs

Na quarta-feira o diretor de operações assina uma página que deixa a engenheira ler logs de backup do banco de dados de agendamento. A engenheira começa a preparar uma restauração. Esse verbo nunca esteve na página, então a restauração segue sem aprovação. Mesmo uma página posterior que permitisse restaurar ainda a seguraria enquanto mensagens de saída pudessem alcançar clientes, a menos que a cópia estivesse isolada e alguém nomeado pudesse interromper a execução. Na mesma tarde o diretor assina uma exportação, e a linha de assinatura do responsável pela proteção de dados está em branco. A engenheira não exporta o banco de dados de agendamento. Um colega oferece guardar as capturas mascaradas no notebook pessoal da engenheira para a pasta compartilhada parecer arrumada. Mascarar não conserta a oferta: custódia significa a pasta restrita, e um notebook pessoal falha nela.

Caso sintético. A página de assinatura de quarta-feira e o notebook pessoal são inventados. Os dois aprovadores são os nomeados neste capítulo.

Aplicar

• EX053 — Ler não é restaurar. A aprovação por escrito permite que a engenheira leia logs de backup. Essa aprovação permite uma restauração que ainda pode enviar e-mail aos clientes, e quais salvaguardas ainda faltam?
  Mostrar critérios de avaliação

  Rubrica: 3 = não; faltam o ambiente de teste isolado e o bloqueio do e-mail de saída, e uma pessoa nomeada precisa poder interromper o exercício;; 2 = não, porque a mensagem ainda poderia sair;; 1 = sim, a assinatura basta;; 0 = nenhuma.
• EX054 — Uma assinatura e um notebook. O diretor de operações assinou uma exportação do banco de dados de agendamento. O responsável pela proteção de dados não assinou. A engenheira pode exportar, e capturas mascaradas no notebook pessoal dela satisfazem a regra de custódia?
  Mostrar critérios de avaliação

  Rubrica: 3 = não exportar até o responsável pela proteção de dados assinar; um notebook pessoal falha na regra da pasta restrita mesmo com os nomes mascarados;; 2 = não exportar;; 1 = exportar agora;; 0 = nenhuma.

Exercícios

• EX006 — Conteúdo do escopo. Liste os elementos que um escopo escrito deve declarar.
  Mostrar critérios de avaliação

  Rubrica: 3 = serviços, sistemas, dados, locais, pessoas, exclusões e duração;; 2 = a maioria dos elementos;; 1 = vago;; 0 = nenhuma.
• EX007 — Serviços excluídos. Quais serviços da Northstar ficam fora do primeiro escopo?
  Mostrar critérios de avaliação

  Rubrica: 3 = gestão de casos e escala de voluntários;; 2 = os dois;; 1 = vago;; 0 = nenhuma.
• EX008 — Falhas de escopo. Cite as duas falhas que um escopo claro evita.
  Mostrar critérios de avaliação

  Rubrica: 3 = expansão não aprovada e conclusões exageradas;; 2 = as duas;; 1 = vago;; 0 = nenhuma.
• EX009 — Escopo versus permissão. Explique por que saber ler logs de backup não basta.
  Mostrar critérios de avaliação

  Rubrica: 3 = a permissão precisa vir do dono responsável;; 2 = menciona autoridade;; 1 = vago;; 0 = nenhuma.
• EX010 — Segundo aprovador. Além do diretor de operações, quem precisa aprovar e por quê?
  Mostrar critérios de avaliação

  Rubrica: 3 = o responsável pela proteção de dados, porque o banco guarda dados pessoais de clientes;; 2 = menciona privacidade;; 1 = vago;; 0 = nenhuma.
• EX011 — Achado fora do escopo. Nota-se uma conta suspeita na gestão de casos. O que o engenheiro deve fazer?
  Mostrar critérios de avaliação

  Rubrica: 3 = comunicar ao dono, sem investigar sozinho;; 2 = comunicar;; 1 = investigar;; 0 = nenhuma.
• EX012 — Exportações mínimas. Como devem ser pedidas as exportações de contas?
  Mostrar critérios de avaliação

  Rubrica: 3 = só com os campos necessários à revisão;; 2 = campos mínimos;; 1 = exportação completa;; 0 = nenhuma.
• EX013 — Cuidado com capturas de tela. Que precaução vale para capturas de tela de registros de clientes?
  Mostrar critérios de avaliação

  Rubrica: 3 = mascarar nomes de clientes;; 2 = mascaramento;; 1 = vago;; 0 = nenhuma.
• EX014 — Privacidade além de vazamentos. O que o NIST Privacy Framework lembra à equipe sobre o trabalho de revisão?
  Mostrar critérios de avaliação

  Rubrica: 3 = uma revisão descuidada pode, ela própria, causar dano à privacidade;; 2 = risco mais amplo;; 1 = vago;; 0 = nenhuma.
• EX015 — Restauração isolada. Onde o exercício de restauração deve ser executado?
  Mostrar critérios de avaliação

  Rubrica: 3 = em ambiente de teste isolado, nunca por cima da produção;; 2 = ambiente de teste;; 1 = produção;; 0 = nenhuma.
• EX016 — Bloqueio de e-mail. Por que bloquear o e-mail de saída durante o exercício?
  Mostrar critérios de avaliação

  Rubrica: 3 = para que agendamentos de teste não cheguem aos clientes;; 2 = proteção dos clientes;; 1 = vago;; 0 = nenhuma.
• EX017 — Regra de interrupção. Que papel o plano do exercício nomeia além do operador?
  Mostrar critérios de avaliação

  Rubrica: 3 = uma pessoa que pode interrompê-lo a qualquer momento;; 2 = autoridade para interromper;; 1 = vago;; 0 = nenhuma.
• EX018 — Separação de credenciais. Que controle evita restaurar por engano por cima do banco em produção?
  Mostrar critérios de avaliação

  Rubrica: 3 = credenciais separadas para o ambiente de teste;; 2 = credenciais separadas;; 1 = vago;; 0 = nenhuma.
• EX019 — Finalidades do registro. Declare as três finalidades do registro de atividades.
  Mostrar critérios de avaliação

  Rubrica: 3 = repetibilidade, prova de permanência no escopo, base para decisões;; 2 = as três;; 1 = vago;; 0 = nenhuma.
• EX020 — Revisão do registro. Quem revisa o log de atividades e com que frequência?
  Mostrar critérios de avaliação

  Rubrica: 3 = o diretor de operações, mensalmente;; 2 = mensalmente;; 1 = vago;; 0 = nenhuma.

Síntese

Escopo por escrito, permissão explícita, manuseio cuidadoso dos dados, desenho seguro dos exercícios e um registro datado tornam o trabalho de governança confiável antes que qualquer achado seja feito.