Capítulo 16 — Documentação técnica e segurança

Mapa da aula

Aula 16 publicada. Mapa, exemplo, EX061.

flowchart TD
  N0["16.1 Runbooks"]
  N1["16.2 Regras de segurança e de ética"]
  N2["16.3 Manter atualizado"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX061"]

Desenho lógico

flowchart LR
  N0["16.1 Runbooks"]
  N1["16.2 Regras de segurança e de ética"]
  N2["16.3 Manter atualizado"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX061"]

[16.1 Runbooks]
    |
    v
[16.2 Regras de segurança e de ética]
    |
    v
[16.3 Manter atualizado]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX061]

Objetivos de aprendizagem

Você vai (1) escrever runbooks para o serviço de reporte; (2) incluir regras de segurança e de ética; (3) manter a documentação atualizada.

16.1 Runbooks

Priya escreve runbooks para a triagem, as retenções de verificação, a verificação semanal por centro e a criação das contas temporárias. Cada runbook declara o propósito, as etapas, as ferramentas, os resultados esperados e o que fazer se algo der errado. Ela usa etapas numeradas e capturas de tela. Testa cada runbook observando o segundo integrante da equipe segui-lo sem ajuda e depois corrige as etapas que causaram hesitação. Os runbooks permitem que o serviço continue quando quem o construiu está ausente ou já saiu. Cada runbook tem um número de versão.

16.2 Regras de segurança e de ética

Priya inclui regras na documentação: nunca enviar phishing simulado sem aprovação do gerente de operações e dos representantes dos funcionários; nunca usar iscas sobre salário, saúde ou estabilidade no emprego; relatar os resultados apenas de forma agregada; nunca usar dados de reporte ou de cliques em processos disciplinares ou de desempenho; e usar contas de teste e mensagens sintéticas em qualquer teste. Ela cita o NIST SP 800-50r1 e as diretrizes de cultura da ENISA como base. Pôr essas regras por escrito protege os funcionários de experimentos bem-intencionados, mas prejudiciais. O gerente de operações as assina.

16.3 Manter atualizado

A documentação se deteriora à medida que os sistemas mudam. Priya acrescenta uma data de revisão a cada página e, no topo, uma linha dizendo quem é o responsável. Ela cria um lembrete no calendário para a revisão trimestral. Quando aconteceu o incidente da mudança de rede, ela atualizou três páginas em um dia. Ela explica a Tom que uma documentação desatualizada pode ser pior do que nenhuma, porque as pessoas confiam nela, e que os responsáveis e as datas de revisão são o que mantém os documentos úteis com o tempo. O líder de TI adota essa prática. Os responsáveis confirmam as revisões.

Exemplo resolvido

Priya escreve runbooks testados, registra regras de ética para qualquer simulação ou teste e define responsáveis e datas de revisão.

Caso sintético. A documentação é sintética; o SP 800-50r1 e as diretrizes da ENISA são reais.

Erros e limites

As revisões são puladas. As regras precisam ser aplicadas.

Exercícios

• EX061 — Teste dos runbooks. Como os runbooks foram testados?

  Mostrar critérios de avaliação

  Rubrica: 3 = um colega os seguiu sem ajuda;; 2 = simulação guiada;; 1 = vago;; 0 = nenhuma.

• EX062 — Iscas proibidas. Que iscas são proibidas?

  Mostrar critérios de avaliação

  Rubrica: 3 = salário, saúde ou estabilidade no emprego;; 2 = angústia;; 1 = vago;; 0 = nenhuma.

• EX063 — Regra dos dados. Onde os dados de reporte e de cliques nunca podem ser usados?

  Mostrar critérios de avaliação

  Rubrica: 3 = em processos disciplinares ou de desempenho;; 2 = RH;; 1 = vago;; 0 = nenhuma.

• EX064 — Perigo da desatualização. Por que uma documentação desatualizada pode ser pior do que nenhuma?

  Mostrar critérios de avaliação

  Rubrica: 3 = as pessoas confiam nela;; 2 = confiança equivocada;; 1 = vago;; 0 = nenhuma.

Síntese

A documentação inclui etapas, regras de ética e responsabilidades para que o serviço continue seguro e atualizado.