Capítulo 5 — Escopo e evidências de segurança

Capítulo 5 — Escopo e evidências de segurança

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX017.

flowchart TD
  N0["5.1 Definição do escopo"]
  N1["5.3 Coleta de evidências"]
  N2["Síntese"]
  N0 --> N1 --> N2
  N2 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX017"]

Desenho lógico

flowchart LR
  N0["5.1 Definição do escopo"]
  N1["5.3 Coleta de evidências"]
  N2["Síntese"]
  N0 --> N1 --> N2 --> Q["EX017"]

[5.1 Definição do escopo]
    |
    v
[5.3 Coleta de evidências]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX017]

Objetivos de aprendizagem

Você vai (1) definir o escopo de uma tarefa técnica de fatores humanos; (2) acordar permissões e limites; (3) coletar evidências que apoiem as decisões.

5.1 Definição do escopo

Tom pede a Priya que defina o escopo do trabalho dela: melhorar o modo como os funcionários da Kestrel reportam mensagens suspeitas e verificam pedidos incomuns. Estão no escopo a caixa postal de reporte, as configurações de aviso, os procedimentos de verificação e orientações curtas. Ficam fora do escopo as questões disciplinares, o monitoramento de funcionários individuais e qualquer teste que engane os funcionários sem acordo. Pôr o escopo por escrito protege os funcionários, a empresa e a própria Priya, porque todos sabem o que ela vai e o que não vai fazer durante o estágio. Tom e o líder de TI assinam o documento de escopo.

5.2 Permissões e limites

Priya obtém permissão por escrito do líder de TI e do gerente de operações para cada atividade, como instalar leitores de crachá ou fazer testes de usabilidade com voluntários. Os representantes dos funcionários são informados. Ela acorda os limites: os testes usam caixas postais de teste e mensagens sintéticas; nenhum phishing simulado é enviado durante o estágio; e todos os dados são reportados de forma agregada. O NIST SP 800-50r1 (Hansche et al., 2024) enfatiza o planejamento e a governança nos programas de aprendizagem, e a permissão é o primeiro passo dessa governança. Cada permissão é arquivada.

5.3 Coleta de evidências

Priya coleta evidências para apoiar as decisões: contagens da exportação de reportes, testes de tempo dos procedimentos, questionários curtos e notas de observação sem nomes. Ela registra a fonte e a data de cada item. Quando recomenda uma mudança, aponta a evidência por trás dela. Recomendações baseadas em evidências são mais fáceis de os gestores aceitarem e de revisarem depois. Ela também registra as evidências que contrariam suas expectativas, como a preferência dos funcionários por lembretes por e-mail, porque escondê-las induziria a erro. Ela guarda todos os itens numa única pasta datada.

Exemplo resolvido

Priya escreve o escopo, obtém permissões com limites e coleta evidências datadas, incluindo achados que a contrariam.

Caso sintético. O escopo é sintético; o SP 800-50r1 é real.

Erros e limites

Expansão do escopo. A coleta de evidências toma tempo.

Exercícios

• EX017 — Fora do escopo. Cite um item fora do escopo. Rubrica: 3 = o monitoramento de funcionários individuais;; 2 = monitoramento;; 1 = caixa postal de reporte;; 0 = nenhuma.

• EX018 — Limite das simulações. Que limite vale para o phishing simulado? Rubrica: 3 = nenhum phishing simulado durante o estágio;; 2 = nenhum phishing simulado, sem o limite do estágio;; 1 = mensal;; 0 = sem resposta.

• EX019 — Registro das evidências. O que Priya registra com cada item de evidência? Rubrica: 3 = a fonte e a data;; 2 = procedência;; 1 = vago;; 0 = nenhuma.

• EX020 — Evidências contrárias. Por que registrar as evidências contrárias? Rubrica: 3 = escondê-las induziria a erro;; 2 = honestidade;; 1 = vago;; 0 = nenhuma.

Síntese

Escopo claro, permissão e evidências protegem as pessoas e sustentam decisões sólidas.

Continue estudando — aula 05 (capítulo 05 de 18)

← Capítulo 04 · Índice das aulas · Capítulo 06 →

Continue para a próxima aula já escrita.