Capítulo 6 — Noções básicas de segurança

Capítulo 6 — Noções básicas de segurança

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["6.1 Ameaças e fraquezas"]
  N1["6.2 Controles"]
  N2["6.3 Camadas"]
  N3["6.4 Pessoas e processos"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["6.1 Ameaças e fraquezas"]
  N1["6.2 Controles"]
  N2["6.3 Camadas"]
  N3["6.4 Pessoas e processos"]
  N0 --> N1 --> N2 --> N3 --> Q["EX021"]

[6.1 Ameaças e fraquezas]
    |
    v
[6.2 Controles]
    |
    v
[6.3 Camadas]
    |
    v
[6.4 Pessoas e processos]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) explicar ameaças, fraquezas e riscos; (2) dar exemplos de controles; (3) explicar a proteção em camadas.

6.1 Ameaças e fraquezas

Uma ameaça é algo que poderia causar dano, como um criminoso que envia e-mails falsos. Uma fraqueza é uma brecha que uma ameaça poderia usar, como uma senha num bilhete adesivo. O risco é a chance de o dano acontecer e o quanto ele seria grave. Chloe lista as ameaças à Westfield: e-mails falsos, tablets furtados, fraude com cartões nos caixas e erros como enviar listas de clientes à pessoa errada. Ela acrescenta no caderno uma fraqueza e um possível dano ao lado de cada ameaça, para que a lista se torne uma tabela de riscos simples.

6.2 Controles

Os controles reduzem o risco. Alguns evitam problemas, como a entrada com múltiplos fatores. Alguns detectam problemas, como os alertas de logins incomuns. Alguns ajudam na recuperação, como os backups. Chloe associa um controle a cada ameaça da lista. Para os tablets furtados, ela sugere o bloqueio de tela e a possibilidade de apagá-los remotamente. O Sr. Appiah explica que os controles devem corresponder aos riscos reais, e não apenas seguir uma lista. Ela mostra a lista ao Sr. Doyle, que acrescenta uma ameaça que ela deixou passar: a conta de suporte de um fornecedor com acesso aos caixas. Chloe acrescenta um controle também para ela.

6.3 Camadas

Nenhum controle é perfeito. Chloe aprende a pensar em camadas. Para a loja on-line, as camadas incluem senhas fortes, a entrada com múltiplos fatores, a limitação de quem tem acesso de administração, a atualização do software e a observação de pedidos incomuns. Se uma camada falhar, as outras continuam protegendo. O Sr. Appiah observa que essa abordagem em camadas é usada em toda a segurança, das pequenas lojas às grandes empresas. Chloe desenha as camadas num diagrama simples, com a loja on-line no meio e cada controle como um anel em volta dela. O Sr. Appiah pergunta qual anel seria esquecido primeiro se o Sr. Doyle ficasse duas semanas fora.

6.4 Pessoas e processos

A segurança não é só tecnologia. Chloe vê que os maiores riscos da Westfield envolvem pessoas: funcionários que clicam em links falsos, gerentes que enviam dados ao endereço errado e fornecedores que mudam dados bancários por e-mail. Ela aprende que processos claros, como conferir por telefone as mudanças de dados bancários, protegem contra esses riscos. O artigo de Saltzer e Schroeder de 1975 sobre a proteção da informação descreveu a aceitabilidade psicológica: a segurança precisa ser fácil o bastante para que as pessoas a usem corretamente. Chloe anota três processos da Westfield que protegem contra os riscos ligados a pessoas e os mostra ao Sr. Doyle, que confirma que já são usados.

Exemplo resolvido

Chloe define ameaças, fraquezas e risco, associa controles às ameaças da Westfield, monta camadas para a loja on-line e reconhece os riscos ligados a pessoas e processos.

Caso sintético. Os exemplos são sintéticos.

Erros e limites

Depender de um único controle não deixa proteção alguma quando ele falha.

Exercícios

• EX021 — Exemplo de fraqueza. Dê um exemplo de fraqueza. Rubrica: 3 = uma senha num bilhete adesivo;; 2 = um;; 1 = vago;; 0 = nenhuma.

• EX022 — Controles para tablets. Quais controles servem para tablets furtados? Rubrica: 3 = bloqueio de tela e apagamento remoto;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX023 — Camada da loja. Cite uma camada da loja on-line. Rubrica: 3 = entrada com múltiplos fatores;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX024 — Princípio da usabilidade. Que princípio diz que a segurança precisa ser fácil de usar? Rubrica: 3 = aceitabilidade psicológica;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

Continue estudando — aula 06 (capítulo 06 de 18)

← Capítulo 05 · Índice das aulas · Capítulo 07 →

Continue para a próxima aula já escrita.