Capítulo 10 — Governança, riscos e compliance de segurança: configuração de controles
Mapa da aula
Aula 10 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["10.1 Configurar conforme a política"]
N1["10.2 Documentar as decisões"]
N2["10.3 Testar as mudanças"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["10.1 Configurar conforme a política"]
N1["10.2 Documentar as decisões"]
N2["10.3 Testar as mudanças"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX037"]
[10.1 Configurar conforme a política]
|
v
[10.2 Documentar as decisões]
|
v
[10.3 Testar as mudanças]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) configurar os controles para atender à política; (2) documentar as decisões de configuração; (3) testar antes e depois das mudanças.
10.1 Configurar conforme a política
Amina ajuda a configurar os controles para que correspondam às políticas da Fenwick. Ela ativa a autenticação multifator em todas as contas de nuvem, ajusta as rotinas de backup para incluir o banco de dados de estoque e os dados da loja on-line e configura alertas para falhas repetidas de login. Para cada caso, confere o requisito da política e escolhe configurações que o atendam. Ela aprende que a configuração é onde a política vira realidade, e que pequenas escolhas de configuração podem fazer uma grande diferença. Incluir o banco de estoque nos backups, por exemplo, protege o único componente de que a loja e as filiais dependem.
10.2 Documentar as decisões
Algumas configurações envolvem compromissos. Amina define o limiar do alerta de login em cinco falhas em dez minutos. Mais baixo causaria muitos alarmes falsos por senhas digitadas errado; mais alto poderia deixar passar tentativas de adivinhação. Ela registra a decisão e o motivo nas notas de configuração. Aprende que documentar por que uma configuração foi escolhida ajuda os técnicos futuros a ajustá-la com bom senso, em vez de chutar ou revertê-la sem entender. Se os alarmes falsos se mostrarem frequentes, o motivo registrado mostra exatamente que compromisso rever. A nota fica ao lado da própria configuração, onde quem a abrir em seguida vai encontrá-la.
10.3 Testar as mudanças
Antes de mudar as configurações de backup, Amina testa a restauração do backup atual. Depois da mudança, roda um novo backup e restaura arquivos de amostra do banco de dados de estoque. Os dois testes passam. Ela registra os resultados. Aprende que testar antes e depois de uma mudança mostra tanto que o estado antigo funcionava quanto que a mudança não quebrou nada, o que oferece uma evidência útil de mudança controlada. Os resultados das restaurações de antes e de depois vão para o registro da mudança como evidência de que a alteração do backup foi controlada.
Exemplo resolvido
Amina configura MFA, backups e alertas conforme a política, documenta o raciocínio do limiar do alerta e testa os backups antes e depois da mudança.
Caso sintético. As configurações são sintéticas.
Erros e limites
Os limiares precisam de ajuste fino. Os testes amostram só alguns arquivos.
Exercícios
- EX037 — Escolha do limiar. Que limiar de alerta Amina definiu? Rubrica: 3 = cinco falhas em dez minutos;; 2 = 5 em 10;; 1 = vago;; 0 = nenhuma.
- EX038 — Compromisso do limiar. Por que não definir um limiar mais baixo? Rubrica: 3 = muitos alarmes falsos por senhas digitadas errado;; 2 = alarmes falsos;; 1 = vago;; 0 = nenhuma.
- EX039 — Testes antes e depois. Por que testar antes e depois de uma mudança? Rubrica: 3 = mostra que o estado antigo funcionava e que a mudança não quebrou nada;; 2 = referência;; 1 = vago;; 0 = nenhuma.
- EX040 — Escopo do backup. Que dados foram acrescentados às rotinas de backup? Rubrica: 3 = o banco de dados de estoque e os dados da loja on-line;; 2 = dois;; 1 = vago;; 0 = nenhuma.
Síntese
Os controles se tornam reais por meio de configuração documentada e de testes antes e depois.
Continue estudando — aula 10 (capítulo 10 de 18)
← Capítulo 09 · Índice das aulas · Capítulo 11 →
Continue para a próxima aula já escrita.