Capítulo 18 — Projeto técnico supervisionado
Mapa da aula
Aula 18 publicada. Mapa, exemplo, EX069.
flowchart TD
N0["18.1 O projeto"]
N1["18.2 Resultados"]
N2["18.3 Passagem"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX069"]
Desenho lógico
flowchart LR
N0["18.1 O projeto"]
N1["18.2 Resultados"]
N2["18.3 Passagem"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX069"]
[18.1 O projeto]
|
v
[18.2 Resultados]
|
v
[18.3 Passagem]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX069]
Objetivos de aprendizagem
Você vai (1) entregar um projeto técnico supervisionado de GRC; (2) medir os resultados; (3) fazer a passagem para o cliente.
18.1 O projeto
Em seu projeto supervisionado, Amina monta um pacote semanal de verificações para a Fenwick: a verificação da linha de base, a verificação do firewall, a verificação da validade dos certificados e a conciliação de contas, rodadas por um único script que abre chamados para os achados. Ela acorda o escopo e os critérios de sucesso com o líder de TI: as quatro verificações rodando toda semana, os achados chegando aos chamados e a equipe de TI capaz de manter o pacote. Ela mantém um diário do projeto com as decisões e os problemas. A Sra. Bell observa que os critérios acordados permitirão a ambos julgar o projeto de forma objetiva no final.
18.2 Resultados
Depois de seis semanas, as quatro verificações rodam toda semana. Elas encontram onze problemas, entre eles dois notebooks sem criptografia, uma regra de firewall não aprovada e três contas de desligados. Todos os problemas viram chamados, e nove são encerrados em até duas semanas. O líder de TI relata que verificações antes puladas agora acontecem de forma confiável. Amina relata os resultados com honestidade, observando que dois chamados continuam abertos porque precisam da ajuda de um fornecedor. Encontrar toda semana contas de desligados ou uma regra não aprovada é evidência de que o pacote pega o que as verificações manuais deixavam passar.
18.3 Passagem
Amina entrega o script, os procedimentos, os dados de teste, uma lista de limitações conhecidas e uma sessão curta de treinamento para os técnicos. Um técnico acrescenta uma nova verificação durante o treinamento, mostrando que o pacote pode ser ampliado. A Sra. Bell avalia que o projeto atende a todos os critérios e elogia o relato honesto. Amina reflete que o trabalho técnico de GRC trata de rotinas confiáveis, evidências claras e uma passagem cuidadosa, e não de ferramentas complexas. A nova verificação criada pelo técnico durante o treinamento é o sinal mais forte de que o pacote vai sobreviver à saída dela.
Exemplo resolvido
Amina entrega um pacote semanal de verificações que encontra onze problemas, encerra nove em até duas semanas e faz a passagem com treinamento.
Caso sintético. O projeto e os resultados são sintéticos.
Erros e limites
Seis semanas é pouco tempo. Alguns problemas dependem de fornecedores.
Exercícios
- EX069 — Verificações do pacote. Que quatro verificações o pacote roda? Rubrica: 3 = linha de base, verificação do firewall, validade dos certificados, conciliação de contas;; 2 = quatro;; 1 = vago;; 0 = nenhuma.
- EX070 — Problemas encontrados. Quantos problemas as verificações encontraram em seis semanas? Rubrica: 3 = onze;; 2 = 11;; 1 = vago;; 0 = nenhuma.
- EX071 — Chamados encerrados. Quantos problemas foram encerrados em até duas semanas? Rubrica: 3 = nove;; 2 = 9;; 1 = onze;; 0 = nenhuma.
- EX072 — Prova de extensibilidade. O que mostrou que o pacote podia ser ampliado? Rubrica: 3 = um técnico acrescentou uma nova verificação durante o treinamento;; 2 = ampliação;; 1 = vago;; 0 = nenhuma.
Síntese
Um projeto supervisionado dá certo com rotinas confiáveis, resultados honestos e um repasse cuidadoso.
Continue estudando — aula 18 (capítulo 18 de 18)
← Capítulo 17 · Índice das aulas · Próximo curso pelo índice →
O índice aponta para o próximo curso do percurso de estudos.
Resoluções
Respostas-modelo para EX001–EX072. Amina Yusuf, a Sra. Clara Bell, o Dunmore Technical College, a Fenwick Building Supplies e todos os números são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. O banco de dados de estoque.
EX002. O serviço de roteirização e o Wi-Fi das filiais.
EX003. Porque os problemas em componentes sem dono muitas vezes passam despercebidos.
EX004. Por exemplo, vendas nas filiais, a loja on-line e as entregas (também os pedidos a fornecedores e a folha de pagamento).
EX005. Tudo estava ligado a um único switch, sem separação.
EX006. As conexões com o gateway de pagamento e com a gestão de TI, para as atualizações.
EX007. O que mudou, por quê, quem aprovou e quando.
EX008. Reduz o número de sistemas no escopo dos requisitos de dados de cartão.
EX009. Porque ninguém consegue dizer quem fez um estorno ou uma venda.
EX010. Porque um malware poderia se instalar com controle total.
EX011. Para que o comprometimento de uma conta do dia a dia não dê direitos de administrador aos atacantes.
EX012. Para encontrar problemas, como um programa de contabilidade que precisa de ajuste, antes da implantação geral.
EX013. Porque os campos nomeados tornam os registros fáceis de ler e de verificar com scripts.
EX014. FW-LT01.
EX015. FW-LT03, com bloqueio de tela de 30 minutos e direitos de administrador local.
EX016. Porque um bloqueio de cinco minutos é mais rigoroso que o requisito de dez minutos.
EX017. Testar vulnerabilidades em sistemas em produção.
EX018. O que foi verificado, quando, por quem, como, e a saída original.
EX019. Relatar com a evidência que você já tem, sem investigar além disso.
EX020. Para que outros confiem que ela mostra exatamente o que foi observado.
EX021. Porque apoia uma política, reduz um risco e produz evidências.
EX022. O diretor financeiro.
EX023. A política de rede e as obrigações de pagamento com cartão.
EX024. Ajuda a priorizar quando o tempo é curto e a justificar os recursos.
EX025. Porque a política e as regras de cartões de pagamento costumam exigir que os logs sejam guardados por um período definido.
EX026. A conta admin, com sete falhas, acima do limiar de cinco.
EX027. Como uma provável senha digitada errado, já que veio um sucesso em seguida.
EX028. Bloquear o endereço de origem e renomear a conta admin genérica.
EX029. Por testes de restauração.
EX030. Porque algumas falhas ficam silenciosas até algo quebrar.
EX031. O líder de TI, com uma verificação mensal de validade.
EX032. O que dá errado, como isso apareceria e qual seria o impacto.
EX033. Eventos raros mas graves podem parecer baixos, e riscos diferentes podem empatar.
EX034. Um plano escrito de resposta a incidentes.
EX035. O sistema de chamados, planilhas com validação e scripts curtos.
EX036. Como implantado, parcialmente implantado ou ausente, com evidência.
EX037. Cinco falhas em dez minutos.
EX038. Porque causaria muitos alarmes falsos por senhas digitadas errado.
EX039. Para mostrar que o estado antigo funcionava e que a mudança não quebrou nada.
EX040. O banco de dados de estoque e os dados da loja on-line.
EX041. Duas.
EX042. A regra que permitia área de trabalho remota de qualquer origem para o segmento das maquininhas de pagamento.
EX043. Uma empresa de suporte a acrescentou para um reparo pontual e nunca a removeu.
EX044. Porque a verificação encontra mudanças que o controle de mudanças deixou passar.
EX045. Para que testes e erros não possam afetar as operações da empresa nem os dados reais dos clientes.
EX046. A conta foi sinalizada, mas não desativada.
EX047. Porque a etapa de desativação precisava de uma aprovação manual que ninguém deu.
EX048. Um escalonamento se a aprovação não vier em até um dia.
EX049. A rotina cobre a pasta errada, o backup está corrompido ou o procedimento de restauração está errado.
EX050. Porque copiava com sucesso a pasta antiga e vazia.
EX051. Uma verificação de que a cobertura do backup é revista sempre que um sistema é atualizado.
EX052. Só que a rotina rodou, e não que protegeu os dados certos.
EX053. Porque é uma verificação simples e repetitiva, com regras claras e consequências caras se for esquecida.
EX054. O certificado do acesso remoto (VPN), três dias antes.
EX055. O certificado da loja, com 19 dias restantes.
EX056. O script roda diariamente e envia os resultados ao líder de TI, abrindo chamados para avisos e alertas.
EX057. A plataforma da loja on-line e o gateway de pagamento.
EX058. A empresa de suporte das redes das filiais.
EX059. Incluindo requisitos de segurança, como remover as regras temporárias depois do trabalho.
EX060. Publicar um aviso e aceitar pedidos por telefone.
EX061. Finalidade, pré-requisitos, etapas, resultados esperados e o que fazer se os resultados diferirem.
EX062. Num local de teste, e não por cima dos dados em produção.
EX063. Porque dão confiança enquanto levam as pessoas a fazer a coisa errada.
EX064. Fora do horário comercial, depois de confirmada a aprovação.
EX065. Uma regra de firewall permitindo que o Wi-Fi de visitantes alcançasse o servidor de arquivos e uma conta de teste reativada.
EX066. Relatou os achados e aguardou a aprovação.
EX067. O que foi encontrado, quando, como foi detectado, as ações tomadas com aprovação e o que evita a repetição.
EX068. Bloquear por padrão o Wi-Fi de visitantes para os sistemas internos.
EX069. A verificação da linha de base, a verificação do firewall, a verificação da validade dos certificados e a conciliação de contas.
EX070. Onze.
EX071. Nove.
EX072. Um técnico acrescentou uma nova verificação durante a sessão de treinamento.