Capítulo 2 — Redes e protocolos

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX005.

flowchart TD
  N0["2.1 As redes das filiais"]
  N1["2.2 Requisitos de pagamento com cartão"]
  N2["2.3 Documentar as mudanças"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX005"]

Desenho lógico

flowchart LR
  N0["2.1 As redes das filiais"]
  N1["2.2 Requisitos de pagamento com cartão"]
  N2["2.3 Documentar as mudanças"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX005"]

[2.1 As redes das filiais]
    |
    v
[2.2 Requisitos de pagamento com cartão]
    |
    v
[2.3 Documentar as mudanças]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX005]

Objetivos de aprendizagem

Você vai (1) descrever o desenho de rede de uma filial; (2) identificar os requisitos de rede para pagamentos com cartão; (3) documentar as mudanças de rede.

2.1 As redes das filiais

Cada filial da Fenwick tem uma rede para os caixas e as maquininhas de cartão, os computadores do escritório e um Wi-Fi de visitantes para os clientes profissionais. Amina aprende que essas redes devem ser separadas, para que um problema numa não se espalhe facilmente para outra. Ela verifica duas filiais: uma tem segmentos separados; a outra liga tudo a um único switch. Ela registra a diferença e aprende que filiais construídas em épocas diferentes costumam variar, o que a governança precisa encontrar e corrigir. A filial com um único switch deixa um aparelho de visitante comprometido alcançar os caixas, por isso ela a registra como a prioridade mais alta das duas.

2.2 Requisitos de pagamento com cartão

As maquininhas de cartão e o software dos caixas lidam com dados de cartões de pagamento, o que traz os requisitos do PCI DSS v4.0. Amina aprende que manter os sistemas de pagamento num segmento próprio, permitindo só as conexões necessárias, reduz o número de sistemas no escopo. Ela lista as conexões de que o segmento de pagamento precisa: com o gateway de pagamento, para a autorização, e com a gestão de TI, para as atualizações. Todo o resto deve ser bloqueado, e a própria lista vira evidência para as avaliações. Uma conexão dos computadores do escritório com o segmento de pagamento, por exemplo, traria também esses computadores para o escopo do PCI DSS.

2.3 Documentar as mudanças

Quando um técnico de filial acrescenta um aparelho ou uma regra, a mudança deve ser registrada: o quê, por quê, quem aprovou e quando. Amina descobre que as mudanças nas filiais muitas vezes são feitas por telefone, sem registro. Ela redige um formulário simples de mudança e explica que, sem registros, ninguém consegue dizer se a rede ainda corresponde ao seu desenho. Aprende que a documentação das mudanças é um controle básico, que apoia tanto a segurança quanto a solução de problemas. Um formulário com campos para o quê, o porquê, o aprovador e a data toma do técnico só um minuto durante a própria ligação.

Exemplo resolvido

Amina compara as redes de duas filiais, lista as conexões de pagamento necessárias e redige um formulário de registro de mudanças.

Caso sintético. As redes das filiais são sintéticas; o PCI DSS v4.0 é real.

Erros e limites

Os diagramas se desatualizam. Os formulários de mudança são pulados nas emergências.

Exercícios

• EX005 — Filial sem segmentação. Que problema tinha a segunda filial?
  Mostrar critérios de avaliação

  Rubrica: 3 = tudo num único switch, sem segmentos;; 2 = rede plana;; 1 = vago;; 0 = nenhuma.
• EX006 — Conexões de pagamento. De que conexões o segmento de pagamento precisa?
  Mostrar critérios de avaliação

  Rubrica: 3 = gateway de pagamento e gestão de TI;; 2 = duas;; 1 = internet;; 0 = nenhuma.
• EX007 — Registro de mudança. O que um registro de mudança deve capturar?
  Mostrar critérios de avaliação

  Rubrica: 3 = o quê, por quê, quem aprovou e quando;; 2 = quatro;; 1 = vago;; 0 = nenhuma.
• EX008 — Redução de escopo. Como a segmentação ajuda no PCI DSS?
  Mostrar critérios de avaliação

  Rubrica: 3 = reduz os sistemas no escopo;; 2 = escopo;; 1 = vago;; 0 = nenhuma.

Síntese

Redes segmentadas e documentadas mantêm pequeno o escopo de pagamentos e os desenhos verificáveis.