Capítulo 18 — Criptografia e serviços de confiança: controles

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Proteger a chave de assinatura"]
  N1["18.2 Privilégio mínimo e controle duplo"]
  N2["18.3 Evidências"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Proteger a chave de assinatura"]
  N1["18.2 Privilégio mínimo e controle duplo"]
  N2["18.3 Evidências"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX052"]

[18.1 Proteger a chave de assinatura]
    |
    v
[18.2 Privilégio mínimo e controle duplo]
    |
    v
[18.3 Evidências]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) definir os controles da chave de assinatura de documentos; (2) aplicar o privilégio mínimo e o controle duplo; (3) coletar evidências de que os controles funcionam.

18.1 Proteger a chave de assinatura

A chave de assinatura de documentos é crítica, então Rosa ajuda a projetar seus controles. A chave é gerada dentro de um módulo de segurança de hardware e marcada como não exportável. Os pedidos de assinatura vêm do sistema de fluxo de documentos, que envia um resumo do documento, e não o documento em si, e apenas depois que um servidor da prefeitura aprova a decisão no fluxo. O HSM registra cada operação de assinatura. As assinaturas usam um algoritmo padronizado do FIPS 186-5 por meio da interface avaliada do HSM, nunca por código próprio. Os backups do material de chave cifrado do HSM seguem o procedimento documentado do fornecedor e são testados uma vez por ano, restaurando-os num módulo reserva.

18.2 Privilégio mínimo e controle duplo

Apenas a conta de serviço do fluxo pode solicitar assinaturas, e apenas para documentos aprovados. Os administradores podem gerenciar o HSM, mas não podem assinar. Mudar a configuração de assinatura, como substituir a chave, exige dois administradores e um chamado de mudança aprovado pelo gestor de registros. Rosa explica aos colegas que essas regras também os protegem: ninguém poderia ser acusado sozinho de forjar uma decisão, porque ninguém conseguiria fazê-lo sozinho. Rosa documenta esses papéis numa pequena matriz que lista cada conta, o que ela pode fazer e quem aprova as mudanças nela. Os auditores depois usam a matriz como ponto de partida ao amostrar as permissões.

18.3 Evidências

Rosa define as evidências de cada controle: logs do HSM mostrando que as assinaturas correspondem a itens aprovados no fluxo; revisões trimestrais de acesso sobre quem pode administrar o HSM; chamados de mudança com dois aprovadores para as mudanças de chave; e um teste anual de que um documento não aprovado não pode ser assinado. Ela monta um pequeno relatório que compara os logs de assinatura do HSM com as aprovações do fluxo e sinaliza as divergências. A primeira execução não encontra nenhuma, o que já é por si uma evidência útil para os auditores. Ela agenda o teste negativo anual com a presença do gestor de registros, já que uma testemunha fortalece a evidência. Cada evidência é arquivada com sua data e seu revisor, para que as revisões que faltarem fiquem visíveis, em vez de serem puladas em silêncio.

Exemplo resolvido

Rosa projeta uma assinatura baseada em HSM e condicionada ao fluxo, com privilégio mínimo e controle duplo, e monta um relatório que compara os logs de assinatura com as aprovações.

Caso sintético. Os controles são inventados; o FIPS 186-5 é real.

Erros e limites

Os HSMs protegem as chaves, e não as decisões por trás dos pedidos de assinatura; os controles do fluxo importam. As evidências precisam ser revisadas, e não apenas coletadas.

Exercícios

• EX052 — Entrada da assinatura. O que o fluxo envia ao HSM?

  Mostrar critérios de avaliação

  Rubrica: 3 = um resumo do documento depois da aprovação do servidor responsável;; 2 = resumo;; 1 = o documento inteiro;; 0 = nenhuma.

• EX053 — Limites dos administradores. O que os administradores do HSM não podem fazer?

  Mostrar critérios de avaliação

  Rubrica: 3 = assinar documentos;; 2 = assinar;; 1 = gerenciar;; 0 = nenhuma.

• EX054 — Relatório de divergências. O que o relatório de Rosa compara?

  Mostrar critérios de avaliação

  Rubrica: 3 = os logs de assinatura do HSM com as aprovações do fluxo;; 2 = ambos;; 1 = um;; 0 = nenhuma.

Síntese

Chaves críticas precisam de proteção em hardware, condicionamento ao fluxo, privilégio mínimo, controle duplo e evidências de que os controles funcionam.