Capítulo 11 — Fatores humanos e política cibernética: ativos e contexto

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 Ativos"]
  N1["11.2 Contexto de decisão"]
  N2["11.3 Priorização pelo dano"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 Ativos"]
  N1["11.2 Contexto de decisão"]
  N2["11.3 Priorização pelo dano"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[11.1 Ativos]
    |
    v
[11.2 Contexto de decisão]
    |
    v
[11.3 Priorização pelo dano]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) identificar os ativos que os controles centrados nas pessoas protegem; (2) descrever o contexto em que os funcionários tomam decisões de segurança; (3) priorizar os ativos pelo dano.

11.1 Ativos

Lucas lista os ativos da Brightwell com a gerente da clínica: prontuários dos pacientes, contas de pagamento, o sistema de agendamento, dados de imagem e contas dos funcionários. Ele também lista ativos menos óbvios: a confiança dos pacientes, a reputação de cada clínica e a disposição dos funcionários para reportar problemas. Esse último ativo importa porque um programa que prejudica a confiança pode tornar a organização menos segura no conjunto. Nomear a confiança como ativo lembra aos gestores que o modo como a segurança é feita importa tanto quanto o que é feito. A gerente concorda em incluir a confiança no registro de riscos.

11.2 Contexto de decisão

Lucas descreve o contexto em que os funcionários tomam decisões de segurança. As recepcionistas decidem rápido, muitas vezes enquanto falam com pacientes. Os clínicos estão concentrados no tratamento e veem o e-mail entre um atendimento e outro. Os gestores lidam com fornecedores e pagamentos, muitas vezes perto dos prazos de fechamento do mês. Cada grupo enfrenta pressões diferentes e ataques diferentes. Ele escreve um perfil de um parágrafo para cada grupo, descrevendo os momentos típicos em que uma mensagem ou ligação enganosa pode chegar e o que mais estão fazendo nessa hora, o que depois orienta o desenho dos controles. Os funcionários revisam os perfis.

11.3 Priorização pelo dano

Lucas ordena os ativos pelo dano que se seguiria a um comprometimento. Os prontuários dos pacientes vêm primeiro, por causa dos deveres de privacidade e da angústia que um vazamento causaria. As contas de pagamento vêm em segundo, porque a fraude pode custar milhares rapidamente. As contas dos funcionários vêm em terceiro, porque dão caminho até os dois primeiros. Ele observa que o risco de pagamento depende quase inteiramente de uma única decisão humana, aceitar a alteração de um dado bancário, o que o torna prioridade para um procedimento de verificação e não para conscientização geral. Os gestores concordam.

Exemplo resolvido

Lucas lista ativos que incluem a confiança, traça o perfil dos contextos de decisão de três grupos e ordena os ativos pelo dano.

Caso sintético. O contexto é sintético.

Erros e limites

As ordenações mudam conforme os serviços mudam. Os perfis generalizam.

Exercícios

• EX031 — Ativo oculto. Que ativo menos óbvio Lucas nomeia?

  Mostrar critérios de avaliação

  Rubrica: 3 = a disposição dos funcionários para reportar;; 2 = confiança;; 1 = vago;; 0 = nenhuma.

• EX032 — Pressão dos gestores. Quando os gestores enfrentam pressão de pagamentos?

  Mostrar critérios de avaliação

  Rubrica: 3 = perto dos prazos de fechamento do mês;; 2 = fechamento do mês;; 1 = vago;; 0 = nenhuma.

• EX033 — Decisão de pagamento. Que decisão única determina o risco de pagamento?

  Mostrar critérios de avaliação

  Rubrica: 3 = aceitar a alteração de um dado bancário;; 2 = dado bancário;; 1 = vago;; 0 = nenhuma.

Síntese

Os ativos incluem a confiança, e os contextos de decisão revelam onde os controles são mais necessários.