Capítulo 23 — Fornecedores e serviços em nuvem

Capítulo 23 — Fornecedores e serviços em nuvem

Mapa da aula

Aula 23 publicada. Mapa, exemplo, EX067.

flowchart TD
  N0["23.1 Lista de fornecedores"]
  N1["23.2 Compromissos de segurança"]
  N2["23.3 Contas de fornecedores"]
  N3["23.4 Responsabilidades na nuvem"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX067"]

Desenho lógico

flowchart LR
  N0["23.1 Lista de fornecedores"]
  N1["23.2 Compromissos de segurança"]
  N2["23.3 Contas de fornecedores"]
  N3["23.4 Responsabilidades na nuvem"]
  N0 --> N1 --> N2 --> N3 --> Q["EX067"]

[23.1 Lista de fornecedores]
    |
    v
[23.2 Compromissos de segurança]
    |
    v
[23.3 Contas de fornecedores]
    |
    v
[23.4 Responsabilidades na nuvem]
    |
    v
[Exemplo resolvido] --> [Exercício EX067]

Objetivos de aprendizagem

Você vai (1) listar os fornecedores e seus acessos; (2) verificar os compromissos de segurança dos fornecedores; (3) gerenciar as contas dos fornecedores.

23.1 Lista de fornecedores

Jamal lista os fornecedores do Riverbend com acesso a seus sistemas ou dados: o provedor do sistema de reservas, o processador de pagamentos, o provedor de e-mail, o fornecedor do café, a empresa de manutenção das câmeras e o fornecedor do controlador da piscina. Para cada um, ele registra que dados guarda, como se conecta e quem administra a relação. A Sra. Grant explica que os fornecedores ampliam a superfície de ataque de uma organização, por isso conhecê-los é tão importante quanto conhecer os sistemas internos. Ele guarda a lista com os contratos e pede a cada responsável pela relação que confirme que os dados estão corretos e completos.

23.2 Compromissos de segurança

Jamal revisa os contratos em busca de cláusulas de segurança: proteção de dados, notificação de incidentes, controle de acesso e devolução dos dados ao fim do contrato. O contrato do provedor das reservas é sólido e menciona um certificado ISO/IEC 27001 que cobre seu serviço de hospedagem. O contrato da empresa de manutenção das câmeras não tem cláusulas de segurança. Ele recomenda acrescentar cláusulas básicas na renovação. Ele observa que um certificado só é uma evidência útil quando seu escopo cobre o serviço que o Riverbend usa. O gerente de TI acrescenta a recomendação à lista de verificação de renovação e pede à empresa das câmeras suas práticas de segurança atuais por escrito.

23.3 Contas de fornecedores

Vários fornecedores têm contas nos sistemas do Riverbend. Jamal descobre que a empresa de manutenção das câmeras tem uma conta de acesso remoto sempre ativa com uma senha compartilhada. Ele recomenda desativá-la entre as visitas, ativá-la apenas para trabalhos agendados e usar contas individuais com autenticação multifator. O gerente de TI concorda. Ele também acrescenta as contas de fornecedores à revisão trimestral de contas, que antes cobria apenas os funcionários. A empresa das câmeras aceita o novo arranjo depois de uma breve conversa, e Jamal o testa na visita de manutenção agendada seguinte. A conta é ativada no início e desativada no fim, com os dois passos registrados no log de TI.

23.4 Responsabilidades na nuvem

Nos serviços em nuvem, Jamal aprende que as responsabilidades são compartilhadas. O provedor protege sua infraestrutura, mas o Riverbend administra os próprios usuários, configurações e dados. Ele confere as configurações do serviço de e-mail e descobre que o compartilhamento externo de arquivos é permitido por padrão. Ele o restringe a parceiros aprovados. A Sra. Grant observa que muitas exposições na nuvem vêm das configurações do cliente, e não de falhas do provedor. Ele documenta a mudança e confere as outras configurações de compartilhamento do serviço, encontrando mais duas que permitiam links anônimos. Ele as restringe também e registra as três configurações na documentação para as revisões futuras.

Exemplo resolvido

Jamal lista seis fornecedores, confere as cláusulas dos contratos e o escopo dos certificados, desativa o acesso sempre ativo de um fornecedor e restringe o compartilhamento padrão de arquivos na nuvem.

Caso sintético. Os fornecedores são sintéticos.

Erros e limites

O certificado de um fornecedor só é uma evidência útil se seu escopo cobrir o serviço usado.

Exercícios

• EX067 — Cláusulas ausentes. Qual contrato não tem cláusulas de segurança? Rubrica: 3 = o da empresa de manutenção das câmeras;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX068 — Correção do acesso do fornecedor. Como muda o acesso da empresa das câmeras? Rubrica: 3 = ativado apenas para trabalhos agendados;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX069 — Configuração da nuvem. Que configuração padrão da nuvem é restringida? Rubrica: 3 = o compartilhamento externo de arquivos;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.

Continue estudando — aula 23 (capítulo 23 de 30)

← Capítulo 22 · Índice das aulas · Capítulo 24 →

Continue para a próxima aula já escrita.