Capítulo 7 — Conceitos de segurança na prática | Tecnólogo Segurança da informação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 7 — Conceitos de segurança na prática

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX019.

flowchart TD
  N0["7.2 Menor privilégio"]
  N1["7.3 Defesa em profundidade"]
  N2["7.4 Controles e riscos"]
  N0 --> N1 --> N2
  N2 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX019"]

Desenho lógico

flowchart LR
  N0["7.2 Menor privilégio"]
  N1["7.3 Defesa em profundidade"]
  N2["7.4 Controles e riscos"]
  N0 --> N1 --> N2 --> Q["EX019"]

[7.2 Menor privilégio]
    |
    v
[7.3 Defesa em profundidade]
    |
    v
[7.4 Controles e riscos]
    |
    v
[Exemplo resolvido] --> [Exercício EX019]

Objetivos de aprendizagem

Você vai (1) aplicar a confidencialidade, a integridade e a disponibilidade às tarefas diárias; (2) usar o menor privilégio e a defesa em profundidade; (3) relacionar controles a riscos.

7.1 Os objetivos no trabalho diário

Jamal liga os três objetivos de segurança a suas tarefas diárias. Restringir a pasta dos questionários protegeu a confidencialidade. Verificar os backups protege a integridade e a disponibilidade. Manter o sistema de reservas corrigido protege os três. A ISO/IEC 27000:2026, a visão geral da família ISO/IEC 27000, descreve a segurança da informação nesses termos. A Sra. Grant pede que ele marque cada tarefa no caderno com o objetivo a que ela serve, o que o ajuda a explicar por que a tarefa importa. Depois de um mês, ele percebe que a maioria de suas tarefas protege a disponibilidade, o que corresponde à necessidade dos centros de continuar recebendo os associados.

7.2 Menor privilégio

O artigo de Saltzer e Schroeder de 1975 descreve o menor privilégio: dar a cada usuário e programa apenas o acesso necessário. Jamal o aplica no Riverbend: os recepcionistas precisam de acesso às reservas, mas não às pastas financeiras; os instrutores precisam dos questionários, mas não dos dados de pagamento. Ele observa que o menor privilégio também limita o dano quando uma conta é comprometida, porque o atacante herda apenas os direitos limitados daquela conta. Ele revisa os acessos de cinco contas de amostra em relação às funções e encontra dois recepcionistas que conseguem abrir pastas financeiras. O gerente de TI remove o acesso no mesmo dia, e Jamal anota o resultado no caderno.

7.3 Defesa em profundidade

Nenhum controle é perfeito, por isso a segurança usa camadas. Jamal lista as camadas que protegem os caixas do Riverbend: separação da rede, software atualizado, contas restritas, criptografia do terminal de pagamento e monitoramento. Se uma falhar, as outras continuam protegendo. A Sra. Grant explica que a defesa em camadas é especialmente importante em organizações pequenas, onde qualquer controle isolado pode ser mantido por uma única pessoa ocupada. Ele desenha as camadas como anéis em volta dos caixas no caderno. A Sra. Grant pergunta qual anel falharia primeiro se o técnico de TI estivesse de férias por um mês, e ele aponta as atualizações de software, o que o leva a sugerir uma configuração de atualização automática para o fornecedor dos caixas confirmar.

7.4 Controles e riscos

Jamal aprende que os controles existem para reduzir riscos específicos. Antes de acrescentar um controle, ele pergunta que risco ele reduz e se esse risco importa. Ele questiona uma proposta de bloquear todos os dispositivos de armazenamento USB na recepção, ao descobrir que a equipe precisa deles para imprimir cartazes. Em vez disso, ele sugere permitir apenas dispositivos criptografados fornecidos pelo Riverbend. A Sra. Grant o elogia por adequar os controles às necessidades reais. O gerente de TI encomenda pen drives criptografados para cada balcão de recepção, e a equipe relata que a mudança não causa dificuldade. Jamal registra a decisão com o risco que ela trata e o motivo pelo qual a proposta original foi alterada.

Exemplo resolvido

Jamal marca as tarefas por objetivo, aplica o menor privilégio às funções, lista os controles em camadas dos caixas e adapta um controle de USB às necessidades reais.

Caso sintético. Os exemplos são sintéticos.

Erros e limites

Controles que ignoram as necessidades reais do trabalho acabam contornados.

Exercícios

EX019 — Norma de visão geral. Qual norma dá a visão geral da família? Rubrica: 3 = ISO/IEC 27000:2026;; 2 = parcialmente correto;; 1 = outra;; 0 = nenhuma.
EX020 — Limite do comprometimento. Como o menor privilégio limita um comprometimento? Rubrica: 3 = o atacante herda direitos limitados;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
EX021 — Alternativa ao USB. Que alternativa ao USB Jamal sugere? Rubrica: 3 = apenas dispositivos criptografados fornecidos pelo Riverbend;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 07 (capítulo 07 de 30)

← Capítulo 06 · Índice das aulas · Capítulo 08 →

Continue para a próxima aula já escrita.