Capítulo 11 — Arquitetura e engenharia de segurança: ativos e contexto

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 Ordenar os ativos"]
  N1["11.2 Contexto do negócio"]
  N2["11.3 Ativos e atributos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 Ordenar os ativos"]
  N1["11.2 Contexto do negócio"]
  N2["11.3 Ativos e atributos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[11.1 Ordenar os ativos]
    |
    v
[11.2 Contexto do negócio]
    |
    v
[11.3 Ativos e atributos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) ordenar os ativos por importância para o negócio; (2) descrever o contexto e as restrições do negócio; (3) ligar os ativos a atributos de segurança.

11.1 Ordenar os ativos

Usando o inventário do capítulo 1, Tomás pergunta aos gerentes de operações quais sistemas importam mais. O serviço de rastreamento fica em primeiro, porque sem ele as encomendas não podem ser roteadas nem rastreadas. O controlador da esteira fica em segundo, porque a triagem manual corta em dois terços a vazão do centro de distribuição. Os coletores ficam em terceiro. Os PCs do escritório importam menos, exceto os do financeiro. Ordenar pela consequência para o negócio, e não pela complexidade técnica, diz a Tomás para onde devem ir primeiro os esforços de proteção e recuperação quando o tempo é limitado. Ele registra a ordenação com a data e os nomes dos gerentes consultados, para que possa ser revisitada antes de cada alta temporada.

11.2 Contexto do negócio

Tomás registra as restrições que moldam o projeto. Os centros de distribuição funcionam das quatro da manhã às dez da noite, o que deixa janelas de manutenção curtas. A alta temporada no inverno triplica o volume. O fornecedor da esteira exige acesso remoto para o suporte. A rotatividade entre os separadores é alta, e muitos são trabalhadores de agência. As margens são estreitas, então ferramentas caras são difíceis de justificar. Toda recomendação de segurança precisa caber nessas restrições, e registrá-las cedo impede Tomás de propor projetos que nunca seriam aceitos. Ele compartilha a lista com Ruth para que ela possa julgar as propostas posteriores dele contra ela.

11.3 Ativos e atributos

Para cada ativo principal, Tomás anota qual atributo de segurança importa mais. O serviço de rastreamento precisa de disponibilidade e integridade, já que um roteamento errado causa entregas perdidas. Os dados dos clientes precisam de confidencialidade. A esteira precisa de disponibilidade e segurança física, já que comandos com defeito poderiam ferir funcionários. O financeiro precisa da integridade dos pagamentos. Ligar os ativos a atributos, no estilo dos atributos de negócio do SABSA (Sherwood, Clark e Lynas, 2005), o ajuda a escolher os controles: backups e redundância para a disponibilidade, controle de acesso e criptografia para a confidencialidade. Ele mantém a lista de atributos ao lado da ordenação dos ativos, para que as duas sejam revisadas juntas a cada ano.

Exemplo resolvido

Tomás ordena os ativos pela consequência para o negócio, registra as restrições operacionais e liga cada ativo principal ao seu atributo de segurança mais importante.

Caso sintético. As ordenações e as restrições são sintéticas; o SABSA é real.

Erros e limites

Os gerentes podem superestimar seus próprios sistemas. Os atributos mudam com as temporadas e os contratos.

Exercícios

• EX031 — Ativo principal. Que ativo ficou em primeiro, e por quê?

  Mostrar critérios de avaliação

  Rubrica: 3 = o serviço de rastreamento; sem ele as encomendas não podem ser roteadas;; 2 = rastreamento;; 1 = esteira;; 0 = nenhuma.

• EX032 — Exemplo de restrição. Cite duas restrições que Tomás registrou.

  Mostrar critérios de avaliação

  Rubrica: 3 = horário longo de funcionamento, alta temporada, acesso remoto do fornecedor, rotatividade, margens estreitas;; 2 = uma;; 1 = vago;; 0 = nenhuma.

• EX033 — Atributos da esteira. Que atributos importam mais para a esteira?

  Mostrar critérios de avaliação

  Rubrica: 3 = disponibilidade e segurança física;; 2 = disponibilidade;; 1 = confidencialidade;; 0 = nenhuma.

Síntese

Classificar os ativos pela consequência para o negócio, dentro das restrições reais, mostra onde concentrar a proteção.