◇ OpenCyber Academy
Tecnólogo · Capítulo 13 · Português

Capítulo 13 — Arquitetura e engenharia de segurança: cenários de risco

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 13 — Arquitetura e engenharia de segurança: cenários de risco

Mapa da aula

Aula 13 publicada. Mapa, exemplo, EX037.

flowchart TD
  N0["13.1 Escrever os cenários"]
  N1["13.2 Classificar de forma consistente"]
  N2["13.3 Escolher os tratamentos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX037"]

Desenho lógico

flowchart LR
  N0["13.1 Escrever os cenários"]
  N1["13.2 Classificar de forma consistente"]
  N2["13.3 Escolher os tratamentos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX037"]

[13.1 Escrever os cenários]
    |
    v
[13.2 Classificar de forma consistente]
    |
    v
[13.3 Escolher os tratamentos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX037]

Objetivos de aprendizagem

Você vai (1) escrever cenários de risco concretos; (2) classificá-los de forma consistente; (3) escolher tratamentos.

13.1 Escrever os cenários

Tomás transforma seus achados em cenários: um manifesto falso desvia encomendas de alto valor; um ransomware criptografa a máquina virtual de planejamento de rotas durante o pico; um coletor perdido expõe os dados dos destinatários; a conta de suporte do fornecedor da esteira é usada indevidamente. Cada cenário nomeia uma ameaça, uma fraqueza, um ativo e uma consequência. Cenários concretos são mais fáceis de julgar pelos gestores do que declarações abstratas de risco, porque eles conseguem imaginar o evento e reconhecê-lo pela própria experiência. Ele limita cada cenário a duas ou três frases e evita jargão técnico, para que o gerente de operações e a equipe financeira possam classificá-los sem precisar de explicação da TI.

13.2 Classificar de forma consistente

Tomás usa uma escala simples de três níveis para probabilidade e impacto, com exemplos para cada nível, seguindo a estrutura do NIST SP 800-30 Rev. 1. Ele pede que Sam e o gerente de operações classifiquem de forma independente. Eles concordam em três cenários, mas divergem no do coletor perdido: o gerente de operações o classifica com probabilidade alta, porque coletores somem todo mês. Esse conhecimento local muda a classificação. Comparar classificações independentes traz à tona conhecimentos escondidos e torna as classificações finais mais defensáveis. As classificações acordadas são registradas com a data da discussão.

13.3 Escolher os tratamentos

Para cada cenário, o grupo escolhe um tratamento. O manifesto falso é reduzido pelo portal de upload e pela validação. O ransomware é reduzido por backups offline e restaurações testadas da máquina de planejamento de rotas. O coletor perdido é reduzido pelo apagamento remoto e pela minimização dos dados nas telas. O uso indevido pelo fornecedor é reduzido por acesso com prazo limitado, aprovado por sessão. Cada tratamento tem um responsável e uma data. Um cenário de classificação baixa, a falha de uma impressora, é aceito, porque cada centro de distribuição mantém impressoras de reserva. A lista de tratamentos é arquivada com os cenários para a próxima revisão.

Exemplo resolvido

Tomás escreve quatro cenários concretos, compara classificações independentes usando escalas no estilo do SP 800-30 e registra os tratamentos com responsáveis.

Caso sintético. Os cenários e as classificações são sintéticos; o SP 800-30 Rev. 1 é real.

Erros e limites

Escalas de três níveis são grosseiras. As listas de cenários deixam surpresas de fora.

Exercícios

Síntese

Cenários concretos, avaliações independentes e tratamentos com donos tornam a gestão de riscos prática.

Continue estudando — aula 13 (capítulo 13 de 30)

← Capítulo 12 · Índice das aulas · Capítulo 14 →

Continue para a próxima aula já escrita.