Capítulo 18 — Arquitetura e engenharia de segurança: controles

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Controles a partir dos cenários"]
  N1["18.2 Conferir a cobertura"]
  N2["18.3 Evidências"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Controles a partir dos cenários"]
  N1["18.2 Conferir a cobertura"]
  N2["18.3 Evidências"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX052"]

[18.1 Controles a partir dos cenários]
    |
    v
[18.2 Conferir a cobertura]
    |
    v
[18.3 Evidências]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) mapear os controles para os cenários de risco; (2) usar um catálogo de controles para conferir a cobertura; (3) registrar evidências para cada controle.

18.1 Controles a partir dos cenários

Tomás lista os controles já escolhidos para os cenários de risco da Brightwater: portal de upload com login multifator, validação de manifestos, backups offline, apagamento remoto, acesso do fornecedor com prazo limitado, restrições de USB na estação de trabalho da esteira e atualizações mensais. Ele mapeia cada um para os cenários que reduz. Um controle que reduz vários cenários, como as atualizações mensais, merece atenção extra, porque sua falha enfraqueceria muitas defesas de uma vez. O mapa também mostra que nenhum controle trata ainda a fraude de faturas no financeiro. Ele acrescenta a fraude de faturas à lista de lacunas a fechar em seguida.

18.2 Conferir a cobertura

Tomás usa a ISO/IEC 27002:2022 como catálogo para procurar lacunas. Seus controles sobre relacionamento com fornecedores, transferência de informações e descarte seguro levam a três acréscimos: uma cláusula de segurança para o fornecedor da esteira, uma regra de retorno de ligação (call-back) para as mudanças de dados bancários no financeiro e o apagamento dos coletores antes da devolução à empresa de leasing. O catálogo é usado como lista de lembretes, e não como checklist a implementar por inteiro. Tomás registra por que outros controles do catálogo não são necessários no porte da Brightwater. Os motivos ficam num apêndice curto para auditores e clientes.

18.3 Evidências

Para cada controle, Tomás registra o que prova que ele funciona: uma captura de tela da configuração multifator do portal, um log de teste de restauração, uma lista de coletores apagados, as aprovações das sessões do fornecedor e o relatório de atualizações. As evidências precisam ser produzidas regularmente, e não uma única vez. Ele configura lembretes para as verificações mensais e trimestrais. Sam observa que a lista de evidências também vai ajudar quando um grande cliente varejista enviar seu questionário de segurança de fornecedores, o que acontece todo ano e antes levava dias de busca. Cada item indica quem o produz e onde ele fica armazenado.

Exemplo resolvido

Tomás mapeia sete controles para os cenários, usa a ISO/IEC 27002 para acrescentar três e define evidências regulares para cada controle.

Caso sintético. Os controles e as evidências são sintéticos; a ISO/IEC 27002:2022 é real.

Erros e limites

As evidências podem mostrar a configuração sem provar a eficácia. Os catálogos tentam à implementação excessiva.

Exercícios

• EX052 — Controle compartilhado. Por que as atualizações mensais merecem atenção extra?

  Mostrar critérios de avaliação

  Rubrica: 3 = sua falha enfraquece as defesas contra muitos cenários;; 2 = muitos cenários;; 1 = vago;; 0 = nenhuma.

• EX053 — Acréscimos do catálogo. Cite dois controles acrescentados a partir da ISO/IEC 27002.

  Mostrar critérios de avaliação

  Rubrica: 3 = cláusula do fornecedor, call-back de mudança bancária, apagamento dos coletores;; 2 = um;; 1 = vago;; 0 = nenhuma.

• EX054 — Benefício nos questionários. Como a lista de evidências vai ajudar com os clientes?

  Mostrar critérios de avaliação

  Rubrica: 3 = respondendo rapidamente aos questionários de segurança de fornecedores;; 2 = questionários;; 1 = vago;; 0 = nenhuma.

Síntese

Controles mapeados para cenários, conferidos com um catálogo e sustentados por evidências regulares formam uma defesa coerente.