Trilha Governança e Prática de Segurança da Informação: tudo o que estudar, tópico por tópico

Códigos de ética profissional, ética organizacional, dever de cuidado (due care) e diligência devida (due diligence), conflitos de interesse, dilemas éticos no trabalho de segurança, obrigações de reporte e o dever de proteger a sociedade e a profissão

Alinhamento da segurança com estratégia, metas e missão do negócio, papéis e responsabilidades organizacionais, governança versus gestão, frameworks de controles (ISO/IEC 27001/27002, NIST CSF, COBIT), due care, tomada de decisão, supervisão e responsabilização

A hierarquia documental (política, padrão, baseline, procedimento, diretriz), como cada item é desenvolvido, aprovado, comunicado, aplicado e revisado, e como as exceções são tratadas

Leis de crimes cibernéticos, propriedade intelectual (direitos autorais, patentes, marcas, segredos comerciais), licenciamento, leis de privacidade e proteção de dados (GDPR, LGPD, HIPAA, CCPA), fluxos de dados transfronteiriços, controles de importação/exportação, padrões contratuais e do setor (PCI DSS), notificação de violações e responsabilidade

Investigações administrativas, criminais, civis, regulatórias e de padrões do setor, ônus e padrão de prova, tipos de evidência e admissibilidade, cadeia de custódia, solidez forense, eDiscovery e retenção legal (legal hold), e coordenação com o jurídico e as autoridades

Triagem de candidatos, contratos de trabalho e NDAs, integração e mudanças de função, desligamento, pessoal de fornecedores e prestadores, segregação de funções em processos de RH, privacidade no ambiente de trabalho, e conformidade e sanções

Fundamentos de nível de entrada: a tríade confidencialidade, integridade e disponibilidade, autenticação, autorização e responsabilização, não repúdio, privacidade, vocabulário de ameaças, vulnerabilidades e riscos, opções de tratamento de risco, defesa em profundidade, menor privilégio e os tipos e funções de controles de segurança (administrativos, técnicos, físicos; preventivos, detectivos, corretivos)

Programas de conscientização e treinamento em segurança, phishing, vishing, smishing, pretexting, baiting e tailgating, noções de ameaça interna, reporte de atividade suspeita, higiene de senhas e dispositivos, comportamento em trabalho remoto e medição do efeito da conscientização (taxas de clique, taxas de reporte, simulações)

Vocabulário prático de risco: a ordem das etapas do NIST Risk Management Framework (preparar, categorizar, selecionar, implementar, avaliar, autorizar, monitorar), pontuação DREAD de ameaças (dano, reprodutibilidade, explorabilidade, usuários afetados, descobribilidade) versus classificação STRIDE, a técnica Delphi de consenso anônimo e iterativo de especialistas para estimativas qualitativas, e gestão de risco da cadeia de suprimentos de hardware com procedência, componentes falsificados e adulterados, fornecedores confiáveis e lista de materiais de hardware

Questões de proteção de pessoas e ética investigativa: códigos de coação e alarmes silenciosos que permitem a um funcionário coagido sinalizar perigo sem alertar o atacante, a segurança das pessoas como primeira prioridade, controles para viagens de alto risco (briefing de viagem, dispositivos limpos com dados mínimos, criptografia de disco completo, nenhum dado sensível cruzando fronteiras, VPN, riscos de apreensão de dispositivos e vigilância, procedimentos de check-in) e a diferença jurídica entre entrapment (induzir alguém a cometer um crime para o qual não tinha predisposição) e enticement (oferecer oportunidade a quem já tem inclinação, como em honeypots)

Identificação e inventário de ativos, esquemas de classificação (governamental e comercial), rotulagem, papéis de propriedade (proprietário, custodiante, steward, usuário, operador, controlador), requisitos de tratamento, armazenamento, transporte e marcação, e estados dos dados

Etapas do ciclo de vida (criar, armazenar, usar, compartilhar, arquivar, destruir), cronogramas de retenção e requisitos legais, remanência de dados, sanitização (clear, purge, destroy), ativos em fim de vida e fim de suporte, e seleção de controles de dados como DLP, tokenização, mascaramento e gestão de direitos

Controles técnicos que acompanham os dados: prevenção de perda de dados (DLP) em endpoint, rede e nuvem com inspeção de conteúdo, fingerprinting, expressões regulares e rótulos, modos de monitoramento versus bloqueio e falsos positivos, e gerenciamento de direitos de informação ou digitais (IRM/DRM) que impõe permissões de leitura, impressão, cópia e expiração que permanecem com o documento depois que ele sai da organização

Análise de impacto nos negócios (BIA), funções críticas, MTD/MTPD, RTO, RPO e WRT, escopo e desenvolvimento do plano de continuidade, iniciação do projeto, papéis das partes interessadas, aprovação, manutenção e treinamento do plano

Opções de site de recuperação (hot, warm, cold, nuvem, recíproco), estratégias de backup, replicação e failover, prioridades de recuperação, conteúdo do plano de recuperação de desastres, comunicações, tipos de teste (leitura, walk-through, simulação, paralelo, interrupção total), lições aprendidas e retorno à normalidade

Pontos únicos de falha, redundância de energia, rede, armazenamento e computação, alta disponibilidade versus tolerância a falhas, failover e failback, balanceamento de carga, níveis de RAID, backup versus replicação, clusters, métricas de disponibilidade e como a redundância apoia os objetivos de recuperação

Modelos formais de segurança (Bell-LaPadula, Biba, Clark-Wilson, Brewer-Nash, Graham-Denning, máquina de estados, não interferência, take-grant), matriz de controle de acesso, monitor de referência e TCB, e esquemas de avaliação, certificação e acreditação (TCSEC, ITSEC, Common Criteria)

Segurança de hardware e firmware (TPM, HSM, secure boot, enclaves), proteção de memória e isolamento de processos, virtualização e contêineres, anéis de proteção, arquiteturas emergentes (embarcadas, móveis, IoT, ICS, cliente-servidor, distribuídas), canais encobertos e vulnerabilidades de canal lateral e de arquitetura

Criptografia simétrica e assimétrica, hashing, assinaturas digitais, esquemas híbridos, PKI e ciclo de vida de certificados, gestão de chaves, seleção de algoritmos e ataques a criptossistemas (força bruta, aniversário, análise de frequência, texto claro conhecido, canal lateral, downgrade, replay)

Projeto de sites e instalações (CPTED, defesa em camadas), controles de perímetro e entrada, áreas seguras e data centers, utilidades, climatização, detecção e supressão de incêndio, energia, proteção de mídia e equipamentos, gestão de visitantes e segurança de pessoas (coação, viagens, violência no trabalho)

Modelos OSI e TCP/IP, projeto seguro de redes (segmentação, defesa em profundidade, microssegmentação), protocolos seguros, IPsec e TLS, VPN e acesso remoto, redes sem fio, VoIP e colaboração, redes convergentes e definidas por software, e proteção de componentes de rede

Escolha de protocolos seguros para transporte, e-mail, administração remota e transferência de arquivos (TLS, IPsec, SSH, S/MIME, SFTP), ciclo de vida de certificados, geração, armazenamento, rotação, custódia (escrow) e destruição de chaves criptográficas, módulos de segurança de hardware (HSM), hash, assinaturas digitais e falhas comuns de implementação

Fundamentos de TCP/IP e OSI, endereçamento, portas e serviços comuns, DNS e DHCP, ataques de rede (spoofing, envenenamento, man-in-the-middle, negação de serviço, VLAN hopping), segmentação e VLANs, 802.1X, NAC e hardening de dispositivos de rede

Operação de firewalls, proxies, IDS/IPS, gateways VPN e balanceadores de carga, revisão da base de regras, rede sem fio segura (WPA2/WPA3, autenticação corporativa, pontos de acesso não autorizados) e inventário, isolamento e monitoramento de dispositivos IoT e de tecnologia operacional

Arquitetura de segurança de redes de nível de entrada: segmentação, VLANs, DMZ, defesa em profundidade, princípios de zero trust, VPN e acesso remoto, posicionamento de firewalls, NAT, portas e protocolos comuns, além de noções de nuvem (IaaS, PaaS, SaaS, implantação pública, privada, híbrida e comunitária, responsabilidade compartilhada, acordos de nível de serviço, multilocação)

Como as cifras de bloco são usadas com segurança e onde vazam informação: modos de operação (ECB, CBC, CFB, OFB, CTR, GCM) com regras de IV e nonce, criptografia autenticada, a ameaça que computadores quânticos representam para RSA, ECC e Diffie-Hellman pelo algoritmo de Shor versus o impacto menor do algoritmo de Grover em chaves simétricas, padrões pós-quânticos do NIST (ML-KEM e ML-DSA baseados em reticulados, SLH-DSA baseado em hash), agilidade criptográfica e colher agora para decifrar depois, e ataques de canal lateral (tempo, análise de potência, cache, acústico, eletromagnético, injeção de falhas) com suas contramedidas

Proteção da base da rede: assinaturas DNSSEC e cadeia de confiança (RRSIG, DNSKEY, DS) contra envenenamento de cache DNS, sequestro e vazamento de rotas BGP e suas defesas (validação de origem de rota com RPKI, ROAs, filtragem de prefixos, sessões MD5/TCP-AO), anúncios de roteador IPv6 maliciosos e RA Guard com SEND, SRTP e ZRTP na proteção de mídia e sinalização de VoIP (SIPS/TLS), e prevenção de intrusão sem fio (WIPS) para detectar pontos de acesso não autorizados e evil twins

Raciocínio de segurança no nível de projeto: princípios de Saltzer-Schroeder como mediação completa, privilégio mínimo, padrões à prova de falha e economia de mecanismo, canais encobertos de armazenamento e de tempo e como reduzir sua largura de banda, ataques de inferência e agregação em bancos de dados com controles (polinstanciação, restrição de consultas, ruído e supressão de células, views) e aplicação de baselines de segurança com decisões de escopo e adaptação (tailoring) documentadas pelo risco

Estratégia de avaliação, teste e auditoria (interna, externa, de terceiros), métodos de teste de controles, escopo de varredura de vulnerabilidades e teste de intrusão, transações sintéticas, revisão de código, coleta de dados de processo (KPIs, KRIs, backups, treinamento), relatórios SOC 1/2/3 e de atestação, análise, relatórios, acompanhamento de correções e revisão pela gestão

Need-to-know e menor privilégio, segregação de funções, rodízio de funções, gestão de contas privilegiadas, acordos de nível de serviço, gestão de mídia, gestão de ativos de hardware e software, gestão de configuração e mudança como disciplinas operacionais, e gestão contínua das operações

Autenticação de fator único e multifator, tokens e biometria, single sign-on e federação (Kerberos, SAML, OAuth 2.0, OpenID Connect), autenticação de dispositivos e relações de confiança entre redes e domínios (unidirecional, bidirecional, transitiva, extranet e conexões de terceiros)

Provisionamento, revisão e desprovisionamento de identidades, modelos de controle de acesso baseados em papéis e atributos (DAC, MAC, RBAC, ABAC), contas privilegiadas e de serviço, recertificação de acessos, administração de identidade federada e auditoria de permissões

Operação e ajuste de plataformas de segurança (SIEM, IDS/IPS, DLP, monitoramento de integridade de arquivos, NAC, lista de permissões de aplicações), coleta de logs e sincronização de horário, linhas de base, triagem de alertas, ajuste de falsos positivos e falsos negativos, análise de varreduras de vulnerabilidade e relato de resultados de monitoramento

Tipos de código malicioso (vírus, worms, ransomware, rootkits, malware sem arquivo, botnets), indicadores de comprometimento, noções de análise estática e dinâmica, sandbox, hardening de endpoints, antimalware e detecção e resposta em endpoints (EDR), gerenciamento de dispositivos móveis e controles baseados em host

Proteção de hipervisores, máquinas virtuais, contêineres e redes virtuais, escape de VM e proliferação de VMs, snapshots e imagens, responsabilidade compartilhada em IaaS/PaaS/SaaS, identidade e armazenamento em nuvem, residência de dados e operação de serviços de nuvem seguros

Resposta a incidentes de nível de entrada: eventos versus incidentes, o ciclo de vida da resposta a incidentes (preparação, detecção e análise, contenção, erradicação, recuperação, lições aprendidas), a equipe de resposta e seus papéis, escalonamento e comunicação, noções de tratamento de evidências, relação com continuidade de negócios e recuperação de desastres e as ações da primeira hora de um analista de linha de frente

Detalhes de projeto de autenticação cobrados em nível gerencial: taxas de erro biométricas (falsa aceitação FAR, falsa rejeição FRR, taxa de erro de cruzamento CER) e como o ajuste de sensibilidade as desloca, TACACS+ (TCP 49, criptografia do payload inteiro, autenticação, autorização e contabilização separadas) versus RADIUS (UDP, criptografia só da senha, authn/authz combinadas) na administração de dispositivos versus acesso à rede, e a mecânica de tickets Kerberos com ataques como pass-the-ticket, Kerberoasting, golden e silver tickets e a redefinição dupla da conta krbtgt

Planejamento e governança de testes de segurança: testes de interface (APIs, UI, interfaces de rede e físicas), testes de casos de uso indevido e de abuso a partir dos requisitos, testes de regressão após uma correção e métricas de cobertura de testes (instrução, ramo, requisito), autorização, escopo e regras de engajamento de testes de invasão (permissão por escrito, carta de autorização, janelas de teste, caminhos de escalonamento, tratamento de dados) e gestão de achados de auditoria com análise de causa raiz, planos de ação corretiva, responsáveis e prazos, e verificação do encerramento

Integração da segurança em cascata, ágil, DevOps e DevSecOps, gates de segurança por fase, gestão de mudança e configuração de código, segurança do ambiente de desenvolvimento, modelos de maturidade (CMMI, OWASP SAMM, BSIMM), governança de APIs e segurança definida por software

Diretrizes e padrões de codificação segura, validação de entrada, codificação de saída, tratamento de erros, revisão de código, testes estáticos, dinâmicos e interativos, fuzzing, análise de composição de software, segurança de repositórios e pipelines, e medição da eficácia da segurança de software (densidade de defeitos, análise de risco, auditoria)

Impacto de segurança de software comercial de prateleira, código aberto, SaaS e código terceirizado, avaliação de fornecedores, listas de materiais de software (SBOM), licenciamento, custódia de código-fonte (escrow), testes de aceitação, requisitos contratuais de segurança e monitoramento contínuo de componentes