Uma auditoria externa foi contratada para auditar a...

Uma auditoria externa foi contratada para auditar a implementação de controles de segurança em um órgão que processa dados críticos de licitações.

Durante a auditoria, foram identificadas as situações a seguir:

A. O órgão usa apenas antivírus tradicional (baseado em assinatura) em suas 500 estações de trabalho, sem capacidade de análise comportamental ou resposta automatizada a incidentes.

B. Os logs de acesso aos sistemas críticos são mantidos por apenas 30 dias, armazenados localmente em cada servidor, sem correlação entre eventos de diferentes sistemas.

C. A arquitetura de rede atual confia, implicitamente, em todos os usuários conectados à rede interna, sem segmentação ou verificação contínua de identidade após o login inicial.

D. Foi detectado que um arquivo contendo 50.000 CPF’s de fornecedores foi enviado por e-mail para domínio externo (@XPTO.com), sem que nenhum alerta fosse gerado.

Com base nas situações apresentadas e nas melhores práticas de segurança da informação

I. Indique, para cada situação (A, B, C e D),

• o nome específico da tecnologia/controle que deveria ser implementada(o).

• o número ou nome do controle correspondente no CIS Controls v8.

• a categoria do controle no CIS v8 (IG1-Básico, IG2-Intermediário ou IG3-Avançado).

II. Classifique o incidente da Situação D segundo a taxonomia ENISA. Indique as três primeiras ações da fase de contenção para o incidente da Situação D, na ordem correta de execução.

III. Para cada situação (A, B, C e D), defina um indicador-chave de risco (KRI) mensurável, a fórmula de cálculo e o valor aceitável (threshold).