Engenheiro de segurança

Pelo que responde

• Controles implantados, funcionando e monitorados, e não apenas comprados.
• Mudanças que não derrubam a produção em nome de protegê-la.
• Saber quais controles estão degradados agora, antes que outra pessoa descubra.

Como é medido

• Cobertura: quanto do parque o controle de fato alcança.
• Falsos positivos, que é o número que decide se o controle sobrevive ao primeiro mês.
• Tempo para implantar uma mudança, já que um controle que ninguém altera com segurança vira um controle que ninguém altera.

Quem mais tem interesse

• Todo time cujo tráfego passa por algo que este papel configurou.
• A central de serviços, cujo volume de chamados se move a cada decisão de ajuste.
• O financeiro, já que consumo de licença é consequência de escolhas de engenharia.

O que exige

• Profundidade real em ao menos uma plataforma, e o bastante nas vizinhas para integrá-las.
• Disciplina de mudança, porque este papel quebra a produção de um jeito singularmente constrangedor.
• Paciência para ajustar em vez de desligar.
• Scripting, já que consistência em escala não se alcança à mão.

As fontes publicadas

• NICCS, CISA - the NICE Workforce Framework for Cybersecurity, which defines the work roles, tasks and skills used across public, private and academic sectors
• NIST Cybersecurity Framework - the Govern, Identify, Protect, Detect, Respond and Recover functions that most security programmes are organised against

Para onde leva

• Security architectQuem defende
• Network security engineerQuem defende
• Security operations analystQuem defende
• Network operations specialistQuem opera

O trabalho em si

A Prática cobre como este trabalho é feito — triagem, escalação, evidência, passagem de bastão — em todo o corpus.

• Ler um projeto que não foi você quem fezHerdar um sistema projetado por outra pessoa é uma das situações mais comuns deste trabalho, e o primeiro ato não é julgar o projeto: é recuperar as restrições a que ele respondia. Quase tudo que parece errado é uma decisão cuja razão já saiu do prédio, e as partes genuinamente erradas são indistinguíveis das que não são até você saber qual é qual.
• Para que serve, de fato, o teste de aceitaçãoTeste de aceitação não é uma demonstração de que o sistema funciona. A função real dele é registrar o que ficou acordado como "funcionando", enquanto as duas partes ainda querem concordar — para que a discussão que chega dezoito meses depois tenha um documento em vez de duas memórias.
• O runbook que ninguém consegue seguir, e por quêRunbooks falham quando são escritos pela pessoa que menos precisa deles, no momento em que ela mais entende o sistema, para um leitor que ela imagina ser ela mesma. A correção não é mais detalhe — é escrever para um leitor específico em um estado específico, e então deixar esse leitor quebrar o documento antes de você precisar dele.
• Passagem: o momento em que um projeto vira operaçãoA passagem é tratada como transferência de documentos e é, na verdade, transferência de julgamento — e julgamento é a única coisa que não se transfere numa reunião. O que dá para transferir é o raciocínio por trás das decisões, a lista do que ficou por fazer, e o nome de alguém que vai atender o telefone.
• Linha de base: saber como é o normal antes de precisarUma linha de base não é monitoração nem documentação. É a resposta à única pergunta que importa nos primeiros dez minutos de um incidente — isso sempre foi assim? — e é o único artefato que só pode ser feito quando nada está errado.
• O que uma linha de base não consegue dizerUma linha de base registra o que aconteceu durante o período em que foi tirada e promove, em silêncio, as condições daquele período ao status de normal. Ela responde se algo mudou, o que já vale muito — mas não consegue dizer se aquilo que registrou algum dia esteve certo, e a diferença entre essas duas perguntas é de onde saem as respostas erradas ditas com confiança.
• Janelas de mudança, e a aritmética do rollbackUma janela de mudança não é o tempo que a mudança leva. É o tempo da mudança mais o tempo para descobrir que deu errado mais o tempo para desfazer — e o terceiro número é o que ninguém mede, razão pela qual janelas estouram e rollbacks são abandonados pela metade.
• Nomenclatura, endereçamento e o custo de errar cedoNomenclatura e endereçamento são decididos numa tarde por quem estiver livre, e sobrevivem a todas as outras decisões do parque — não porque sejam tecnicamente difíceis de mudar, mas porque todo o resto passa, em silêncio, a depender deles. A conta é paga anos depois, por outra pessoa, numa moeda que ninguém orçou.

Ler A Prática