Escrutínio, contratação pública e serviços que não podem falhar.
Organismo da administração pública com portais de serviços ao cidadão e sistemas acumulados ao longo de várias gerações tecnológicas. Não existe inventário fiável de ativos.
Percurso-tipo · descreve o método aplicado a um perfil representativo do setor
- Dia 1 · Descoberta
Começar pelo domínio, não pela lista
O âmbito parte dos domínios do organismo em vez do inventário — precisamente porque o inventário é o que não é de confiança. Aparecem serviços publicados por equipas que já não existem e um portal de um programa terminado que continua no ar.
- Dia 2 · Superfície esquecida
O que não está no inventário não é testado
Nenhum destes ativos entrou alguma vez no âmbito de uma auditoria, porque nenhuma auditoria pode testar o que não sabe que existe. É por isso que a descoberta tem de ser contínua e independente da lista.
- Dia 2 · Autenticação
Uma porta lateral para a autenticação federada
Um dos portais esquecidos integra com o sistema de autenticação federada e aceita um fluxo antigo que já foi desativado nos portais atuais. É um caminho para obter sessões válidas sem passar pelos controlos novos.
Obter uma sessão autenticada válida através do fluxo antigo, com uma conta de teste.
- Porque é que isto exige uma decisão humana
- Demonstra que o controlo pode ser contornado. Envolve o sistema de identidade, que é infraestrutura partilhada por vários serviços do Estado.
- O que foi decidido
- Aprovado com conta de teste dedicada e notificação prévia à equipa que opera o sistema de identidade, para não gerar alarme no SOC.
O que fica documentado
- Inventário do que está realmente publicado, incluindo o que não constava de nenhuma lista
- Prova do contorno do controlo, com o fluxo exato e a conta de teste utilizada
- Trilho de auditoria de cada ação, com autorização associada — o registo que a tutela pode pedir
- Evidência de diligência contínua, e não de um exercício isolado
Veja a DIANA em ação.
Uma operação ao vivo num âmbito de exemplo: da descoberta à exploração validada, com aprovação humana e o relatório de evidências gerado na sessão.