Mini-Projeto · Plano de cibersegurança para uma secção
Contexto
A secção Sirius, uma pequena equipa de oito militares (naval ou aeroespacial, conforme o curso), prepara-se para um exercício de dez dias fora das instalações habituais. A equipa usa telemóveis de serviço, dois portáteis partilhados e uma pasta de rede com manuais técnicos, registos de manutenção e um plano de comunicações.
Foste destacado, individualmente ou em par, para avaliar as ameaças cibernéticas a que a secção fica exposta durante o exercício e propor um plano de proteção de informação e dispositivos, cumprindo os normativos aplicáveis. No fim, apresentas o plano ao comandante da secção.
Requisitos
Funcionais
- Levantamento de ativos: lista dos dispositivos e da informação a proteger (telemóveis, portáteis, pasta de rede, plano de comunicações).
- Avaliação de ameaças: para cada ativo, identificar pelo menos duas ameaças cibernéticas prováveis, com probabilidade e impacto estimados.
- Mapeamento ameaça → proteção: uma tabela clara que ligue cada ameaça à medida de proteção escolhida.
- Medidas concretas: antivírus e atualizações, política de senhas fortes com autenticação de dois fatores, plano de cópias de segurança, regras de utilização de redes durante o exercício.
- Procedimento de reporte: como e a quem reportar um incidente durante o exercício, incluindo a cadeia de comando.
Não-funcionais
- Linguagem clara, sem jargão desnecessário, adequada a ser lida por quem não é especialista técnico.
- Plano realista para dez dias fora das instalações, sem depender de equipamento que a secção não tem.
- Coerência com o enquadramento legal português (RGPD, Lei n.º 46/2018) sempre que a informação envolvida for pessoal ou sensível.
Fases
Fase 1 · Levantamento de ativos (2h) Listar todos os dispositivos e informação da secção Sirius a proteger, com uma frase sobre porque cada um é sensível.
Fase 2 · Avaliação de ameaças (3h) Para cada ativo, aplicar o método de quatro passos (ativo, ameaças, probabilidade e impacto, medida de proteção) estudado na sebenta.
Fase 3 · Mapeamento e medidas técnicas (3h) Construir a tabela ameaça → proteção e detalhar antivírus, atualizações, senhas, 2FA e cópias de segurança.
Fase 4 · Redes e regras de utilização (2h) Definir as regras de ligação a redes durante o exercício e o procedimento de reporte de incidentes.
Fase 5 · Apresentação (2h) Apresentar o plano ao "comandante da secção" (o professor ou a turma), justificando cada escolha com o referencial estudado.
Critérios de avaliação
| Critério | Peso |
|---|---|
| Levantamento de ativos completo e justificado | 15% |
| Avaliação de ameaças (probabilidade e impacto) | 20% |
| Mapeamento ameaça → proteção correto | 20% |
| Medidas técnicas (antivírus, senhas, 2FA, backups) | 25% |
| Regras de rede e procedimento de reporte | 10% |
| Apresentação e clareza | 10% |
Erros comuns
- Listar ameaças genéricas ("hackers") em vez de ameaças concretas do referencial (phishing, ransomware, mobile malware).
- Propor medidas de proteção sem as ligar a uma ameaça específica identificada antes.
- Recomendar 2FA por SMS como primeira opção, quando existe alternativa mais segura disponível.
- Esquecer o teste de restauro no plano de cópias de segurança.
- Não referir o procedimento de reporte pela cadeia de comando, tratando o assunto como puramente técnico.
- Copiar uma política de segurança genérica de empresa, sem adaptar ao contexto real de dez dias fora das instalações.
Bónus (opcional)
- Simular um incidente (por exemplo, um telemóvel "perdido" durante o exercício) e descrever o procedimento de resposta passo a passo.
- Propor uma pequena ação de sensibilização de 15 minutos para os oito militares da secção, antes da partida.
- Rever o plano contra a Lei n.º 46/2018 e apontar um artigo ou princípio concreto que o plano cumpre.
Reflexão
No final, responde: qual foi a ameaça que consideraste mais difícil de mitigar num contexto de exercício fora das instalações, e porquê? E de que forma o critério de desempenho "manter-se atualizado" se aplicaria depois deste exercício terminar?