Capítulo 24 — Fatores humanos e política cibernética: controles

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Controles a partir dos achados"]
  N1["24.2 Nudges éticos"]
  N2["24.3 Avaliar o ônus"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Controles a partir dos achados"]
  N1["24.2 Nudges éticos"]
  N2["24.3 Avaliar o ônus"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX070"]

[24.1 Controles a partir dos achados]
    |
    v
[24.2 Nudges éticos]
    |
    v
[24.3 Avaliar o ônus]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) desenhar controles que tratem as barreiras identificadas; (2) aplicar nudges éticos; (3) avaliar o ônus dos controles.

24.1 Controles a partir dos achados

Nadia desenha controles ligados a seus achados. Para tratar a incerteza, a Ashcombe declarará com clareza que reportes na dúvida são bem-vindos e agradecerá a cada pessoa que reportar. Para tratar a dificuldade, um botão de reporte será acrescentado ao cliente de e-mail. Para tratar a falta de retorno, a TI responderá em até um dia útil com um veredito curto. Para tratar o risco de falsificação de identidade por telefone, serão introduzidos a regra de não revelação e o contato nomeado. Cada controle remonta a uma evidência, o que ajuda os gestores a ver por que ele é necessário e o que deve mudar.

24.2 Nudges éticos

Um nudge é uma pequena mudança de design que facilita uma escolha sem impô-la. Nadia propõe posicionar o botão de reporte em destaque e mostrar um lembrete curto quando e-mails externos pedirem pagamento ou senhas. Ela define limites: os nudges devem ser transparentes, os funcionários devem poder ignorá-los e eles nunca devem manipular as pessoas pelo medo. Ela observa que Bada, Sasse e Nurse (2019) alertaram que mensagens baseadas no medo podem sair pela culatra. Os nudges respeitam a autonomia e, ao mesmo tempo, reduzem o esforço de fazer a coisa segura.

24.3 Avaliar o ônus

Todo controle acrescenta algum esforço. Nadia estima quanto tempo por semana cada controle custa aos funcionários: o botão de reporte economiza tempo em comparação com o encaminhamento; os lembretes acrescentam alguns segundos; a regra de não revelação reduz conversas telefônicas difíceis. Ela apresenta uma estimativa geral que mostra uma economia líquida de tempo dos funcionários. Também observa que os controles devem ser revistos depois de três meses quanto a ônus inesperados, como lembretes que aparecem com frequência excessiva. Avaliar o ônus antes da implantação reflete a ideia do orçamento de compliance e ajuda a manter os controles sustentáveis.

Exemplo resolvido

Nadia desenha quatro controles a partir dos achados, define limites éticos para os nudges e estima o ônus para os funcionários.

Caso sintético. Os controles são sintéticos; Bada et al. (2019) é real.

Erros e limites

As estimativas de ônus podem ser otimistas. Os nudges perdem força com a familiaridade.

Exercícios

• EX070 — Controle de retorno. Que controle trata a falta de retorno?
  Mostrar critérios de avaliação

  Rubrica: 3 = a TI responde em até um dia útil;; 2 = resposta;; 1 = vago;; 0 = nenhuma.
• EX071 — Limites dos nudges. Que limites se aplicam aos nudges?
  Mostrar critérios de avaliação

  Rubrica: 3 = transparentes, ignoráveis e não baseados no medo;; 2 = limites;; 1 = vago;; 0 = nenhuma.
• EX072 — Momento da revisão. Quando os controles devem ser revistos quanto ao ônus?
  Mostrar critérios de avaliação

  Rubrica: 3 = depois de três meses;; 2 = três meses;; 1 = vago;; 0 = nenhuma.

Síntese

Controles rastreados até as evidências, incentivados de forma ética e verificados quanto ao ônus têm mais chance de perdurar.