Capítulo 23 — Governança, riscos e compliance de segurança: métodos I

Mapa da aula

Aula 23 publicada. Mapa, exemplo, EX067.

flowchart TD
  N0["23.1 Pontuação na matriz"]
  N1["23.2 Perda esperada"]
  N2["Laboratório — Notas da matriz contra perda esperada"]
  N3["23.3 Quando discordam"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX067"]

Desenho lógico

flowchart LR
  N0["23.1 Pontuação na matriz"]
  N1["23.2 Perda esperada"]
  N2["Laboratório — Notas da matriz contra perda esperada"]
  N3["23.3 Quando discordam"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX067"]

[23.1 Pontuação na matriz]
    |
    v
[23.2 Perda esperada]
    |
    v
[Laboratório — Notas da matriz contra perda esperada]
    |
    v
[23.3 Quando discordam]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX067]

Objetivos de aprendizagem

Você vai (1) pontuar riscos numa matriz 5x5; (2) comparar as notas da matriz com a perda esperada; (3) entender quando as duas discordam.

23.1 Pontuação na matriz

A Elmfield pontua os riscos numa matriz cinco por cinco: probabilidade e impacto de um a cinco, multiplicados para dar a nota. Sofia pontua cinco riscos com os gestores. Dados de inquilinos mal endereçados ficam com doze, o notebook perdido com doze, o ransomware com dez, o mau uso pelo prestador com nove e a queda da página de pagamento com seis. A matriz é rápida e familiar, e por isso muitas organizações a usam. Sofia também pede aos gestores uma probabilidade anual e uma perda típica para cada risco, para comparar os métodos; é esse pedido que torna possível a comparação da seção seguinte.

23.2 Perda esperada

O laboratório calcula a perda esperada como probabilidade vezes perda. O ransomware, com uma chance em dez e uma perda de duzentos e cinquenta mil, tem a maior perda esperada, vinte e cinco mil. Os dados mal endereçados vêm em seguida, com doze mil, e o notebook perdido com dez mil. A matriz põe os dados mal endereçados em primeiro, empatados com o notebook, enquanto a perda esperada põe o ransomware em primeiro. A discordância surge porque a matriz comprime um impacto muito grande numa nota cinco: como o impacto tem teto em cinco, a perda de duzentos e cinquenta mil do ransomware não aparece como muitas vezes maior do que as perdas menores.

Laboratório — Notas da matriz contra perda esperada

"""5x5 scores vs expected loss (thousands) for five Elmfield risks."""
risks = [("tenant data misdirected", 4, 3, 0.8, 15), ("ransomware", 2, 5, 0.1, 250),
         ("lost laptop", 3, 4, 0.5, 20), ("payment page outage", 3, 2, 0.6, 8), ("contractor misuse", 3, 3, 0.2, 40)]
for n, l, i, p, loss in risks: print(f"{n}: score {l*i}, expected loss {p*loss:.1f}k")
print("top by score:", max(risks, key=lambda r: r[1]*r[2])[0]); print("top by expected loss:", max(risks, key=lambda r: r[3]*r[4])[0])

Execute com python3 lab_score.py. Saída verificada:

tenant data misdirected: score 12, expected loss 12.0k
ransomware: score 10, expected loss 25.0k
lost laptop: score 12, expected loss 10.0k
payment page outage: score 6, expected loss 4.8k
contractor misuse: score 9, expected loss 8.0k
top by score: tenant data misdirected
top by expected loss: ransomware

23.3 Quando discordam

Sofia lê Cox (2008), que mostra que as matrizes de risco podem dar notas maiores a riscos quantitativamente menores e produzir empates entre riscos muito diferentes. Seu laboratório ilustra os dois problemas. Ela não conclui que as matrizes são inúteis: ajudam a iniciar conversas e são fáceis para não especialistas. Recomenda que a Elmfield mantenha a matriz para a triagem inicial, mas acrescente estimativas aproximadas de perda esperada para os principais riscos, para que riscos raros e graves como o ransomware não sejam subestimados. Fazer isso só para os cinco principais mantém pequeno o trabalho extra para uma equipe do porte da Elmfield.

Exemplo resolvido

Sofia constata que a matriz põe os dados mal endereçados em primeiro, enquanto a perda esperada põe o ransomware em primeiro, e recomenda combinar os dois métodos.

Caso sintético. As notas e as estimativas são sintéticas; Cox (2008) é real.

Erros e limites

A perda esperada exige entradas incertas. As matrizes comprimem a gravidade.

Exercícios

• EX067 — Topo da matriz. Que risco lidera a ordenação da matriz?
  Mostrar critérios de avaliação

  Rubrica: 3 = dados de inquilinos mal endereçados, empatados com o notebook em 12;; 2 = empate;; 1 = ransomware;; 0 = nenhuma.
• EX068 — Topo pela perda esperada. Que risco lidera pela perda esperada?
  Mostrar critérios de avaliação

  Rubrica: 3 = ransomware, com 25 mil;; 2 = ransomware;; 1 = notebook;; 0 = nenhuma.
• EX069 — Causa da discordância. Por que os métodos discordam sobre o ransomware?
  Mostrar critérios de avaliação

  Rubrica: 3 = a matriz comprime impactos muito grandes numa nota cinco;; 2 = compressão;; 1 = vago;; 0 = nenhuma.

Síntese

As matrizes ajudam na triagem, mas a perda esperada revela riscos graves que elas subestimam.