Capítulo 1 — Integridade e métodos avançados de pesquisa

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 O que se estuda: serviços, funções e consequênci"]
  N1["1.2 Evidências na pesquisa sobre infraestrutura"]
  N2["1.3 Integridade quando os parceiros são operadores r"]
  N3["1.4 Segurança, duplo uso e ética"]
  N4["1.5 Informação protegida e acordos de dados"]
  N5["1.6 Medição: métricas de resiliência e de consequênc"]
  N6["1.7 Modos de falha comuns nas alegações de pesquisa"]
  N7["1.8 Escrevendo um protocolo de pesquisa defensável"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 O que se estuda: serviços, funções e consequênci"]
  N1["1.2 Evidências na pesquisa sobre infraestrutura"]
  N2["1.3 Integridade quando os parceiros são operadores r"]
  N3["1.4 Segurança, duplo uso e ética"]
  N4["1.5 Informação protegida e acordos de dados"]
  N5["1.6 Medição: métricas de resiliência e de consequênc"]
  N6["1.7 Modos de falha comuns nas alegações de pesquisa"]
  N7["1.8 Escrevendo um protocolo de pesquisa defensável"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]

[1.1 O que se estuda: serviços, funções e consequênci]
    |
    v
[1.2 Evidências na pesquisa sobre infraestrutura]
    |
    v
[1.3 Integridade quando os parceiros são operadores r]
    |
    v
[1.4 Segurança, duplo uso e ética]
    |
    v
[1.5 Informação protegida e acordos de dados]
    |
    v
[1.6 Medição: métricas de resiliência e de consequênc]
    |
    v
[1.7 Modos de falha comuns nas alegações de pesquisa]
    |
    v
[1.8 Escrevendo um protocolo de pesquisa defensável]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo, o estudante será capaz de:

1. Definir infraestrutura crítica, função crítica, dependência, interdependência e resiliência com precisão suficiente para que se possa associar uma medição a cada uma, e explicar por que as definições usadas por diferentes governos não são intercambiáveis.
2. Distinguir observações cibernéticas de alegações de consequência e declarar que evidências são necessárias para passar de umas às outras.
3. Aplicar salvaguardas de integridade da pesquisa — pré-especificação, registros de desvios, separação entre trabalho exploratório e confirmatório, declaração de conflitos de interesse — a estudos cujos parceiros são operadores regulados.
4. Identificar os perigos de segurança, duplo uso, jurídicos e de proteção da informação da pesquisa sobre infraestrutura e projetar salvaguardas proporcionais, usando os princípios do Menlo Report como estrutura de trabalho.
5. Escolher e defender métricas de resiliência e de consequência, reconhecendo que a escolha da métrica pode inverter a classificação dos cenários e que as janelas de observação censuram as quedas não recuperadas.
6. Escrever um protocolo de pesquisa que um revisor hostil, mas justo — e o responsável pela segurança de uma concessionária —, conseguiria auditar, incluindo condições de parada.

O capítulo é o contrato metodológico do restante do livro. O Capítulo 2 lê a literatura com o seu vocabulário de evidências; o Capítulo 3 usa o seu modelo de protocolo; os capítulos 4 e 5 usam as suas métricas e ferramentas de validade; os capítulos 6 a 8 usam os seus padrões de integridade, segurança e proteção da informação para julgar o trabalho concluído.

1.1 O que se estuda: serviços, funções e consequências

1.1.1 Definições que têm peso

"Infraestrutura crítica" é um termo jurídico e de política pública antes de ser um termo técnico, e sua definição decide para o que um estudo pode generalizar. Nos Estados Unidos, a definição legal do USA PATRIOT Act (42 U.S.C. § 5195c(e)) descreve sistemas e ativos "so vital to the United States that the incapacity or destruction of such systems and assets would have a debilitating impact on security, national economic security, national public health or safety" (tão vitais para os Estados Unidos que a incapacidade ou a destruição desses sistemas e ativos teria um impacto debilitante sobre a segurança, a segurança econômica nacional, a saúde pública nacional ou a segurança pública). A política norte-americana organiza esses ativos em setores; o National Security Memorandum on Critical Infrastructure Security and Resilience (NSM-22), emitido em 30 de abril de 2024, revogou e substituiu a Presidential Policy Directive 21 (2013), manteve a estrutura setorial, nomeou a Cybersecurity and Infrastructure Security Agency (CISA) como coordenadora nacional e designou as Sector Risk Management Agencies (visão geral da CISA; resumo do Congressional Research Service). O resumo do CRS observa que um governo posterior pode revogar ou modificar o NSM-22 sem ação do Congresso, então uma tese precisa citar o instrumento em vigor numa data declarada.

A União Europeia usa dois instrumentos coordenados: a Diretiva (UE) 2022/2557 relativa à resiliência das entidades críticas (CER), para a resiliência a todos os perigos das entidades críticas designadas, e a Diretiva (UE) 2022/2555 (NIS2), para a cibersegurança das entidades essenciais e importantes. Um estudo que chama um hospital de "infraestrutura crítica" no sentido norte-americano e de "entidade essencial" no sentido da NIS2 não está usando sinônimos: as populações diferem, as obrigações diferem e os limiares de notificação diferem.

Uma lente complementar é a da função, e não a do ativo. O conjunto de National Critical Functions da CISA, publicado em abril de 2019, lista 55 funções agrupadas como Connect, Distribute, Manage e Supply — por exemplo, "Distribute electricity" (distribuir eletricidade) ou "Supply water" (fornecer água). As funções atravessam setores e organizações. Para a pesquisa, a lente funcional tem uma vantagem decisiva: ela nomeia algo cuja perda pode ser medida (serviço entregue, pessoas afetadas, duração), e não algo cujo comprometimento pode ser observado (um host, uma credencial, um controlador).

Definições de trabalho usadas neste livro:

Tabela da aula; deslize para ver todas as colunas →

Rinaldi, Peerenboom e Kelly classificam as interdependências como físicas (uma saída material de uma é insumo de outra), cibernéticas (dependência de informação transmitida por uma infraestrutura de informação), geográficas (um evento local afeta componentes colocalizados) e lógicas (qualquer outro mecanismo, como mercados ou políticas). Suas seis "dimensões" — ambiente, acoplamento e comportamento de resposta, tipo de falha (em cascata, escalonada, de causa comum), características da infraestrutura, estado de operação e tipo de interdependência — continuam sendo uma checklist útil do que um modelo ignora. Um estudo de doutorado deve declarar quais dessas dimensões modela e quais mantém fixas.

1.1.2 A observação cibernética não é a consequência

O problema epistêmico que define o campo é a distância entre o que se pode observar sobre um evento cibernético e o que aconteceu às pessoas. Considere três exemplos públicos, descritos apenas no nível que seus editores divulgaram:

• O ataque de dezembro de 2015 a três distribuidoras de eletricidade ucranianas interrompeu o fornecimento de energia a cerca de 225.000 clientes por várias horas; o caso de uso de defesa conjunto do E-ISAC e do SANS (março de 2016) descreve o roubo de credenciais, a operação remota dos sistemas de gestão da distribuição, malware destrutivo e uma negação de serviço telefônica contra as centrais de atendimento aos clientes. A consequência (clientes sem energia, por horas) dependeu da capacidade dos operadores de restaurar manualmente — uma reserva que era organizacional, e não técnica.
• O malware descrito pela CISA como CrashOverride (alerta TA17-163A, junho de 2017) visou subestações de eletricidade na Ucrânia em 2016. Uma análise de capacidades de um malware diz o que poderia ser comandado; ela não diz, por si só, o que foi perdido.
• A análise da CISA sobre o HatMan (também conhecido como TRITON ou TRISIS) descreve um malware que visava um sistema instrumentado de segurança. Aqui a consequência mais importante é uma que não ocorreu — e as alegações de pesquisa sobre "quase acidentes" exigem cuidado especial, porque o contrafactual é inobservável.

Cada caso liga uma observação cibernética (malware, acesso, comandos) a uma consequência (queda, desarme, dano evitado) por meio de uma cadeia de mecanismos físicos e organizacionais. Uma alegação de pesquisa que pula a cadeia — "ataques a subestações causam apagões" — não está tão errada quanto sem apoio. Escreva a cadeia explicitamente; cada elo é um lugar onde uma reserva, um procedimento manual, um sistema de proteção ou uma decisão humana pode rompê-la.

1.1.3 A escada de alegações para a pesquisa sobre infraestrutura

O livro de doutorado de RI desta série introduziu uma escada de alegações (observação, inferência, alegação de caso, alegação de pesquisa). A pesquisa sobre infraestrutura precisa de mais um degrau, porque as alegações centrais do campo tratam de consequências em sistemas físicos que o pesquisador em geral não consegue observar diretamente:

Tabela da aula; deslize para ver todas as colunas →

Subir um degrau sempre acrescenta pressupostos. O protocolo da §1.8 exige que toda alegação de uma tese seja marcada com seu degrau e seus pressupostos.

1.2 Evidências na pesquisa sobre infraestrutura

1.2.1 Cinco fontes de evidência e seus vieses característicos

1. Registros de incidentes e relatórios públicos. Raros, divulgados de forma seletiva, escritos para outros fins que não a pesquisa e moldados pela exposição jurídica. O viés de publicação é extremo: eventos com consequências dramáticas ou adversários atribuíveis são relatados; perturbações absorvidas em silêncio, não. A população de incidentes é desconhecida.
2. Dados operacionais dos parceiros. Historiadores do SCADA, registros de gestão de interrupções, ordens de serviço, logs de alarmes. Alta fidelidade, mas pertencem ao operador, muitas vezes são protegidos por lei ou contrato e são produzidos por sistemas ajustados para a operação, e não para a medição. A amostragem é decidida pela disposição do parceiro, que se correlaciona com a maturidade.
3. Testbeds. Plantas laboratoriais físicas ou híbridas, como o testbed Secure Water Treatment (SWaT) descrito por Goh, Adepu, Junejo and Mathur (2016). Permitem ataques controlados e dados rotulados, ao custo da escala, da idade e do realismo: uma planta didática de seis estágios não é o sistema de água de uma cidade.
4. Modelos e simulações. Modelos de redes, de fluxo, de insumo-produto, baseados em agentes, de dinâmica de sistemas e de cossimulação (Capítulo 2). Permitem contrafactuais e escala, mas só provam o que sua estrutura e seus parâmetros permitem; sua validade precisa ser estabelecida, e não presumida (Sargent, 2013).
5. Pessoas. Entrevistas, questionários, exercícios de mesa e observação de operadores, gestores de emergência e reguladores. Revelam reservas que existem apenas como prática — soluções manuais de contorno, ajuda mútua informal — e também revelam o que as pessoas dizem que fariam, que não é o que fazem sob estresse.

Um trabalho de doutorado forte triangula: a previsão de um modelo é conferida com um registro histórico, um experimento em testbed e o julgamento dos operadores, e a tese explica o que cada fonte pode e não pode atestar.

1.2.2 O problema da taxa-base e do denominador

Incidentes de infraestrutura com consequências físicas são raros. Um estudo que coleta "incidentes cibernéticos que afetaram concessionárias" a partir de fontes públicas tem um numerador sem denominador: não consegue dizer com que frequência esses incidentes ocorrem, apenas com que frequência são relatados. As taxas exigem uma população definida (todas as concessionárias de um tipo numa jurisdição), um período definido e um mecanismo de notificação com completude conhecida. Regimes de notificação obrigatória podem acabar ajudando: o Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA), dos EUA, exige que a CISA edite regras; a proposta de regra da CISA de 2024 exigiria a notificação dos incidentes abrangidos em até 72 horas e dos pagamentos de resgate em até 24 horas, e a regra final foi enviada para revisão interagências em 1º de outubro de 2026, depois de perder prazos anteriores (Inside Privacy, 2026). Até que uma regra final seja publicada e entre em vigor, e até que seus dados sejam disponibilizados aos pesquisadores sob algum regime de acesso, nenhuma tese deve tratar obrigações de notificação como dados.

1.2.3 Retrospectiva, contrafactuais e "quase acidentes"

As alegações de consequência neste campo são muitas vezes contrafactuais: "se os operadores não tivessem passado para o controle manual, a queda teria durado dias". Os contrafactuais só são objetos de pesquisa legítimos quando produzidos por um modelo explícito, cujos pressupostos são divulgados e cuja sensibilidade é relatada. A retrospectiva faz o caminho real parecer inevitável e as alternativas parecerem óbvias; o desenho dos exercícios de mesa do Capítulo 5 mostra como apresentar cenários aos participantes sem o conhecimento do desfecho.

1.3 Integridade quando os parceiros são operadores regulados

1.3.1 Pressões específicas do campo

As práticas de pesquisa questionáveis — relato seletivo, análise flexível, formular hipóteses depois de conhecer os resultados — são gerais (Simmons, Nelson and Simonsohn, 2011; Kerr, 1998). A pesquisa sobre infraestrutura acrescenta quatro pressões:

• Exposição regulatória. Um operador parceiro pode temer que uma constatação seja lida como descumprimento. A pressão para suavizar ou adiar resultados é previsível e precisa ser tratada por um acordo de publicação por escrito antes do acesso aos dados (§1.5.3).
• Financiamento por partes interessadas. Fornecedores de produtos de detecção, associações setoriais e agências financiam pesquisas. Financiamento não é corrupção, mas financiamento não declarado é uma falha de integridade, e o enquadramento favorável do produto de um financiador é um risco conhecido.
• Classificação e sensibilidade. Alguns resultados não podem ser publicados por inteiro. A tentação é publicar a parte favorável. A regra deste livro: se um resultado não pode ser publicado, a existência da análise retida e sua direção precisam ser reveladas aos examinadores sob o arranjo de acesso, e o texto público não pode alegar mais do que as evidências públicas apoiam.
• Flexibilidade da simulação. Um modelo tem muitos parâmetros livres. Ajustá-los até que o método proposto vença é o equivalente, na simulação, ao p-hacking. A salvaguarda é fixar as distribuições dos parâmetros, os conjuntos de cenários e as métricas antes de comparar os métodos (Capítulo 3) e relatar todas as famílias de cenários, e não apenas aquelas em que o método vence.

1.3.2 Pré-especificação para estudos de simulação e de métodos mistos

O pré-registro não é só para experimentos com participantes humanos (Nosek et al., 2018). Para um estudo de simulação, pré-especifique: a versão do modelo e seus testes de verificação; as distribuições dos parâmetros e suas fontes; as famílias de cenários e quantos sorteios de cada; as políticas comparadas, incluindo a linha de base mais forte disponível; a métrica primária, a métrica secundária ou de segurança e qualquer margem de não inferioridade; as sementes; e a análise (diferenças pareadas, método dos intervalos). Para entrevistas e exercícios de mesa, pré-especifique a base de amostragem, o protocolo, as categorias iniciais do quadro de codificação e a regra para acrescentar categorias. Um registro de desvios anota cada mudança, com a data, o motivo e se os resultados já tinham sido vistos.

1.3.3 Originalidade e proveniência

A literatura sobre infraestrutura está espalhada pela engenharia, pela pesquisa operacional, pela economia, pelas políticas públicas e pela segurança computacional, e a mesma ideia é muitas vezes redescoberta sob nomes diferentes: "restauração ciente das dependências" na engenharia de potência, "priorização da restauração" na gestão de emergências, "criticidade em nível de serviço" na TI. Uma alegação de originalidade de doutorado precisa, portanto, de uma busca entre disciplinas (Capítulo 2) e de uma declaração honesta do que é novo: o método, a aplicação, as evidências ou a síntese.

1.4 Segurança, duplo uso e ética

1.4.1 Por que a pesquisa sobre infraestrutura precisa de sua própria análise ética

O Menlo Report (Dittrich and Kenneally, 2012) adaptou os princípios de Belmont — respeito às pessoas, beneficência, justiça — à pesquisa em tecnologias da informação e comunicação e acrescentou o respeito à lei e ao interesse público. Aplicá-lo à pesquisa sobre infraestrutura revela partes interessadas ausentes da maioria dos estudos de segurança: a população atendida pela infraestrutura, que nunca consentiu e pode ser prejudicada por um experimento que dê errado; a equipe do operador, que pode ficar exposta a culpa; e terceiros conectados por interdependência.

Tabela da aula; deslize para ver todas as colunas →

1.4.2 Regras rígidas usadas neste livro

1. Nunca teste em produção. Nenhuma varredura, sondagem, fuzzing ou injeção de comandos contra qualquer sistema operacional em funcionamento, inclusive "apenas ler" com protocolos industriais, sem uma autorização por escrito do proprietário do ativo que nomeie o escopo, o horário, os controles de segurança e uma autoridade de parada. O Guide to Operational Technology Security, SP 800-82 Rev. 3 do NIST (setembro de 2023) explica por que a TO difere da TI: a disponibilidade e a segurança predominam, dispositivos podem falhar sob tráfego que os sistemas de TI toleram, e mudanças exigem revisão de engenharia. O NIST divulgou um rascunho público inicial da Revisão 4 em setembro de 2026, com comentários até 30 de novembro de 2026 (página do CSRC); cite a revisão que você usou.
2. Simule ou emule primeiro. Use modelos, cossimulação, gêmeos digitais ou testbeds isolados. Quando um testbed físico for usado, ele precisa de seu próprio caso de segurança (pressão, tensão, dosagem química), revisado por um engenheiro qualificado.
3. Separe a capacidade da consequência na publicação. Uma tese pode publicar como uma classe de falha se propaga e quais reservas a detêm; não deve publicar uma lista de alvos específica de ativos nem um caminho passo a passo até um efeito físico.
4. Tenha uma autoridade de parada. Todo estudo que envolva a equipe ou os sistemas de um parceiro nomeia uma pessoa do lado do parceiro que pode interrompê-lo instantaneamente, e o protocolo diz o que acontece com os dados coletados antes da parada.

1.4.3 Revisão de duplo uso

Uma revisão de duplo uso faz três perguntas antes de qualquer publicação: Vantagem — este resultado torna materialmente mais fácil para um adversário causar dano, em comparação com o que já é público? Valor defensivo — ele ajuda mais os defensores do que os atacantes, e os defensores têm meios de agir com base nele? Mitigação — a parte nociva pode ser generalizada, adiada (até que existam correções) ou passada para acesso controlado sem perda de valor científico? O Capítulo 6 executa uma revisão de duplo uso completa dos resultados do Cascade Study; o Capítulo 8 a situa num cronograma de divulgação coordenada.

1.5 Informação protegida e acordos de dados

1.5.1 Regimes que o pesquisador vai encontrar

Os dados de infraestrutura muitas vezes estão sujeitos a regimes jurídicos de proteção distintos da legislação de dados pessoais. Nos Estados Unidos, os exemplos incluem a Protected Critical Infrastructure Information (PCII), a Chemical-terrorism Vulnerability Information (CVI), a Sensitive Security Information (SSI) no transporte e a Critical Energy/Electric Infrastructure Information (CEII) na Federal Energy Regulatory Commission. Seu escopo e suas regras de tratamento são definidos por lei e regulamento e mudam com o tempo; leia a regra vigente e a interpretação do parceiro antes de aceitar os dados. Na UE, a CER e a NIS2 impõem confidencialidade sobre as informações trocadas com as autoridades. Os dados pessoais em notas de entrevistas, escalas e gravações de chamadas estão sujeitos à legislação comum de privacidade (por exemplo, o GDPR na UE; no Brasil, a LGPD, Lei nº 13.709/2018, fiscalizada pela ANPD).

Este livro não dá aconselhamento jurídico. Ele exige que o protocolo (§1.8) nomeie cada regime que possa se aplicar, a pessoa que decidiu se ele se aplica e a consequência para o tratamento.

1.5.2 O teste de sensibilidade da informação

Mesmo sem um regime formal, aplique um teste de sensibilidade a todo artefato: ele identifica um ativo específico, sua localização, sua vulnerabilidade ou sua dependência de um modo que ajudaria alguém a prejudicá-lo? Mapas de alimentador para instalação, capacidades de combustível dos geradores, caminhos de comunicação de reserva e prioridades de restauração são exatamente o que um adversário que planeja um efeito em cascata quer. Os dados centrais do Cascade Study — qual alimentador atende qual instalação crítica e quanto dura sua reserva — são, portanto, sensíveis mesmo quando todos os números são aproximados. O Capítulo 7 constrói os níveis de liberação que decorrem disso.

1.5.3 Acordos antes do acesso

Negocie antes de coletar qualquer coisa: um acordo de uso de dados (escopo, armazenamento, retenção, destruição, notificação de violações); um acordo de publicação (o parceiro pode revisar quanto a informações protegidas e erros factuais dentro de um prazo fixo, mas não pode vetar constatações de que não goste); uma política de autoria e agradecimentos; e uma cláusula de proteção da equipe (os dados de pesquisa não serão usados para fins disciplinares). Registre os acordos no apêndice do protocolo. Um estudo sem acordo de publicação deu, na prática, um veto ao seu parceiro.

1.6 Medição: métricas de resiliência e de consequência

1.6.1 A curva de desempenho

A maioria das métricas quantitativas de resiliência resume uma curva de desempenho Q(t): a fração do serviço normal entregue ao longo do tempo, antes, durante e depois de uma perturbação. Bruneau et al. (2003) enquadraram a resiliência sísmica das comunidades em termos de probabilidades de falha reduzidas, consequências reduzidas e tempo de recuperação reduzido, e seu amplamente reproduzido "triângulo da resiliência" mede a perda como a área entre o serviço pleno e Q(t) durante o período de recuperação. Haimes (2009) argumentou que a resiliência é função da ameaça específica e do estado do sistema, e não uma propriedade única. A SP 800-160 Vol. 2 Rev. 1 do NIST (dezembro de 2021) enquadra a ciber-resiliência como a capacidade de antecipar, resistir, recuperar-se e adaptar-se a condições adversas, estresses ou ataques a sistemas que usam recursos cibernéticos ou são viabilizados por eles.

Resumos comuns de Q(t):

Tabela da aula; deslize para ver todas as colunas →

Nenhuma métrica é neutra. Cada uma embute um juízo de valor sobre de quem é a perda que conta e sobre como a profundidade se troca pela duração. Um estudo de doutorado precisa justificar sua métrica primária pela decisão que ela informa, relatar pelo menos uma alternativa e mostrar se as conclusões mudam.

1.6.2 Censura

Se um serviço não se recuperou quando a janela de observação se fecha, seu tempo até a recuperação é censurado: o valor verdadeiro é pelo menos o valor observado. Tirar a média de durações censuradas como se fossem completas enviesa os resultados para uma recuperação mais rápida. Relate o número de censurados, use métodos de sobrevivência quando a amostra permitir ou estenda a janela. Nas simulações, a janela é uma escolha de desenho; escolha-a de modo que a censura seja rara sob todas as políticas comparadas, ou relate-a.

1.6.3 Validade de construto dos pesos de consequência

Uma métrica de consequência ponderada precisa de pesos. Pesos obtidos de operadores, gestores de emergência ou frameworks publicados de criticidade são juízos de valor, e não medições. Declare-os com antecedência, cite de onde vieram e execute a análise com conjuntos alternativos de pesos (Capítulo 6). Se a conclusão depende de um único conjunto de pesos, a alegação precisa dizê-lo.

1.7 Modos de falha comuns nas alegações de pesquisa sobre infraestrutura

• Salto do cibernético para a consequência. Tratar o acesso ou a capacidade de um malware como evidência de consequência física.
• Topologia como realidade. Usar um diagrama de rede como se ele capturasse fluxos, reservas, proteções e operadores humanos.
• Generalização a partir do testbed. Relatar a acurácia de detecção num único testbed pequeno como acurácia "para sistemas de água".
• Simulação não validada. Apresentar saídas de modelos sem verificação, sem comparação com nenhum evento histórico e sem análise de sensibilidade.
• Escolha oportunista de métricas. Relatar a métrica de resiliência que favorecer o método proposto.
• Amostragem pelo desfecho dramático. Construir teoria apenas a partir de incidentes famosos.
• Ignorar a reserva humana. Omitir a operação manual, a ajuda mútua e a improvisação, que os relatórios públicos identificam repetidamente como decisivas na restauração.
• Sensibilidade silenciosa. Publicar dados que viabilizam a escolha de alvos porque cada número "parecia inofensivo".

1.8 Escrevendo um protocolo de pesquisa defensável

Um protocolo para um estudo de infraestrutura contém, no mínimo:

1. Pergunta e degrau da alegação. A pergunta de pesquisa, a alegação pretendida, seu degrau (L1–L5) e seu escopo (sistemas, setores, jurisdições, perigos).
2. Definições e métricas. Cada construto, sua operacionalização, as métricas primária e secundárias, a janela e a regra de censura.
3. Fontes de evidência. Quais das cinco fontes (§1.2.1), por que, e o que cada uma não pode atestar.
4. Desenho. Condições de comparação, linhas de base, famílias de cenários, amostragem, atribuição.
5. Pré-especificação. O que é fixado antes dos resultados; o registro de desvios.
6. Segurança e ética. Análise do Menlo, regras rígidas (§1.4.2), revisão de segurança física, autoridade de parada, aprovação para pesquisa com seres humanos quando aplicável.
7. Proteção da informação. Regimes aplicáveis, teste de sensibilidade, armazenamento, níveis de liberação.
8. Acordos. Uso de dados, publicação, autoria, proteção da equipe.
9. Plano de análise. Estimadores, incerteza, análises de sensibilidade, métricas e pesos alternativos.
10. Condições de parada e de abandono. Quando o estudo para (segurança, saída do parceiro, violação de dados) e quando a alegação é abandonada ou estreitada (condições de falha declaradas com antecedência, Capítulo 3).
11. Conflitos de interesse e financiamento.
12. Plano de reprodutibilidade. O que será liberado em qual nível (Capítulo 7).

1.9 Exemplo resolvido: a primeira revisão do protocolo do Cascade Study

O doutorando (sintético) propõe estudar a ordenação da restauração na Riverbend Region. O primeiro rascunho diz: "Obteremos os registros de interrupções e os logs do SCADA da REC dos últimos cinco anos, identificaremos as quedas relacionadas a eventos cibernéticos e mostraremos que restaurar primeiro os clientes críticos teria reduzido os danos." Uma revisão do protocolo constata:

Tabela da aula; deslize para ver todas as colunas →

A pergunta revisada passa a ser: Em quedas da distribuição que exigem a restauração manual e sequencial dos alimentadores, ordenar a restauração pelo tempo até o impacto dos serviços críticos reduz a perda ponderada de serviços críticos em comparação com a ordenação pelos clientes restaurados, e em quanto aumenta os clientes-hora perdidos? Ela pode ser respondida, medida, estudada com segurança e é honesta sobre sua troca.

1.10 Atividade prática: as métricas de resiliência podem inverter classificações

O laboratório offline a seguir calcula três resumos de três curvas de desempenho sintéticas e indica se cada uma está censurada. Execute-o com Python 3; nenhum pacote é necessário.

# Lab 1 - resilience metrics on three synthetic performance curves (offline, standard library only)
# Q(t) = delivered fraction of normal service (1.0 = full), sampled hourly over a 48-hour window.
def curve(drop_at, depth, hold, recover_hours, window=48):
    q = []
    for t in range(window + 1):
        if t < drop_at:
            q.append(1.0)
        elif t < drop_at + hold:
            q.append(1.0 - depth)
        elif t < drop_at + hold + recover_hours:
            frac = (t - drop_at - hold) / recover_hours
            q.append(round(1.0 - depth * (1 - frac), 4))
        else:
            q.append(1.0)
    return q

def metrics(q):
    loss = sum((1.0 - a) + (1.0 - b) for a, b in zip(q, q[1:])) / 2  # trapezoid, hour units
    worst = 1.0 - min(q)
    down = [t for t, v in enumerate(q) if v < 1.0]
    if not down:
        return round(loss, 2), worst, 0, False
    recovered = q[-1] >= 1.0
    ttr = (max(down) + 1 - min(down)) if recovered else None
    return round(loss, 2), round(worst, 2), ttr, not recovered

scenarios = {
    "A_deep_short": curve(drop_at=2, depth=0.90, hold=3, recover_hours=4),
    "B_shallow_long": curve(drop_at=2, depth=0.25, hold=20, recover_hours=10),
    "C_unrecovered": curve(drop_at=30, depth=0.40, hold=30, recover_hours=6),
}
print("scenario        loss_h  worst  ttr_h  censored")
for name, q in scenarios.items():
    loss, worst, ttr, cens = metrics(q)
    print(f"{name:15} {loss:6.2f}  {worst:5.2f}  {str(ttr):5}  {cens}")

Saída esperada:

scenario        loss_h  worst  ttr_h  censored
A_deep_short      4.95   0.90  7      False
B_shallow_long    6.38   0.25  30     False
C_unrecovered     7.40   0.40  None   True

Leia a saída com atenção. Pelo pior desempenho, A é muito pior do que B; pela perda de área e pelo tempo até a recuperação, B é pior do que A. O cenário C tem a maior perda de área na janela, mas sua perda é truncada na hora 48: a perda verdadeira é maior, e seu tempo até a recuperação é desconhecido. O laboratório demonstra três pontos da §1.6: as classificações dependem da métrica; a censura esconde os piores casos; e uma única "pontuação de resiliência" esconde um juízo de valor. Se A for uma perda de pressão da água que dispara um aviso de fervura e B for um período de pressão reduzida sem efeito sobre a saúde, nem a área nem a duração capturam a diferença decisiva — um limiar sobre a profundidade, sim.

1.11 Erros comuns e limites

• Tratar o rótulo de um setor como a definição de uma população.
• Alegar consequências a partir de observações cibernéticas sem a cadeia física e organizacional.
• Usar uma contagem de ativos ou uma centralidade de rede como medida de consequência.
• Relatar uma única métrica de resiliência sem justificá-la nem testar uma alternativa.
• Tirar a média de tempos de recuperação censurados.
• Solicitar dados operacionais de que a pergunta não precisa.
• Começar a coleta de dados antes que exista um acordo de publicação.
• Tratar "sintético" como motivo para pular o teste de sensibilidade: dados sintéticos calibrados para um lugar real ainda podem identificá-lo.

O limite deste capítulo é que as salvaguardas de integridade reduzem, mas não eliminam, o risco de resultados enganosos. Seu propósito é tornar os erros detectáveis por outras pessoas.

Exercícios — capítulo 1

EX001 — Auditoria pela escada de alegações. Objetivo: separar observações de alegações de consequência. Entradas: a afirmação sintética "Os logs mostram que o atacante acessou o sistema de gestão da distribuição da REC às 01:52; a queda resultante deixou o hospital sem energia e pacientes foram postos em perigo; isso mostra que as cooperativas rurais são o ponto mais fraco da rede elétrica." Restrições: use os cinco degraus da §1.1.3. Passos: (1) divida a afirmação em suas asserções componentes; (2) atribua um degrau a cada uma; (3) nomeie o pressuposto oculto por trás de cada uma; (4) nomeie uma observação que derrotaria cada uma; (5) reescreva a afirmação para que ela alegue apenas o que as evidências poderiam apoiar. Evidência esperada: tabela e reescrita. Rubrica: 3 = toda asserção corretamente posicionada na escada, a reserva do gerador do hospital e a generalização sinalizadas, reescrita devidamente delimitada; 2 = uma asserção posicionada errado; 1 = a reescrita ainda alega demais; 0 = nada.

EX002 — Definição e população. Objetivo: ver como as definições jurídicas mudam a população de um estudo. Entradas: o NSM-22 (pela página da CISA), a Diretiva CER e a NIS2, tal como citados na §1.1.1. Restrições: não parafraseie de memória; cite o texto definidor em que você se apoia, com o artigo ou a seção. Passos: (1) para um hospital regional, uma pequena concessionária de água potável e um processador de pagamentos, declare se cada um está no escopo de cada instrumento e em qual categoria; (2) nomeie uma consequência das diferenças para um estudo comparativo entre jurisdições. Evidência esperada: tabela 3 × 3 com citações e um parágrafo. Rubrica: 3 = preciso, com citações exatas e uma consequência de desenho sólida; 2 = um erro de categoria; 1 = sem citações; 0 = nada.

EX003 — Tipificação das interdependências. Objetivo: aplicar os tipos de Rinaldi et al. Entradas: as dependências de Riverbend: TEL de F2; HOSP de F2 e de WATER; WATER de F3; o SCADA da água de TEL; o faturamento da cooperativa de eletricidade do processador de pagamentos; as entregas de combustível para os geradores do acesso rodoviário. Restrições: um tipo primário por relação, justificado. Passos: classifique cada uma como física, cibernética, geográfica ou lógica; identifique qualquer ciclo; declare qual dependência um modelo puro de fluxo de potência omitiria. Evidência esperada: tabela e um parágrafo. Rubrica: 3 = tipos justificados, ausência de ciclo entre os serviços listados observada, combustível/estrada e faturamento identificados como fora de um modelo de fluxo de potência; 2 = uma classificação errada; 1 = sem justificativa; 0 = nada.

EX004 — Análise pelo Menlo. Objetivo: identificar as partes interessadas e as salvaguardas. Entradas: a pergunta revisada do Cascade Study na §1.9, que inclui entrevistas com despachantes da REC e um exercício de mesa. Restrições: use os quatro princípios; pelo menos seis partes interessadas. Passos: liste as partes interessadas; para cada princípio, nomeie o principal risco e uma salvaguarda; nomeie a autoridade de parada e os dados que são destruídos se o parceiro se retirar. Evidência esperada: tabela de partes interessadas e tabela de salvaguardas. Rubrica: 3 = população atendida, risco disciplinar para a equipe, sensibilidade da informação e pressão do parceiro tratados com salvaguardas concretas; 2 = um princípio fraco; 1 = genérico; 0 = nada.

EX005 — Teste de sensibilidade. Objetivo: decidir o que pode ser publicado. Entradas: cinco artefatos: (a) durações de restauração agregadas por classe de alimentador; (b) uma lista de hospitais com os dias de combustível dos geradores; (c) o código do modelo; (d) o quadro de codificação das entrevistas; (e) um mapa de qual alimentador atende a estação regional de tratamento de água. Restrições: aplique a §1.5.2; proponha um nível: público, controlado, retido. Passos: (1) decida se cada artefato identifica um ativo, uma localização, uma vulnerabilidade ou uma dependência específicos; (2) atribua um nível; (3) justifique o nível; (4) proponha uma transformação que permitiria uma liberação mais ampla. Evidência esperada: tabela. Rubrica: 3 = (b) e (e) retidos ou transformados, (a) e (c) públicos, (d) público se não houver citações, com transformações; 2 = um mal julgado; 1 = todos públicos ou todos retidos; 0 = nada.

EX006 — Inversão de métricas. Objetivo: usar o Laboratório 1. Entradas: o código do laboratório. Restrições: offline. Passos: (1) execute o laboratório e registre a saída; (2) acrescente uma quarta métrica, "horas abaixo de 0,5", e relate-a para todos os cenários; (3) mude a janela para 72 horas e relate o que acontece com C; (4) escreva 150 palavras sobre qual métrica você escolheria como primária para um serviço de água potável e por quê. Evidência esperada: mudança no código, saídas, parágrafo. Rubrica: 3 = valores corretos, C deixa de ser censurado, com perda maior, escolha da métrica justificada por um limiar de saúde; 2 = um valor errado; 1 = sem justificativa; 0 = não executado.

EX007 — Esqueleto de protocolo. Objetivo: escrever um protocolo auditável. Entradas: a pergunta revisada da §1.9. Restrições: todos os doze elementos da §1.8; no máximo três páginas. Passos: (1) redija, em ordem, cada um dos doze elementos do protocolo da §1.8; (2) marque cada elemento como fixado ou em aberto; (3) escreva duas condições de parada e duas condições de abandono; (4) liste o que um revisor hostil atacaria primeiro. Evidência esperada: rascunho do protocolo. Rubrica: 3 = todos os elementos concretos, condições de parada e de abandono distintas, proteção da informação específica; 2 = um ou dois elementos vagos; 1 = faltam segurança ou acordos; 0 = nada.

Síntese do capítulo

A pesquisa sobre infraestrutura estuda as consequências para as pessoas por meio de cadeias de mecanismos físicos, cibernéticos e organizacionais que o pesquisador raramente observa diretamente. Suas evidências vêm de incidentes raros e relatados seletivamente, de dados operacionais protegidos, de testbeds pequenos, de modelos e de pessoas; cada fonte tem vieses característicos e precisa ser triangulada. As salvaguardas de integridade — pré-especificação, registros de desvios, declarações — são necessárias porque os parceiros são regulados, os financiadores têm interesses e as simulações são flexíveis. Os riscos de segurança e de duplo uso são reais: nunca teste em produção, simule primeiro, separe a capacidade da consequência na publicação e nomeie uma autoridade de parada. As informações sobre dependências e reservas são sensíveis mesmo quando aproximadas. As métricas de resiliência embutem juízos de valor; escolha-as para a decisão em questão e mostre se as conclusões sobrevivem às alternativas. O protocolo é o contrato que torna tudo isso auditável.