Capítulo 2 — Infraestrutura crítica e segurança setorial: fronteira da pesquisa

Capítulo 2 — Infraestrutura crítica e segurança setorial: fronteira da pesquisa

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Por que a literatura é difícil de encontrar"]
  N1["2.2 Mapeamento sistemático entre disciplinas"]
  N2["2.3 O panorama de políticas e normas como objeto de"]
  N3["2.4 Famílias de modelagem de interdependências"]
  N4["2.5 Pesquisa de detecção e de testbeds: a avaliação"]
  N5["2.6 Evidências setoriais e sobre ameaças"]
  N6["2.7 Classificando a lacuna"]
  N7["2.9 Atividade prática: codifique o mapa da literatur"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Por que a literatura é difícil de encontrar"]
  N1["2.2 Mapeamento sistemático entre disciplinas"]
  N2["2.3 O panorama de políticas e normas como objeto de"]
  N3["2.4 Famílias de modelagem de interdependências"]
  N4["2.5 Pesquisa de detecção e de testbeds: a avaliação"]
  N5["2.6 Evidências setoriais e sobre ameaças"]
  N6["2.7 Classificando a lacuna"]
  N7["2.9 Atividade prática: codifique o mapa da literatur"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX008"]

[2.1 Por que a literatura é difícil de encontrar]
    |
    v
[2.2 Mapeamento sistemático entre disciplinas]
    |
    v
[2.3 O panorama de políticas e normas como objeto de]
    |
    v
[2.4 Famílias de modelagem de interdependências]
    |
    v
[2.5 Pesquisa de detecção e de testbeds: a avaliação]
    |
    v
[2.6 Evidências setoriais e sobre ameaças]
    |
    v
[2.7 Classificando a lacuna]
    |
    v
[2.9 Atividade prática: codifique o mapa da literatur]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo, o estudante será capaz de:

1. Pesquisar a literatura dispersa sobre segurança e resiliência da infraestrutura na engenharia, na pesquisa operacional, na economia, nas políticas públicas e na segurança computacional, com um protocolo documentado e repetível.
2. Explicar as principais famílias de modelos de interdependência, o que cada uma pressupõe e que tipo de alegação cada uma pode apoiar.
3. Ler normas e regulamentações — NIST CSF 2.0, NIST SP 800-82, IEC 62443, NERC CIP, NIS2, CER e orientações setoriais — como objetos de pesquisa cuja eficácia é, ela própria, uma questão em aberto.
4. Avaliar criticamente a pesquisa de detecção e de testbeds quanto às armadilhas de avaliação documentadas na literatura de segurança e de séries temporais.
5. Classificar uma lacuna de evidências (ausente, fraca, conflitante, não transferida) e converter um tema numa declaração de contribuição falseável.

O Capítulo 1 forneceu a escada de alegações e as fontes de evidência; este capítulo as usa para ler o campo. O Capítulo 3 transformará a lacuna escolhida aqui numa proposta de contribuição.

2.1 Por que a literatura é difícil de encontrar

Um doutorando em segurança da infraestrutura herda pelo menos cinco literaturas que raramente se citam:

Veículos dedicados, como o International Journal of Critical Infrastructure Protection e a série de conferências CRITIS, fazem a ponte entre algumas dessas comunidades, mas uma busca restrita aos veículos de segurança deixará de fora a maior parte do trabalho sobre restauração e interdependência, e uma busca restrita à engenharia deixará de fora o trabalho orientado por ameaças. O framework de Rinaldi, Peerenboom e Kelly (2001) é o ancestral comum mais frequente e uma boa semente para o encadeamento de citações nas duas direções.

2.2 Mapeamento sistemático entre disciplinas

2.2.1 Escolhendo o tipo de revisão

Uma revisão sistemática responde a uma pergunta focada com uma busca exaustiva e uma avaliação crítica formal; uma revisão de escopo mapeia a extensão e a natureza de um corpo de trabalhos; uma revisão narrativa é uma síntese especializada sem busca reprodutível. Para um capítulo de fronteira de doutorado, uma revisão de escopo com protocolo documentado costuma ser o certo: ela é reprodutível, mostra a forma do campo e identifica onde uma revisão sistemática seria prematura. Relate-a usando os itens pertinentes do PRISMA 2020 — fontes da busca, datas, cadeias de busca, triagem, motivos de exclusão e um diagrama de fluxo —, mesmo onde a checklist completa não se aplica.

2.2.2 Um protocolo de busca para o Cascade Study

1. Pergunta. O que se sabe sobre o efeito da ordenação da restauração, informada pelas dependências intersetoriais, sobre as consequências das quedas de infraestrutura, incluindo as quedas induzidas por ciberataques?
2. Blocos de conceitos. (restoration OR recovery OR "service restoration" OR prioritization) AND (interdependen* OR dependen* OR cascad*) AND (infrastructure OR utility OR "distribution system" OR "lifeline").
3. Fontes. Pelo menos um índice de engenharia, um índice acadêmico geral e uma fonte de políticas (relatórios governamentais, relatórios pós-ação), mais o encadeamento de citações para trás e para frente a partir de dois artigos-semente.
4. Elegibilidade. Estudos que comparam pelo menos duas ordenações de restauração ou que quantificam a consequência impulsionada por dependências; excluir as classificações de vulnerabilidade puramente topológicas que não modelam o serviço.
5. Triagem. Dois triadores numa amostra de títulos e resumos, com a concordância medida antes da divisão do trabalho; divergências resolvidas por discussão e registradas.
6. Quadro de codificação. Família de modelo; tipo de validação (nenhuma, de face, histórica, de campo); fonte dos dados; se os autores também construíram o testbed ou o modelo que avaliam; métrica de desfecho; tipo de perigo (natural, acidental, cibernético); linha de base de comparação.
7. Regra de parada. Parar o encadeamento quando duas rodadas consecutivas não acrescentarem nenhum estudo elegível.

2.2.3 Avaliação crítica de modelos e simulações

As ferramentas de avaliação clínica se encaixam mal. Para artigos baseados em modelos, avalie: a estrutura do modelo é justificada pelo mecanismo que ele representa? Os parâmetros têm fonte? A implementação foi verificada (o código faz o que o artigo diz)? O modelo foi validado, e contra o quê — validade de face, eventos históricos, dados de campo (Sargent, 2013)? Há uma análise de sensibilidade? A linha de base de comparação é forte? O código e as entradas estão disponíveis? Um artigo de modelagem que não consegue responder às perguntas de verificação e validação apoia, no máximo, uma alegação sobre o modelo, e não sobre a infraestrutura.

2.3 O panorama de políticas e normas como objeto de pesquisa

Normas e regulamentações não são apenas pano de fundo; se elas funcionam é uma das maiores questões em aberto do campo. O panorama atual (verifique as versões antes de citar):

• O NIST Cybersecurity Framework 2.0 (CSWP 29, fevereiro de 2024) acrescentou uma função Govern às funções Identify, Protect, Detect, Respond e Recover. Ele é orientado a resultados e voluntário na maioria dos setores; pergunta de pesquisa: as organizações que o adotam sofrem perturbações menos frequentes ou de menor consequência, e como se saberia disso?
• A NIST SP 800-82 Rev. 3 (setembro de 2023) ampliou o escopo dos sistemas de controle industrial para a tecnologia operacional e acrescentou um overlay de TO para os controles da SP 800-53 Rev. 5. Um rascunho público inicial da Rev. 4 foi divulgado em setembro de 2026 (CSRC).
• A ISA/IEC 62443 é uma série de normas para a segurança de sistemas de automação e controle industrial. A parte 3-2 define o sistema em consideração, particiona-o em zonas e condutos, avalia o risco e atribui um nível de segurança-alvo (SL-T); a parte 3-3 declara os requisitos do sistema sob sete requisitos fundamentais — controle de identificação e autenticação, controle de uso, integridade do sistema, confidencialidade dos dados, fluxo de dados restrito, resposta oportuna a eventos e disponibilidade de recursos (página de catálogo da IEC 62443-3-2). Pergunta de pesquisa: um SL-T atribuído prediz a resistência a adversários realistas, e como os níveis de segurança alcançados podem ser medidos, em vez de afirmados?
• As normas de confiabilidade NERC CIP são obrigatórias para o sistema elétrico de grande porte da América do Norte. Em junho de 2025, a FERC aprovou a CIP-015-1 sobre monitoramento da segurança da rede interna (Order No. 907), com implementação escalonada ao longo de anos (página da norma na NERC). Uma norma obrigatória com implantação escalonada é um experimento natural — se os pesquisadores conseguirem obter dados de desfecho, o que raramente acontece.
• A NIS2 e a CER da UE (ambas de 2022) impõem obrigações de gestão de riscos e de notificação às entidades essenciais e importantes e obrigações de resiliência às entidades críticas; a transposição nacional varia, o que cria uma variação entre países de interesse para a pesquisa.
• Finanças. O Guidance on cyber resilience for financial market infrastructures do CPMI–IOSCO (junho de 2016) complementa os Principles for Financial Market Infrastructures; é a fonte da expectativa amplamente discutida de que as operações críticas sejam projetadas para retomar rapidamente depois de uma perturbação, o que cria uma tensão entre a velocidade da retomada e a integridade dos dados — um problema de pesquisa sem resposta assentada.
• A Consequence-driven Cyber-informed Engineering (CCE), desenvolvida no Idaho National Laboratory, avança por quatro fases — priorização das consequências, análise do sistema de sistemas, escolha de alvos baseada nas consequências, e mitigações e proteções (página do CCE no INL; Bochman and Freeman, 2021). Ela parte das consequências, e não das vulnerabilidades, o que se alinha à ênfase deste livro; se ela produz melhores escolhas de mitigação do que os métodos orientados por vulnerabilidades não foi, até onde o autor sabe, testado com desenhos comparativos.

A lacuna de pesquisa comum a todo o panorama são as evidências de desfecho: os frameworks são justificados pelo consenso de especialistas e pelas lições de incidentes, mas estudos comparativos que liguem sua adoção às consequências são raros, porque os dados de desfecho são raros, protegidos e confundidos pela maturidade organizacional.

2.4 Famílias de modelagem de interdependências

Ouyang (2014) revisou a modelagem e a simulação de sistemas de infraestrutura interdependentes e agrupou as abordagens em empíricas, baseadas em agentes, baseadas em dinâmica de sistemas, baseadas em teoria econômica, baseadas em redes e outras. Cada família apoia um tipo diferente de alegação.

Cascatas topológicas. Buldyrev et al. (2010) mostraram, num modelo de percolação de duas redes interdependentes, que o acoplamento pode produzir um colapso abrupto e catastrófico e que, diferentemente do que ocorre em redes isoladas, distribuições de grau mais amplas podem aumentar a vulnerabilidade a falhas aleatórias. O resultado é um marco do entendimento estrutural. Também é uma fonte frequente de alegações excessivas: o modelo pressupõe dependência de tudo ou nada, nenhuma reserva, nenhuma restauração e padrões de acoplamento específicos. Citá-lo como evidência de que a energia e as comunicações de uma cidade específica vão colapsar abruptamente é um erro de categoria — um entendimento estrutural L5 apresentado como alegação de consequência L4.

Inoperabilidade de insumo-produto. O modelo de insumo-produto de inoperabilidade (IIM) escreve o vetor de inoperabilidade de equilíbrio q como q = A*q + c*, de modo que q = (I − A*)⁻¹ c*, em que A* contém os coeficientes de interdependência e c*, uma perturbação inicial. O Capítulo 4 replica um cálculo do IIM e mostra como um erro de convenção da matriz muda silenciosamente os resultados.

Onde ficam as reservas. Um tema comum às famílias é que a temporização das consequências é governada pelas reservas — combustível dos geradores, autonomia das baterias, armazenamento, estoques, procedimentos manuais —, que a topologia ignora e que os modelos de fluxo muitas vezes mantêm constantes. A pesquisa de restauração na engenharia de potência modela o sequenciamento, mas frequentemente dentro de um único setor e com o objetivo de clientes ou carga restaurados. O Cascade Study fica nessa junção: a temporização intersetorial das reservas como motor da ordenação da restauração.

2.5 Pesquisa de detecção e de testbeds: a avaliação como fronteira

Boa parte da literatura do lado da segurança estuda a detecção de ataques em processos industriais. Seus problemas estão cada vez mais bem documentados:

• Avaliação em mundo fechado. Sommer and Paxson (2010) argumentaram que a detecção de intrusões por aprendizado de máquina se ajusta mal ao mundo aberto e mutável das redes reais, e que as avaliações muitas vezes não capturam o custo dos erros nem a distância semântica entre uma anomalia e um ataque.
• Armadilhas na pesquisa de segurança com AM. Arp et al. (2022) identificaram dez armadilhas — entre elas o viés de amostragem, a contaminação de dados (data snooping), correlações espúrias, linhas de base e métricas inadequadas, a falácia da taxa-base, a avaliação apenas em laboratório e modelos de ameaça inadequados — e encontraram várias delas em cada um dos 30 artigos de veículos de ponta que revisaram.
• Métricas infladas de séries temporais. Kim et al. (2022) mostraram que o protocolo de ajuste de pontos, comum na detecção de anomalias em séries temporais, que marca todo um segmento anômalo como detectado se qualquer ponto dele for sinalizado, pode fazer até pontuações aleatórias parecerem o estado da arte; eles propuseram o PA%K. O Capítulo 4 reproduz o efeito.
• Testbeds pequenos, antigos e construídos pelos autores. Conjuntos de dados públicos de testbeds como o SWaT (Goh et al., 2016) e a competição de distribuição de água BATADAL (Taormina et al., 2018) viabilizaram comparações, o que é uma contribuição importante. Eles também concentram o campo em poucos sistemas com conjuntos de ataques específicos; os resultados só se transferem para outras plantas por argumentação.

Para uma tese de IC, a detecção importa sobretudo como reserva contra a consequência: uma detecção que chega depois de esgotada a reserva de um serviço não muda nada para as pessoas atendidas. Enquadrar a detecção pelo tempo até a consequência, e não pelo F1, é uma ponte pouco explorada entre as duas literaturas.

2.6 Evidências setoriais e sobre ameaças

• Energia. O ataque de 2015 à distribuição ucraniana, documentado pelo E-ISAC e pelo SANS, é o caso público mais citado de um ciberataque que causou quedas para clientes; é também um único caso, com a restauração alcançada por meio da operação manual.
• Água. Os sistemas de água são numerosos, muitas vezes pequenos e com poucos recursos, o que torna difícil coletar evidências de todo o setor; boa parte do trabalho quantitativo usa redes de distribuição simuladas, como a da BATADAL.
• Saúde. Neprash et al. (2022) documentaram um número crescente de ataques de ransomware a organizações prestadoras de cuidados de saúde dos EUA de 2016 a 2021 e seus efeitos sobre as operações; trabalhos desse tipo ligam um evento cibernético à prestação de cuidados — o degrau da consequência — usando dados públicos e regulatórios.
• Mudança no modelo de ameaças. O alerta conjunto AA24-038A da CISA (fevereiro de 2024) avaliou que um ator patrocinado por um Estado conhecido como Volt Typhoon se pré-posicionou nas redes de TI de organizações de comunicações, energia, transporte e água para viabilizar uma possível perturbação, usando contas válidas e técnicas living-off-the-land. Para a pesquisa, o pré-posicionamento significa que o cenário pertinente é uma perturbação simultânea, multissetorial e no momento escolhido pelo adversário — exatamente onde as regras de restauração de um único setor podem falhar.
• Precedente ciberfísico. A análise de Langner de 2013 sobre o Stuxnet é um relato clássico de um ataque ciberfísico projetado em torno do conhecimento do processo. Sua lição para a pesquisa de IC é que os ataques com consequência são projetados contra os processos físicos e suas margens de segurança, e é por isso que existem métodos que partem das consequências, como o CCE.

2.7 Classificando a lacuna

O livro de doutorado de RI distingue quatro tipos de lacuna de evidências; eles se aplicam aqui sem mudanças:

2.8 Exemplo resolvido: avaliação crítica da literatura sobre ordenação da restauração (sintético)

A revisão de escopo do Cascade Study (sintética) encontrou oito artigos elegíveis, P1–P8:

Avaliação crítica: C1 só tem evidências topológicas autovalidadas — é fraca. C2 tem duas validações históricas independentes — a alegação mais forte do conjunto, embora trate de perda econômica, e não de serviço. C3 tem três estudos, mas apenas um independente e fortemente validado; P4 e P5 foram avaliados nos próprios modelos dos autores, o que convida à circularidade modelo–política (Capítulo 6). C4 se apoia num único estudo empírico. A fronteira é, portanto, C3: plausível, repetidamente proposta, fracamente testada.

2.9 Atividade prática: codifique o mapa da literatura

# Lab 2 - coding a synthetic literature map for interdependency-modelling claims (offline)
# Fields: id, model family, validation, independent of authors' own testbed?, claim supported
studies = [
    ("P1", "network-topology", "none",       False, "C1"),
    ("P2", "network-topology", "face",       False, "C1"),
    ("P3", "input-output",     "historical", True,  "C2"),
    ("P4", "agent-based",      "face",       False, "C3"),
    ("P5", "co-simulation",    "historical", False, "C3"),
    ("P6", "input-output",     "historical", True,  "C2"),
    ("P7", "co-simulation",    "field",      True,  "C3"),
    ("P8", "empirical",        "field",      True,  "C4"),
]
claims = {
    "C1": "Topological centrality identifies the assets whose loss causes the largest service cascade",
    "C2": "Input-output inoperability ranks sectors by economic loss after a regional outage",
    "C3": "Dependency-aware restoration lowers critical-service loss compared with siloed restoration",
    "C4": "Backup-power duration is the dominant buffer controlling cascade timing",
}
STRONG = {"historical", "field"}
for cid, text in claims.items():
    rows = [s for s in studies if s[4] == cid]
    strong_indep = [s[0] for s in rows if s[2] in STRONG and s[3]]
    if len(strong_indep) >= 2:
        state = "supported (>=2 independent strong validations)"
    elif strong_indep:
        state = "single-source; needs replication"
    else:
        state = "open: no independent strong validation"
    print(f"{cid}: {state}; evidence={[s[0] for s in rows]}; strong+independent={strong_indep}")

Saída esperada:

C1: open: no independent strong validation; evidence=['P1', 'P2']; strong+independent=[]
C2: supported (>=2 independent strong validations); evidence=['P3', 'P6']; strong+independent=['P3', 'P6']
C3: single-source; needs replication; evidence=['P4', 'P5', 'P7']; strong+independent=['P7']
C4: single-source; needs replication; evidence=['P8']; strong+independent=['P8']

Registre a saída exata no seu diário de reprodução, e não uma paráfrase.

A regra codificada em STRONG e no indicador de independência é uma escolha. Mudá-la muda quais alegações estão "apoiadas". Um mapa da literatura precisa publicar sua regra de codificação para que os leitores possam discordar dela explicitamente.

Duas verificações valem a pena antes de confiar no mapa. Primeiro, execute-o sem o indicador de independência: C3 passa então a contar P5 como validação forte e é relatada como apoiada, o que mostra quanto do veredito repousa sobre essa única decisão de codificação. Segundo, peça a um segundo codificador que classifique a validação e a independência dos oito artigos sem ver a planilha do primeiro, e registre onde eles divergem. A divergência sobre se um exercício de concessionária conta como validação de campo, como em P7, é uma constatação sobre o quadro de codificação, e o quadro deve ser estreitado antes que o mapa seja usado para escolher uma lacuna.

2.10 Do mapa à fronteira: o teste da contribuição

Uma lacuna se torna uma contribuição de doutorado quando passa em quatro testes: Aberta — a busca documentada mostra que ela ainda não foi respondida; Importante — uma resposta mudaria uma decisão que alguém de fato toma (aqui, a ordenação da restauração nas operações de emergência); Viável — dados, modelos, parceiros e ética a permitem dentro do programa; Falseável — uma observação declarada mostraria que a alegação está errada. Formato de redação: "Em [população/contexto], [intervenção], em comparação com [a linha de base mais forte], mudará [a métrica primária] em pelo menos [o menor efeito de interesse] sem piorar [a métrica de segurança] além de [a margem]; isto será refutado se [observação]."

A declaração do Cascade Study (a ser refinada no Capítulo 3): Em quedas da distribuição que exigem a restauração manual e sequencial dos alimentadores, ordenar pelo tempo até o impacto dos serviços críticos, em comparação com ordenar pelos clientes restaurados, reduz a perda ponderada de serviços críticos declarada com antecedência em pelo menos 20%, aumentando os clientes-hora perdidos em não mais de 15%; isto é refutado se a redução ficar abaixo de 20% num modelo de uma segunda região construído de forma independente, ou se operadores num exercício de mesa cego não escolherem essa ordenação quando receberem as mesmas informações.

2.11 Erros comuns e limites

• Buscar apenas em veículos de segurança e declarar uma lacuna que a engenharia já preencheu.
• Citar resultados de percolação como previsões de consequência para lugares específicos.
• Tratar as normas como evidências de eficácia, e não como hipóteses sobre ela.
• Comparar artigos de detecção pelo F1 de destaque sem conferir o protocolo de avaliação.
• Contar estudos em vez de avaliar sua independência e sua validação.

• Escrever uma lacuna como um tema ("interdependências em cidades inteligentes"), e não como uma declaração falseável.

• Tratar um veículo dedicado, como a série CRITIS, como se cobrisse o campo inteiro, quando a maior parte do trabalho sobre restauração aparece em veículos de engenharia e de pesquisa operacional.

• Ler a adoção ampla de um framework como evidência de desfecho; a adoção mostra que as pessoas o escolheram, e não que as consequências diminuíram.
• Codificar um artigo como independente porque seus autores são outros que não os proponentes, sem conferir se ele reutiliza o modelo ou o testbed dos proponentes.
• Encerrar cedo o encadeamento de citações porque as primeiras rodadas confirmaram a lacuna esperada.

Exercícios — capítulo 2

EX008 — Protocolo de busca. Objetivo: escrever uma busca reprodutível entre disciplinas. Entradas: uma pergunta de sua escolha sobre segurança ou resiliência da infraestrutura. Restrições: pelo menos três tipos de fonte (índice de engenharia, índice geral, fonte de políticas); encadeamento de citações. Passos: (1) declare a pergunta; (2) construa os blocos de conceitos e as cadeias de busca; (3) defina a elegibilidade e os motivos de exclusão; (4) defina a triagem, a concordância e a regra de parada. Evidência esperada: protocolo (≤ 2 páginas). Rubrica: 3 = repetível, entre disciplinas, concordância medida, regra de parada explícita; 2 = um elemento vago; 1 = apenas uma lista de palavras-chave; 0 = nada.

EX009 — Avaliação crítica de um artigo de modelagem. Objetivo: avaliar um artigo de simulação quanto à alegação que ele pode apoiar. Entradas: o estudo sintético P5 (cossimulação, validação histórica, modelo dos próprios autores). Restrições: use a §2.2.3. Passos: liste o que você conferiria quanto à estrutura, aos parâmetros, à verificação, à validação, à sensibilidade, à linha de base e à disponibilidade; declare a alegação mais forte que P5 pode apoiar e seu degrau. Evidência esperada: formulário de avaliação e uma alegação em uma frase. Rubrica: 3 = identifica como decisivos o modelo construído pelos autores, a verificação desconhecida, o evento histórico único e a força da linha de base, alegação limitada ao modelo; 2 = uma questão não percebida; 1 = aceita a alegação como L5; 0 = nada.

EX010 — Adequação da família de modelos. Objetivo: casar perguntas com famílias de modelagem. Entradas: quatro perguntas: (a) Quais setores perdem mais produção depois de uma semana de perda de energia regional? (b) Quanto tempo até um hospital perder a pressão da água depois da queda de um alimentador? (c) Os operadores compartilham combustível informalmente entre concessionárias durante quedas longas? (d) Um sistema de duas redes com acoplamento aleatório é propenso a um colapso abrupto? Restrições: uma família primária por pergunta, com um motivo e um limite. Passos: (1) reformule o que cada pergunta pede que você preveja ou explique; (2) escolha a família de modelagem primária da §2.4; (3) justifique a escolha pela alegação que ela apoia; (4) nomeie o limite mais importante da família para aquela pergunta. Evidência esperada: tabela. Rubrica: 3 = (a) insumo-produto, (b) fluxo/cossimulação ou modelo de reservas, (c) empírico/qualitativo ou baseado em agentes informado por entrevistas, (d) topologia/percolação, cada um com limites sólidos; 2 = uma inadequação; 1 = duas ou mais; 0 = nada.

EX011 — A norma como hipótese. Objetivo: transformar uma norma numa alegação testável. Entradas: as zonas, os condutos e o SL-T da IEC 62443-3-2 (§2.3). Restrições: uma hipótese testável; nomeie a medida de desfecho e um desenho viável. Passos: declare a alegação causal implícita da norma; escreva uma hipótese; proponha um desenho (p. ex., exercícios de red team em zonas de testbed com diferentes SL-T); nomeie dois fatores de confusão. Evidência esperada: uma página. Rubrica: 3 = hipótese observável, desenho seguro e viável, fatores de confusão reais (habilidade do avaliador, idade dos ativos); 2 = desenho vago; 1 = repete a norma; 0 = nada.

EX012 — Conserte o mapa da literatura. Objetivo: fazer uma regra de codificação corresponder a um padrão declarado. Entradas: Laboratório 2. Restrições: offline; mantenha todas as linhas. Passos: (1) acrescente um campo hazard (P5 e P7 "cyber", todos os demais "all-hazards"); (2) mude a regra para que uma alegação sobre quedas induzidas por ciberataques seja apoiada apenas por validações fortes e independentes com perigo "cyber"; (3) execute e registre a saída exata para C3; (4) explique em 100 palavras o que mudou e por que isso importa. Evidência esperada: código modificado, saída exata, explicação. Rubrica: 3 = código correto; C3 continua com fonte única (apenas P7), e o estudante observa que C1, C2 e C4 agora não têm apoio forte e independente para quedas induzidas por ciberataques, com uma explicação clara da transferência entre perigos; 2 = saída correta, explicação rala; 1 = regra errada; 0 = não executado.

EX013 — Classifique a lacuna. Objetivo: distinguir os tipos de lacuna. Entradas: quatro afirmações sintéticas: (a) "Dois estudos com modelos de fluxo discordam sobre se o armazenamento de água ou o combustível dos geradores domina a temporização da queda num hospital"; (b) "Existe pesquisa sobre a capacidade de pico hospitalar, mas nenhum estudo a liga à ordenação da restauração"; (c) "Três white papers de fornecedores alegam que sua plataforma reduz à metade o tempo de restauração"; (d) "Nenhum estudo da nossa busca documentada compara o CCE com a priorização orientada por vulnerabilidades." Restrições: um tipo para cada, justificado; proponha o próximo estudo. Passos: (1) reformule cada uma como uma pergunta; (2) liste as evidências sobre ela; (3) atribua um tipo de lacuna; (4) nomeie o estudo que a fecharia. Evidência esperada: quatro parágrafos. Rubrica: 3 = conflitante, não transferida, fraca, ausente, com próximos passos sólidos; 2 = um erro; 1 = dois erros; 0 = nada.

EX014 — Declaração falseável e memorando de fronteira. Objetivo: converter um tema numa contribuição. Entradas: o tema "resiliência dos sistemas de pagamento durante quedas regionais de energia". Restrições: use o formato de redação da §2.10; a observação refutadora precisa ser viável; 400–600 palavras; cite apenas fontes que você leu. Passos: (1) escreva a declaração; (2) aplique os quatro testes; (3) revise uma vez; (4) explique qual pergunta adjacente precisa ser respondida primeiro e por quê. Evidência esperada: declaração, notas dos testes, revisão, memorando. Rubrica: 3 = passa em todos os testes, com um refutador viável e uma ordenação justificada das perguntas; 2 = um teste fraco; 1 = ainda é um tema; 0 = nada.

Síntese do capítulo

A fronteira da segurança da infraestrutura está espalhada por cinco literaturas com vocabulários diferentes; uma busca de doutorado precisa atravessá-las deliberadamente e documentar como. Normas e regulamentações são hipóteses sobre o que reduz a consequência, e as evidências de desfecho a seu respeito são escassas. Os modelos de interdependência vêm em famílias que apoiam alegações diferentes; os resultados topológicos dão entendimento estrutural, os modelos de insumo-produto dão a economia em nível setorial, e os modelos de fluxo ou de cossimulação dão a temporização de engenharia — nenhum substitui a validação. A pesquisa de detecção está melhorando sua prática de avaliação; para a IC, a detecção importa como uma reserva medida contra o tempo até a consequência. Avalie a independência e a validação, e não as contagens. A lacuna do Cascade Study — a ordenação da restauração ciente das dependências é muitas vezes proposta e fracamente testada — é aberta, importante, viável e pode ser tornada falseável.

Continue estudando — capítulo 02 de 08

← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →

Siga para a próxima lição escrita.