Capítulo 8 — Defesa e plano de publicação

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX045.

flowchart TD
  N0["8.1 A defesa"]
  N1["8.2 Perguntas"]
  N2["8.3 Perguntas de ética"]
  N3["8.4 Plano de publicação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX045"]

Desenho lógico

flowchart LR
  N0["8.1 A defesa"]
  N1["8.2 Perguntas"]
  N2["8.3 Perguntas de ética"]
  N3["8.4 Plano de publicação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX045"]

[8.1 A defesa]
    |
    v
[8.2 Perguntas]
    |
    v
[8.3 Perguntas de ética]
    |
    v
[8.4 Plano de publicação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX045]

Objetivos de aprendizagem

Você vai (1) defender uma tese de GRC diante de examinadores; (2) responder a perguntas sobre método, ética e prática; (3) planejar publicações e produtos práticos.

8.1 A defesa

Amara apresenta por trinta minutos: o problema de governança, a lacuna, o desenho randomizado, os resultados com sua incerteza, a replicação e os limites. Ela mostra o modelo de seis cenários como intuição rápida de por que as matrizes podem enganar, seguido dos resultados reais do estudo para mostrar quanto isso pesa na prática. A banca reúne uma cientista de riscos, um professor de governança de segurança da informação e uma CISO de hospital, escolhidos para cobrir teoria, normas e prática. Cada examinador recebeu o arquivo duas semanas antes do dia da defesa.

8.2 Perguntas

A cientista de riscos pergunta se a calibração em eventos de curto horizonte diz algo sobre perdas catastróficas raras. Amara responde que não diretamente; ela mostra que os avaliadores conseguem expressar a incerteza com honestidade, o que é necessário, mas não suficiente. O professor pergunta como os achados se encaixam no framework de gestão de riscos do NIST SP 800-37r2; ela explica que o método cabe nas etapas de avaliação e de monitoramento, sem mudar as decisões de autorização. A profissional pergunta sobre o custo; ela cita noventa minutos de treinamento e um tempo modesto de analista por cenário.

8.3 Perguntas de ética

Um examinador pergunta se a quantificação poderia ser mal usada para justificar cortes no orçamento de segurança. Amara concorda que esse risco existe, sobretudo se intervalos amplos forem reduzidos a um único número otimista. Ela recomenda que os conselhos sempre vejam intervalos e probabilidades de excedência, que as premissas sejam registradas e que os resultados sejam revisados por alguém independente da decisão orçamentária. Também observa que as matrizes podem ser mal usadas do mesmo jeito, rebaixando discretamente as classificações. A governança, e não o método, é a principal salvaguarda contra uma avaliação de riscos movida por interesses.

8.4 Plano de publicação

A banca aprova a tese com correções menores. Amara planeja três produtos: um artigo em periódico sobre a comparação randomizada, com o arquivo completo; um artigo mais curto, para profissionais, sobre a apresentação de riscos ao conselho; e um módulo gratuito de treinamento em calibração para avaliadores do setor público. Ela vai compartilhar o conjunto de cenários sintéticos para que outras organizações possam conduzir estudos comparáveis. Observa que a replicação parcial foi um ponto forte do trabalho e espera que outros a repliquem em setores além da saúde. Cada produto declara seu financiamento e seus limites.

Exemplo resolvido

Amara defende a tese, responde a perguntas sobre eventos raros, o encaixe no SP 800-37r2, o custo e o mau uso, e planeja três publicações.

Caso sintético. A defesa é sintética; o SP 800-37r2 é real.

Erros e limites

Os examinadores têm suas próprias visões. Publicar leva tempo.

Exercícios

• EX045 — Composição da banca. Que três perspectivas os examinadores cobriam?
  Mostrar critérios de avaliação

  Rubrica: 3 = teoria, normas e prática;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX046 — Resposta sobre eventos raros. Como Amara respondeu sobre perdas catastróficas raras?
  Mostrar critérios de avaliação

  Rubrica: 3 = a calibração é necessária, mas não suficiente;; 2 = limites;; 1 = prova;; 0 = nenhuma.
• EX047 — Encaixe no RMF. Onde o método se encaixa no SP 800-37r2?
  Mostrar critérios de avaliação

  Rubrica: 3 = nas etapas de avaliação e de monitoramento;; 2 = avaliação;; 1 = autorização;; 0 = nenhuma.
• EX048 — Salvaguarda contra o mau uso. O que protege contra uma avaliação de riscos movida por interesses?
  Mostrar critérios de avaliação

  Rubrica: 3 = governança com intervalos, premissas registradas e revisão independente;; 2 = governança;; 1 = escolha do método;; 0 = nenhuma.
• EX049 — Resultado da defesa. Qual foi o resultado da defesa?
  Mostrar critérios de avaliação

  Rubrica: 3 = aprovação com correções menores;; 2 = aprovação;; 1 = vago;; 0 = nenhuma.
• EX050 — Recurso compartilhado. O que Amara vai compartilhar com outras organizações?
  Mostrar critérios de avaliação

  Rubrica: 3 = o conjunto de cenários sintéticos;; 2 = cenários;; 1 = dados reais;; 0 = nenhuma.

Síntese

Uma defesa testa raciocínio, ética e valor prático, e a publicação amplia a contribuição.