OpenCyber Academy
Engenharia · Capítulo 26 · Português
Código do curso: OCA-121Capítulo 26: OCA-121-C026

Capítulo 26 — Fatores humanos e política cibernética: alternativas de arquitetura

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX076.

flowchart TD
  N0["26.1 Três alternativas"]
  N1["26.2 Critérios e pontuação"]
  N2["Laboratório — Comparação ponderada de três desenhos"]
  N3["26.3 Uma escolha aberta"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX076"]

Desenho lógico

flowchart LR
  N0["26.1 Três alternativas"]
  N1["26.2 Critérios e pontuação"]
  N2["Laboratório — Comparação ponderada de três desenhos"]
  N3["26.3 Uma escolha aberta"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX076"]

[26.1 Três alternativas]
    |
    v
[26.2 Critérios e pontuação]
    |
    v
[Laboratório — Comparação ponderada de três desenhos]
    |
    v
[26.3 Uma escolha aberta]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX076]

Objetivos de aprendizagem

Você vai (1) comparar arquiteturas alternativas para um programa de conscientização em segurança; (2) ponderar as alternativas com critérios humanos e organizacionais; (3) justificar uma escolha de forma aberta.

26.1 Três alternativas

Aiko compara três formas de a Greyford organizar seu programa. A primeira é orientada a compliance: um curso online anual e simulações trimestrais medidos pela conclusão e pela taxa de cliques. A segunda é orientada a reportes: reporte fácil, retorno rápido, reciclagens mensais curtas e simulações medidas pela velocidade dos reportes. A terceira é orientada ao projeto: investir principalmente em mudanças técnicas que retirem decisões dos funcionários, como chaves de segurança e filtragem mais forte, com o mínimo de treinamento. Cada uma reflete uma teoria diferente sobre o que torna as pessoas seguras, e cada uma tem pontos fortes que faltam às outras.

26.2 Critérios e pontuação

Aiko pontua as alternativas com critérios acordados com as partes interessadas: redução de risco, ônus para os funcionários, custo, evidências regulatórias e confiança dos funcionários. O laboratório calcula os totais ponderados. A opção orientada ao projeto pontua mais alto em risco e ônus, mas é a mais fraca em evidências regulatórias, porque o regulador espera alguns registros de treinamento. A opção orientada a reportes pontua bem na maioria dos critérios. A opção orientada a compliance só é a melhor na facilidade de produzir evidências, o que corresponde à crítica de Bada, Sasse e Nurse (2019) de que essas campanhas raramente mudam comportamentos. As partes interessadas definem os pesos antes de ver qualquer pontuação, o que impede que os pesos sejam ajustados para favorecer uma opção.

Laboratório — Comparação ponderada de três desenhos de programa

# Weighted comparison of three awareness programme designs (synthetic 1-5 scores).
w = {"risk": 0.30, "burden": 0.20, "cost": 0.15, "evidence": 0.15, "trust": 0.20}
s = {"compliance": {"risk": 2, "burden": 2, "cost": 4, "evidence": 5, "trust": 2},
     "reporting": {"risk": 4, "burden": 4, "cost": 4, "evidence": 3, "trust": 4},
     "design": {"risk": 5, "burden": 5, "cost": 2, "evidence": 2, "trust": 4}}
def tot(wt): return {o: sum(wt[c] * v for c, v in sc.items()) / sum(wt.values()) for o, sc in s.items()}
print("base:", {o: round(v, 2) for o, v in tot(w).items()})
print("evidence weight doubled:", {o: round(v, 2) for o, v in tot(dict(w, evidence=0.30)).items()})

Execute com python3 lab_options.py. Saída verificada:

base: {'compliance': 2.75, 'reporting': 3.85, 'design': 3.9}
evidence weight doubled: {'compliance': 3.04, 'reporting': 3.74, 'design': 3.65}

26.3 Uma escolha aberta

Aiko recomenda um híbrido: mudanças técnicas orientadas ao projeto combinadas com o programa orientado a reportes, mantendo um treinamento curto que também produz os registros de que o regulador precisa. Ela explica abertamente os tradeoffs: o híbrido custa mais no primeiro ano, mas reduz o ônus e o risco. Observa que os pesos refletem julgamentos das partes interessadas e mostra que a recomendação se mantém quando o peso das evidências regulatórias é dobrado: os totais passam a 3,74 para a opção orientada a reportes e 3,65 para a orientada ao projeto, ambas ainda bem acima da orientada a compliance, com 3,04, de modo que os dois componentes do híbrido continuam sendo os mais fortes. O conselho aprova o híbrido e pede uma avaliação após doze meses.

Exemplo resolvido

Aiko compara programas orientados a compliance, a reportes e ao projeto com cinco critérios ponderados e recomenda um híbrido, com uma verificação de sensibilidade.

Caso sintético. As pontuações e os pesos são sintéticos; Bada et al. (2019) é real.

Erros e limites

Pontuações são julgamentos. Desenhos híbridos podem perder o foco se não forem bem geridos.

Exercícios

Síntese

Comparar arquiteturas de programa segundo critérios acordados leva a uma escolha aberta e testada, muitas vezes híbrida.

Respostas comentadas

EX076. Em evidências regulatórias, porque o regulador espera alguns registros de treinamento.

EX077. Orientado a compliance 2,75, orientado a reportes 3,85 e orientado ao projeto 3,90.

EX078. Verificando que ela se mantinha quando o peso das evidências regulatórias era dobrado.