OpenCyber Academy
Engenharia · Capítulo 29 · Português
Código do curso: OCA-120Capítulo 29: OCA-120-C029

Capítulo 29 — Governança, riscos e compliance de segurança: medição

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 29 publicada. Mapa, exemplo, EX085.

flowchart TD
  N0["29.1 O que medir"]
  N1["29.2 Taxas de aprovação e limiares"]
  N2["Laboratório — Taxas de aprovação dos controles contr"]
  N3["29.3 Não esconder as áreas fracas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX085"]

Desenho lógico

flowchart LR
  N0["29.1 O que medir"]
  N1["29.2 Taxas de aprovação e limiares"]
  N2["Laboratório — Taxas de aprovação dos controles contr"]
  N3["29.3 Não esconder as áreas fracas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX085"]

[29.1 O que medir]
    |
    v
[29.2 Taxas de aprovação e limiares]
    |
    v
[Laboratório — Taxas de aprovação dos controles contr]
    |
    v
[29.3 Não esconder as áreas fracas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX085]

Objetivos de aprendizagem

Você vai (1) medir o desempenho dos controles pelos resultados dos testes; (2) fixar limiares para indicadores-chave de risco; (3) relatar as medidas sem esconder as áreas fracas.

29.1 O que medir

Nadia aprende a separar medidas de atividade, como o número de revisões feitas, de medidas de desempenho, como a parcela de testes de controle aprovados, e de medidas de resultado, como o acesso excessivo encontrado. O NIST CSF 2.0 incentiva as organizações a monitorar e melhorar seus resultados de cibersegurança, e a ISO/IEC 27001:2022 exige que a organização determine o que é medido e como os resultados são avaliados. Ela propõe que a Ardwell relate ao conselho sobretudo medidas de desempenho e de resultado. O acesso excessivo encontrado diz ao conselho se o risco está diminuindo, enquanto contar revisões feitas só mostra esforço.

29.2 Taxas de aprovação e limiares

Num trimestre, a Ardwell testa cinco famílias de controles. O laboratório calcula as taxas de aprovação e aplica os limiares combinados com a gestão: verde a partir de noventa e cinco por cento, âmbar a partir de oitenta, vermelho abaixo disso. Acessos passam em quarenta e cinco de quarenta e oito testes, noventa e quatro por cento, âmbar por pouco. Patching passa em trinta e um de quarenta, setenta e oito por cento, vermelho. Backup passa nos doze. Logs ficam em âmbar com oitenta e sete por cento, e gestão de mudanças, em vermelho com setenta e dois. No total, cento e trinta e dois de cento e cinquenta e cinco passam, oitenta e cinco por cento.

Laboratório — Taxas de aprovação dos controles contra os limiares

"""Control test pass rates and key risk indicator thresholds (synthetic quarter)."""
tests = {"access": (48, 45), "patching": (40, 31), "backup": (12, 12), "logging": (30, 26), "change": (25, 18)}
for fam, (n, ok) in tests.items():
    r = ok/n
    status = "green" if r >= 0.95 else "amber" if r >= 0.80 else "red"
    print(f"{fam}: {ok}/{n} = {r:.0%} {status}")
n = sum(v[0] for v in tests.values()); ok = sum(v[1] for v in tests.values())
print(f"overall {ok}/{n} = {ok/n:.0%}")

Execute com python3 lab_kri.py. Saída verificada:

access: 45/48 = 94% amber
patching: 31/40 = 78% red
backup: 12/12 = 100% green
logging: 26/30 = 87% amber
change: 18/25 = 72% red
overall 132/155 = 85%

29.3 Não esconder as áreas fracas

O número geral de oitenta e cinco por cento parece razoável, mas esconde duas famílias vermelhas. Nadia relata cada família separadamente, começando pelas vermelhas e suas causas: atrasos de patching nos equipamentos das subestações e mudanças emergenciais sem revisão. Ela adverte que os limiares influenciam o comportamento; se as equipes forem julgadas só pelas taxas de aprovação, podem testar os casos fáceis. Recomenda alternar as amostras de teste e revisar como os testes são escolhidos, para que a medida continue honesta. Alternar as amostras impede que os testes de patching caiam sempre nas máquinas do escritório e deixem de fora os equipamentos das subestações.

Exemplo resolvido

Nadia distingue medidas de atividade, desempenho e resultado, calcula cinco taxas de aprovação com limiares e relata primeiro as famílias vermelhas.

Caso sintético. Os resultados dos testes e os limiares são sintéticos; o CSF 2.0 e a ISO/IEC 27001:2022 são reais.

Erros e limites

Os agregados escondem as áreas fracas. As medidas convidam à manipulação.

Exercícios

Síntese

As medidas devem mostrar o desempenho por família, começar pelas fraquezas e resistir à manipulação.

Respostas comentadas

EX085. Medidas de atividade, de desempenho e de resultado.

EX086. Patching, com 78%, e gestão de mudanças, com 72%.

EX087. Porque esconde duas famílias de controles abaixo do limiar vermelho.