Capítulo 32 — Governança, riscos e compliance de segurança: confiabilidade

Mapa da aula

Aula 32 publicada. Mapa, exemplo, EX094.

flowchart TD
  N0["32.1 Controles em camadas"]
  N1["32.2 Causa comum"]
  N2["Laboratório — Falha conjunta de dois controles com e"]
  N3["32.3 Projetar para a independência"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX094"]

Desenho lógico

flowchart LR
  N0["32.1 Controles em camadas"]
  N1["32.2 Causa comum"]
  N2["Laboratório — Falha conjunta de dois controles com e"]
  N3["32.3 Projetar para a independência"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX094"]

[32.1 Controles em camadas]
    |
    v
[32.2 Causa comum]
    |
    v
[Laboratório — Falha conjunta de dois controles com e]
    |
    v
[32.3 Projetar para a independência]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX094]

Objetivos de aprendizagem

Você vai (1) calcular a probabilidade de dois controles em camadas falharem juntos; (2) levar em conta a falha de causa comum; (3) projetar para a independência.

32.1 Controles em camadas

A Ardwell protege o acesso de fornecedores com duas camadas: a verificação de aprovação do broker e as regras de rede que bloqueiam rotas não aprovadas. Nadia pergunta qual a probabilidade de as duas falharem ao mesmo tempo. Se a verificação de aprovação falha em cinco por cento das vezes e as regras de rede em dez, e as falhas são independentes, as duas falham juntas só em meio por cento das vezes. As camadas parecem dar uma proteção forte. A engenharia de confiabilidade, porém, adverte que a independência é uma premissa que precisa ser justificada antes de se confiar nela; um único administrador capaz de mudar as duas camadas seria uma dependência comum, como mostra a seção seguinte.

32.2 Causa comum

O laboratório acrescenta uma chance de dois por cento de uma causa comum que derrota as duas camadas de uma vez, como uma conta de administrador capaz de alterar tanto o broker quanto as regras de rede. A probabilidade de falha conjunta sobe de meio por cento para cerca de dois e meio por cento, cinco vezes mais. Nadia vê que a causa comum domina o resultado. Melhorar uma das camadas sozinha quase não ajuda; remover a dependência compartilhada importa muito mais. Isso explica por que seu trabalho de projeto agora se concentra em separar a administração, e não em melhorar a taxa de falha de cada camada.

Laboratório — Falha conjunta de dois controles com e sem causa comum

"""Failure probability of two controls: independent vs with a common cause (synthetic)."""
p1, p2, beta = 0.05, 0.10, 0.02
ind = p1*p2
cc = beta + (1-beta)*p1*p2
print(f"single control A fails {p1:.2%}; B fails {p2:.2%}")
print(f"both fail if independent {ind:.2%}")
print(f"both fail with 2% common cause {cc:.2%}")

Execute com python3 lab_layers.py. Saída verificada:

single control A fails 5.00%; B fails 10.00%
both fail if independent 0.50%
both fail with 2% common cause 2.49%

32.3 Projetar para a independência

Nadia recomenda separar a administração do broker e das regras de rede entre equipes diferentes, com contas diferentes, registrar as mudanças nas duas num sistema que nenhuma das equipes controla e testá-las separadamente. Equipes e contas separadas eliminariam a causa comum de dois por cento modelada no laboratório. Ela observa que as causas comuns também incluem treinamento compartilhado, fornecedores compartilhados e premissas compartilhadas. O Prof. Brenner acrescenta que os relatórios de governança muitas vezes contam as camadas como se cada uma fosse independente, então declarar as dependências explicitamente é sinal de uma análise de riscos madura e uma lacuna frequente nas evidências de auditoria.

Exemplo resolvido

Nadia calcula falha conjunta de 0,50% para camadas independentes e de 2,49% com uma causa comum de 2%, e então separa a administração para reduzi-la.

Caso sintético. As taxas de falha são sintéticas.

Erros e limites

As taxas de causa comum são difíceis de estimar. A separação acrescenta custo.

Exercícios

• EX094 — Conjunta independente. Qual é a probabilidade de falha conjunta para camadas independentes?
  Mostrar critérios de avaliação

  Rubrica: 3 = 0,50%;; 2 = 0,005;; 1 = vago;; 0 = nenhuma.
• EX095 — Conjunta com causa comum. Qual é a probabilidade de falha conjunta com uma causa comum de 2%?
  Mostrar critérios de avaliação

  Rubrica: 3 = 2,49%;; 2 = cerca de cinco vezes;; 1 = vago;; 0 = nenhuma.
• EX096 — Melhor correção. O que mais reduz a falha conjunta?
  Mostrar critérios de avaliação

  Rubrica: 3 = remover a dependência compartilhada;; 2 = independência;; 1 = uma camada mais forte;; 0 = nenhuma.

Síntese

Controles em camadas são tão fortes quanto a sua independência; as causas comuns dominam a falha conjunta.