Capítulo 41 — Governança, riscos e compliance de segurança: otimização do sistema
Mapa da aula
Aula 41 publicada. Mapa, exemplo, EX121.
flowchart TD
N0["41.1 O problema do orçamento"]
N1["41.2 Encontrar o melhor conjunto"]
N2["Laboratório — Melhor conjunto de controles dentro de"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX121"]
Desenho lógico
flowchart LR
N0["41.1 O problema do orçamento"]
N1["41.2 Encontrar o melhor conjunto"]
N2["Laboratório — Melhor conjunto de controles dentro de"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX121"]
[41.1 O problema do orçamento]
|
v
[41.2 Encontrar o melhor conjunto]
|
v
[Laboratório — Melhor conjunto de controles dentro de]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX121]
Objetivos de aprendizagem
Você vai (1) escolher investimentos em controles sob um orçamento; (2) comparar a escolha ótima com a intuitiva; (3) reconhecer os limites da otimização.
41.1 O problema do orçamento
O conselho da Ardwell aprova duzentos mil para novos controles de segurança no próximo ano. Nadia lista seis opções, com custos e reduções estimadas da perda anual esperada: autenticação multifator para o acesso remoto, backups offline, uma extensão do broker de acesso de fornecedores, tokenização de cartões, uma reciclagem de conscientização e monitoramento de logs. O custo total passa do orçamento, então é preciso escolher. Ela enquadra isso como um problema de otimização: maximizar a redução total estimada da perda mantendo o custo dentro do orçamento. Esse enquadramento também deixa explícito que o valor de cada opção depende de uma estimativa de oficina.
41.2 Encontrar o melhor conjunto
Com só seis opções, o laboratório confere todas as combinações. O melhor conjunto dentro do orçamento custa cento e noventa mil e reduz a perda estimada em seiscentos e trinta mil: autenticação multifator, backups offline e tokenização de cartões. Nadia compara isso com uma escolha intuitiva sugerida pela gestão, a extensão do broker e o monitoramento de logs, que consome a maior parte do orçamento para uma redução muito menor. A busca exaustiva mostra com clareza quanto valor a intuição pode deixar para trás. A escolha intuitiva mira o acesso de fornecedores e os logs, que importam, mas compra muito menos redução por mil gastos.
Laboratório — Melhor conjunto de controles dentro de um orçamento
"""Choose controls under a budget to maximise expected loss reduction (exhaustive search)."""
from itertools import combinations
opts = [("MFA for remote access", 40, 150), ("offline backups", 60, 220), ("vendor access broker", 80, 190),
("card tokenisation", 90, 260), ("awareness refresh", 20, 40), ("log monitoring", 70, 120)]
B = 200; best = (0, 0, ())
for r in range(len(opts)+1):
for s in combinations(opts, r):
c = sum(o[1] for o in s); g = sum(o[2] for o in s)
if c <= B and g > best[0]: best = (g, c, s)
print(f"budget {B}k; best reduction {best[0]}k at cost {best[1]}k")
for o in best[2]: print(" -", o[0])
Execute com python3 lab_budget.py. Saída verificada:
budget 200k; best reduction 630k at cost 190k
- MFA for remote access
- offline backups
- card tokenisation
41.3 Limites
Nadia relata o resultado com ressalvas. As estimativas de redução vêm de oficinas e são incertas. As opções podem interagir; backups e tokenização tratam riscos diferentes, mas outros pares poderiam se sobrepor. Alguns benefícios, como evidências melhores para auditorias, não são capturados. Gordon e Loeb (2002) a lembram de que o valor do investimento depende da vulnerabilidade e da perda potencial, e não só do custo. Ela recomenda usar o conjunto ótimo como ponto de partida da discussão, com verificações de sensibilidade nas estimativas mais incertas, como ver se reduzir à metade a estimativa da tokenização mudaria o conjunto escolhido.
Exemplo resolvido
Nadia encontra o melhor conjunto dentro de duzentos mil, que reduz a perda em seiscentos e trinta mil a um custo de cento e noventa mil, e declara seus limites.
Caso sintético. Os custos e as reduções são sintéticos; Gordon e Loeb (2002) é real.
Erros e limites
As estimativas são incertas. As interações entre os controles são ignoradas.
Exercícios
- EX121 — Melhor conjunto. Que controles formam o melhor conjunto? Rubrica: 3 = MFA, backups offline e tokenização de cartões;; 2 = três;; 1 = broker;; 0 = nenhuma.
- EX122 — Custo do melhor. A que custo o melhor conjunto entrega sua redução de 630 mil? Rubrica: 3 = 190 mil;; 2 = 190;; 1 = 200;; 0 = nenhuma.
- EX123 — Valor do investimento. Segundo Gordon e Loeb, o que determina o valor do investimento em segurança? Rubrica: 3 = vulnerabilidade e perda potencial;; 2 = não só o custo;; 1 = vago;; 0 = nenhuma.
Síntese
A otimização revela escolhas melhores do que a intuição, mas precisa ser lida com as suas incertezas.
Continue estudando — aula 41 (capítulo 41 de 50)
← Capítulo 40 · Índice das aulas · Capítulo 42 →
Continue para a próxima aula já escrita.