Capítulo 7 — Probabilidade e estatística

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX019.

flowchart TD
  N0["7.1 Frequência e impacto"]
  N1["7.2 Ordenar os riscos"]
  N2["Laboratório — Perda anual esperada de cinco riscos d"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX019"]

Desenho lógico

flowchart LR
  N0["7.1 Frequência e impacto"]
  N1["7.2 Ordenar os riscos"]
  N2["Laboratório — Perda anual esperada de cinco riscos d"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX019"]

[7.1 Frequência e impacto]
    |
    v
[7.2 Ordenar os riscos]
    |
    v
[Laboratório — Perda anual esperada de cinco riscos d]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX019]

Objetivos de aprendizagem

Você vai (1) calcular a perda anual esperada a partir da frequência e do impacto; (2) ordenar os riscos pela perda esperada; (3) reconhecer os limites das estimativas de número único.

7.1 Frequência e impacto

Nadia aprende a clássica expectativa de perda anualizada (ALE): a taxa anual de ocorrência (ARO) vezes a expectativa de perda única (SLE). Para a Ardwell, ela estima cinco riscos com dados de uma oficina: uma interrupção do faturamento esperada a cada dois anos, custando cento e vinte mil; ransomware uma vez por década, a novecentos mil; quatro notebooks perdidos por ano, a seis mil cada; um vazamento de dados de cartão uma vez em vinte anos, a um milhão e meio; e o mau uso do acesso de fornecedores ao sistema de controle uma vez em cinco anos, a quatrocentos mil.

7.2 Ordenar os riscos

O laboratório multiplica cada par e ordena os resultados. O ransomware fica em primeiro, com noventa mil por ano, seguido do mau uso do acesso de fornecedores, com oitenta mil, do vazamento de cartões, com setenta e cinco mil, da interrupção do faturamento, com sessenta mil, e dos notebooks perdidos, com vinte e quatro mil. O total é de trezentos e vinte e nove mil. Nadia percebe que os quatro primeiros estão próximos, então pequenas mudanças nas estimativas poderiam reordená-los. Ela conclui que a ordenação justifica atenção aos quatro, e não a uma única prioridade máxima.

Laboratório — Perda anual esperada de cinco riscos da Ardwell

"""Annualised loss expectancy (ALE = ARO x SLE) for synthetic Ardwell risks."""
risks = [("billing outage", 0.5, 120_000), ("ransomware", 0.1, 900_000),
         ("lost laptop", 4.0, 6_000), ("payment card breach", 0.05, 1_500_000),
         ("SCADA vendor access misuse", 0.2, 400_000)]
tot = 0
for name, aro, sle in sorted(risks, key=lambda r: -r[1]*r[2]):
    ale = aro*sle; tot += ale
    print(f"{name}: ARO {aro} x SLE {sle:,} = ALE {ale:,.0f}")
print(f"total ALE {tot:,.0f}")

Execute com python3 lab_ale.py. Saída verificada:

ransomware: ARO 0.1 x SLE 900,000 = ALE 90,000
SCADA vendor access misuse: ARO 0.2 x SLE 400,000 = ALE 80,000
payment card breach: ARO 0.05 x SLE 1,500,000 = ALE 75,000
billing outage: ARO 0.5 x SLE 120,000 = ALE 60,000
lost laptop: ARO 4.0 x SLE 6,000 = ALE 24,000
total ALE 329,000

7.3 Limites das médias

O Prof. Brenner adverte que a perda esperada esconde a forma dos resultados. O vazamento de cartões tem valor esperado baixo, mas um desfecho único catastrófico que poderia ameaçar a cooperativa, enquanto os notebooks perdidos são frequentes, mas pequenos. Um conselho que vê só médias pode subestimar eventos raros e graves. Nadia aprende a relatar faixas e os piores casos plausíveis ao lado das médias, e lê como Freund e Jones (2015) decompõem frequência e magnitude no modelo FAIR para tornar essas estimativas mais estruturadas e defensáveis.

Exemplo resolvido

Nadia calcula a ALE de cinco riscos, coloca o ransomware em primeiro com noventa mil, chega a um total de trezentos e vinte e nove mil e observa que as posições estão próximas.

Caso sintético. Todas as estimativas são sintéticas; Freund e Jones (2015) é real.

Erros e limites

Estimativas únicas escondem a incerteza. As médias subestimam catástrofes raras.

Exercícios

• EX019 — Fórmula da ALE. Como se calcula a expectativa de perda anualizada?
  Mostrar critérios de avaliação

  Rubrica: 3 = taxa de ocorrência vezes expectativa de perda única;; 2 = ARO x SLE;; 1 = vago;; 0 = nenhuma.
• EX020 — Os dois primeiros. Que dois riscos ficaram mais altos pela ALE no laboratório?
  Mostrar critérios de avaliação

  Rubrica: 3 = ransomware 90 mil e mau uso por fornecedores 80 mil;; 2 = ransomware primeiro;; 1 = notebooks;; 0 = nenhuma.
• EX021 — Forma oculta. Por que o vazamento de cartões pode merecer mais atenção do que sua ALE sugere?
  Mostrar critérios de avaliação

  Rubrica: 3 = é raro, mas tem um desfecho único catastrófico;; 2 = cauda;; 1 = vago;; 0 = nenhuma.

Síntese

A perda esperada oferece uma primeira classificação útil, mas precisa vir acompanhada de faixas e caudas.