Capítulo 4 — Governança, riscos e compliance de segurança: explicações concorrentes

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["4.1 Explicações rivais"]
  N1["4.2 Desenhar as verificações"]
  N2["4.3 Literatura sobre eficácia de controles"]
  N3["4.4 Julgar a plausibilidade"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["4.1 Explicações rivais"]
  N1["4.2 Desenhar as verificações"]
  N2["4.3 Literatura sobre eficácia de controles"]
  N3["4.4 Julgar a plausibilidade"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX021"]

[4.1 Explicações rivais]
    |
    v
[4.2 Desenhar as verificações]
    |
    v
[4.3 Literatura sobre eficácia de controles]
    |
    v
[4.4 Julgar a plausibilidade]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) listar explicações rivais para uma diferença observada; (2) desenhar verificações capazes de distingui-las; (3) julgar quais explicações continuam plausíveis.

4.1 Explicações rivais

Antes de coletar dados, Lucas lista explicações que poderiam produzir menos acesso excessivo nas unidades trimestrais mesmo que a frequência, por si só, não fizesse diferença. As unidades trimestrais poderiam ter menor rotatividade. Poderiam ter menos sistemas, o que simplifica os acessos. Seus gestores poderiam ser mais diligentes em geral, e a diligência, e não a frequência, poderia explicar os resultados. As revisões também poderiam ser só carimbadas, caso em que a frequência acrescentaria custo sem benefício. Escrever isso cedo o obriga a planejar verificações, em vez de explicar os resultados depois.

4.2 Desenhar as verificações

Para cada rival, Lucas planeja uma verificação e a escreve no plano. Compara a rotatividade e o número de sistemas entre os grupos. Para sondar a diligência, registra se as unidades concluíram no prazo outros controles, como o treinamento de segurança. Para detectar o carimbo automático, mede quantas remoções de acesso cada revisão produziu e quanto tempo os revisores gastaram por conta. Se as revisões trimestrais quase não removem nada e levam segundos por conta, seu benefício aparente é suspeito. Essas verificações não provam causa, mas podem tornar algumas explicações muito menos plausíveis.

4.3 Literatura sobre eficácia de controles

Lucas liga suas verificações à literatura. Herley e van Oorschot (2017) argumentam que a pesquisa em segurança muitas vezes carece de afirmações falseáveis, e ele usa esse ponto para insistir que sua hipótese possa falhar. Gordon e Loeb (2002) lembram que mais controle nem sempre compensa o custo, então ele vai comparar o benefício com as horas dos revisores. A ênfase do COBIT 2019 na gestão de desempenho apoia medir se um processo atinge seu objetivo, e não apenas se ele acontece. Juntas, essas fontes moldam o que ele mede, como enquadra os custos e o que conta como um teste justo da sua ideia.

4.4 Julgar a plausibilidade

Lucas planeja relatar cada rival com o resultado da verificação e um julgamento: considerada menos provável, ainda plausível ou não testada. Ele vai evitar afirmar que a revisão trimestral causa menos acesso excessivo, a menos que as principais rivais sejam enfraquecidas. A Dra. Solberg aprova essa estrutura, observando que os examinadores valorizam a franqueza sobre o que continua incerto. Ela também pede que ele declare de antemão que resultado contaria contra a hipótese: nenhuma diferença relevante, ou uma diferença que desaparece entre unidades com rotatividade parecida. Lucas acrescenta isso ao plano.

Exemplo resolvido

Lucas lista quatro explicações rivais, planeja uma verificação para cada uma e declara de antemão que resultado contaria contra sua hipótese.

Caso sintético. As verificações planejadas são sintéticas; as obras citadas são reais.

Erros e limites

Algumas rivais não podem ser testadas. As medidas de diligência são grosseiras.

Exercícios

• EX021 — Teste do carimbo. Como Lucas vai detectar revisões só carimbadas?
  Mostrar critérios de avaliação

  Rubrica: 3 = remoções por revisão e tempo por conta;; 2 = remoções;; 1 = vago;; 0 = nenhuma.
• EX022 — Proxy de diligência. Que proxy Lucas usa para a diligência geral?
  Mostrar critérios de avaliação

  Rubrica: 3 = conclusão no prazo de outros controles, como o treinamento;; 2 = treinamento;; 1 = vago;; 0 = nenhuma.
• EX023 — Lente de custo. Que fonte lembra Lucas de que mais controle nem sempre compensa o custo?
  Mostrar critérios de avaliação

  Rubrica: 3 = Gordon e Loeb (2002);; 2 = Gordon-Loeb;; 1 = vago;; 0 = nenhuma.
• EX024 — Falseabilidade. Por que Lucas cita Herley e van Oorschot?
  Mostrar critérios de avaliação

  Rubrica: 3 = para insistir que sua hipótese possa falhar;; 2 = falseável;; 1 = vago;; 0 = nenhuma.
• EX025 — Categorias de julgamento. Que três julgamentos cada rival vai receber?
  Mostrar critérios de avaliação

  Rubrica: 3 = menos provável, ainda plausível ou não testada;; 2 = três;; 1 = vago;; 0 = nenhuma.
• EX026 — Resultado refutador. Que resultado contaria contra a hipótese?
  Mostrar critérios de avaliação

  Rubrica: 3 = nenhuma diferença relevante, ou uma que desaparece com rotatividade parecida;; 2 = declarado;; 1 = vago;; 0 = nenhuma.

Síntese

Listar e verificar explicações rivais é o núcleo da pesquisa observacional honesta.