Capítulo 1 — Tomada de decisão avançada em segurança

Capítulo 1 — Tomada de decisão avançada em segurança

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 O que torna uma decisão da escala da organização"]
  N1["1.2 Enquadramento: a declaração da decisão"]
  N2["1.4 Três regras de decisão"]
  N3["1.5 Probabilidades que você não conhece: sensibilida"]
  N4["1.6 Valor da informação"]
  N5["1.8 O registro de decisão"]
  N6["1.10 Atividade prática: uma decisão, três regras"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 O que torna uma decisão da escala da organização"]
  N1["1.2 Enquadramento: a declaração da decisão"]
  N2["1.4 Três regras de decisão"]
  N3["1.5 Probabilidades que você não conhece: sensibilida"]
  N4["1.6 Valor da informação"]
  N5["1.8 O registro de decisão"]
  N6["1.10 Atividade prática: uma decisão, três regras"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX001"]

[1.1 O que torna uma decisão da escala da organização]
    |
    v
[1.2 Enquadramento: a declaração da decisão]
    |
    v
[1.4 Três regras de decisão]
    |
    v
[1.5 Probabilidades que você não conhece: sensibilida]
    |
    v
[1.6 Valor da informação]
    |
    v
[1.8 O registro de decisão]
    |
    v
[1.10 Atividade prática: uma decisão, três regras]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

1. Enquadrar uma decisão de segurança na escala da organização: quem decide, até quando, entre quais opções, segundo quais objetivos.
2. Expressar os objetivos em unidades do serviço essencial — horas de fornecimento perdidas, pacientes desviados, domicílios afetados — e não apenas em dinheiro ou em contagens de controles.
3. Comparar opções pelo valor esperado, pelo pior caso e pelo arrependimento minimax, e explicar quando cada regra é adequada.
4. Testar quão sensível uma recomendação é às probabilidades sobre as quais você tinha menos certeza e declarar o limiar em que ela muda.
5. Estimar o valor de mais informação antes de comprá-la.
6. Reconhecer os erros de julgamento que mais frequentemente distorcem as decisões de segurança em serviços essenciais.
7. Escrever um registro de decisão que um sucessor, um auditor ou um regulador consiga acompanhar.

Este capítulo estabelece os hábitos de decisão que todos os capítulos seguintes usam. O Capítulo 4 acrescenta o risco quantificado e sua distribuição entre as pessoas; o Capítulo 5 aplica o mesmo raciocínio às arquiteturas; o Capítulo 9 transforma os registros de decisão em asseguração.

1.1 O que torna uma decisão "da escala da organização"

Um profissional em estágios anteriores escolhe configurações, ferramentas e procedimentos. Um especialista que lidera a segurança de um serviço essencial escolhe portfólios sob restrição: qual de vários programas que valem a pena financiar neste ano, que risco aceitar, que fornecedor manter, quando desconectar uma planta de uma rede. Essas decisões têm cinco características em comum. São irreversíveis ou caras de reverter — um contrato de serviço gerenciado de três anos, uma rede de controle rearquitetada. Seus resultados são incertos e raros, de modo que a experiência sozinha dá um retorno pobre: uma concessionária pode passar uma década sem o evento para o qual um controle foi comprado. Têm vários objetivos que não podem ser reduzidos honestamente a um único número: continuidade do fornecimento, segurança dos funcionários e do público, custo, conformidade legal, privacidade e reputação. Têm várias partes interessadas com interesses legítimos, mas diferentes — o conselho, os operadores, o regulador, os clientes, os operadores vizinhos. E são tomadas por alguém com autoridade, que precisará explicá-las depois.

O trabalho do especialista raramente é tomar a decisão sozinho. É estruturá-la para que a pessoa com autoridade possa decidir bem, e tornar essa estrutura inspecionável. Essa distinção importa para a responsabilização (Capítulo 7) e para a ética (Capítulo 4): um analista que escolhe os pesos em silêncio tomou a decisão enquanto parecia apenas aconselhar.

1.2 Enquadramento: a declaração da decisão

A maioria das más decisões de segurança são respostas bem analisadas a perguntas mal enquadradas. Uma declaração da decisão fixa seis coisas antes de qualquer análise:

A opção "adiar" merece atenção explícita. Ela está sempre disponível, é o que acontece quando ninguém decide e, em serviços essenciais, costuma ser pior do que parece, porque suas perdas se concentram em cenários raros e graves. Escrevê-la obriga a análise a mostrar seu custo.

Boas opções são genuinamente diferentes, e não uma opção favorita com dois espantalhos. Um teste útil: uma pessoa razoável e informada poderia preferir cada uma delas sob alguma visão plausível do mundo? Se não, o conjunto de opções é um exercício de justificação.

1.3 Objetivos em unidades de serviço

O NIST Cybersecurity Framework 2.0 coloca a função "Govern" (Governar) no centro da gestão de segurança e pede às organizações que entendam sua missão, suas partes interessadas e seu apetite a risco antes de escolher controles (NIST, CSF 2.0, 2024). Para um serviço essencial, a missão é entregue em unidades de serviço: litros de água conforme, megawatts-hora entregues, pacientes atendidos dentro das metas de tempo clínico, contêineres movimentados, pagamentos liquidados. Um objetivo expresso em unidades de serviço faz três coisas que um objetivo monetário não consegue. Mantém visíveis as pessoas que dependem do serviço; permite que os operadores — que pensam em unidades de serviço — confiram a análise; e expõe os casos em que dinheiro e dano divergem, por exemplo quando uma interrupção barata recai sobre pessoas que não conseguem lidar com ela (Capítulo 4).

Na prática, você usará ambos: unidades de serviço para a consequência e dinheiro para o custo. Mantenha-os em colunas separadas até que o tomador de decisão concorde com uma taxa de conversão, e registre essa taxa como um julgamento, não como um fato. O Cyber Assessment Framework do National Cyber Security Centre do Reino Unido faz um movimento semelhante ao organizar seus objetivos em torno da função essencial, e não dos ativos de TI (NCSC, Cyber Assessment Framework).

1.4 Três regras de decisão

Suponha que você tenha uma tabela de opções por cenários, com o custo anual total (custo do programa mais a perda) em cada célula. Três regras de decisão leem essa tabela de modos diferentes.

Valor esperado (VE). Pondere o resultado de cada cenário por sua probabilidade e some. Escolha a opção com o menor custo esperado. O VE é a regra certa quando você enfrenta muitas decisões semelhantes e independentes e consegue absorver a variação, porque ao longo de muitas repetições a média é o que você paga. É o padrão no raciocínio de seguros e de portfólio. Suas fraquezas: depende de probabilidades que, para eventos ciberfísicos raros, ninguém conhece bem; e trata uma pequena chance de catástrofe como intercambiável com uma pequena perda certa.

Minimax (pior caso). Escolha a opção cujo pior resultado seja o menos ruim. O minimax é adequado quando um resultado seria inaceitável independentemente de sua probabilidade — perda de vidas, perda da organização, perda da confiança pública na água potável. Sua fraqueza é ignorar por completo as probabilidades e poder comprar uma proteção cara contra um cenário quase impossível.

Arrependimento minimax. Para cada cenário, encontre a melhor opção; o arrependimento de uma opção nesse cenário é quanto ela é pior do que essa melhor. Escolha a opção cujo maior arrependimento seja o menor (Savage, 1951). O arrependimento captura como uma decisão parecerá depois — "deveríamos ter feito X" — e tende a favorecer opções equilibradas quando nenhum cenário domina. Sua fraqueza é que acrescentar ou retirar uma opção irrelevante pode mudar a resposta.

Nenhuma dessas regras é "a correta". Um especialista relata o que cada regra recomenda, explica por que elas diferem e ajuda o tomador de decisão a escolher uma regra antes de ver qual opção ela favorece. Quando as três concordam, a decisão é robusta. Quando discordam, a discordância é a coisa mais útil que você pode mostrar a um conselho.

1.5 Probabilidades que você não conhece: sensibilidade e limiares

As probabilidades de cenários de segurança raros são julgamentos, não medições. Três práticas as mantêm honestas. Primeiro, elicite com cuidado: peça intervalos, pergunte a várias pessoas de forma independente e pergunte pelas taxas de base antes do caso específico (O'Hagan et al., 2006). Segundo, mostre vários conjuntos de crenças — o do analista, o de um pessimista, a visão implícita do regulador — em vez de um só. Terceiro, e mais útil, encontre o limiar: a probabilidade em que a recomendação muda. Um conselho dificilmente consegue dizer se a probabilidade de comprometimento do acesso remoto de TO é de 3% ou de 6% ao ano, mas muitas vezes consegue dizer se ela está acima ou abaixo de um limiar declarado, sobretudo se você lhe mostrar as evidências por trás de cada visão — por exemplo, alertas públicos que descrevem o pré-posicionamento em redes de infraestrutura (CISA, AA24-038A, 2024).

1.6 Valor da informação

Antes de encomendar uma avaliação, um teste de intrusão ou um estudo de consultoria, pergunte o que ele poderia mudar. O valor esperado da informação perfeita (VEIP) é a diferença entre o custo esperado da melhor opção agora e o custo esperado se você pudesse saber, antes de escolher, qual cenário vai acontecer. É um limite superior para o que qualquer estudo vale para esta decisão: se o VEIP é de £50 mil, um estudo de £200 mil não pode se pagar apenas por meio desta decisão. Estudos reais dão informação imperfeita, então valem menos do que o VEIP; se um estudo não puder plausivelmente mover uma probabilidade para o outro lado do limiar encontrado na §1.5, ele vale pouco para a decisão, por mais interessante que seja. Esse é o raciocínio padrão da análise de decisão; o ponto para a prática é escrever, antes de comprar a informação, qual resultado mudaria qual escolha.

1.7 Erros de julgamento que distorcem as decisões de segurança

A pesquisa clássica sobre julgamento sob incerteza descreve heurísticas — disponibilidade, representatividade, ancoragem — que levam a erros sistemáticos (Tversky e Kahneman, 1974). Na segurança de serviços essenciais, elas aparecem em formas reconhecíveis:

• Disponibilidade depois de uma manchete. Um incidente amplamente noticiado em outro setor eleva a probabilidade percebida desse cenário e afasta cenários mais discretos e mais prováveis.
• Ancoragem no orçamento do ano passado ou na primeira cotação de um fornecedor.
• Substituição pela conformidade. Tratar "o regulador exige X" como se respondesse "X é o melhor uso da próxima libra". A conformidade é uma restrição (§1.2), não um objetivo.
• Contagem de controles. Preferir a opção que fecha mais constatações de auditoria em vez da que mais reduz a consequência.
• Otimismo sobre o recurso manual. Supor que os operadores conseguem operar uma planta à mão porque um dia conseguiram, sem um simulado recente (Capítulo 6).
• Pensamento de grupo e deferência. A pessoa mais graduada fala primeiro e os demais se ancoram nela.

Remédios estruturais funcionam melhor do que exortações: estimativas independentes antes da discussão; um cético designado; um pré-mortem, em que o grupo imagina que a decisão fracassou e escreve por quê (Klein, 2007); e um registro escrito das divergências.

1.8 O registro de decisão

Um registro de decisão é um documento curto, escrito no momento da decisão, que contém: a declaração da decisão; as opções e por que cada uma foi considerada; as evidências usadas, com as fontes; os julgamentos de probabilidade e de peso e quem os fez; o que cada regra de decisão recomendou; a análise de limiares; a escolha feita, por quem e com base em qual regra; o risco residual aceito e seu responsável; as divergências; e o gatilho de revisão — a observação que reabriria a decisão (por exemplo, "um alerta crível relatando o comprometimento de appliances de acesso remoto do tipo que usamos"). O registro protege os bons tomadores de decisão quando um evento raro acontece mesmo assim, e é o modo como as organizações aprendem: sem ele, a visão retrospectiva reescreve o que se sabia.

1.9 Exemplo resolvido: a escolha de programa da Merrow Water (sintético)

O envelope da Merrow Water permite uma de quatro opções para o próximo ano. O especialista e a equipe de operações montaram a tabela abaixo (milhares de libras por ano, incluindo o próprio custo de cada opção; menor é melhor). A opção A endurece o acesso remoto (sessões de fornecedores intermediadas, MFA resistente a phishing, remoção de contas permanentes). A opção B constrói a capacidade de operação manual (procedimentos, instrumentação local, simulados, cobertura de pessoal) para que as plantas continuem produzindo água segura quando os sistemas de controle forem perdidos. A opção C faz metade de cada. A opção D adia.

O raciocínio por trás de algumas células importa mais do que os números. B se sai bem sempre que os sistemas de controle são perdidos (ransomware, indisponibilidade), porque a planta continua funcionando à mão, mas mal quando eles são mal utilizados por um intruso, porque a capacidade manual não impede comandos maliciosos antes que sejam notados. A se sai bem contra o intruso, mas não contra a perda. D é a mais barata num ano tranquilo e catastrófica no cenário de TO, cujo custo inclui um aviso de fervura da água que afeta toda a zona de abastecimento de Hollin.

A equipe registrou três conjuntos de crenças para as probabilidades dos cenários: o do analista (15% / 3% / 10% / 72%), o de um pessimista (25% / 10% / 15% / 50%) e uma visão implícita do regulador, com mais peso no comprometimento de TO (10% / 8% / 5% / 77%). O Laboratório 1 calcula os resultados.

1.10 Atividade prática: uma decisão, três regras

Execute o laboratório e depois leia a interpretação.

# Lab 1 - one decision, three decision rules (offline, standard library only)
# Synthetic: Merrow Water's annual security investment choice. Figures are invented, in GBP thousands per year,
# and already include each option's own annual cost. Lower is better (cost + expected/realized loss).
OPTIONS = ["A remote-access hardening", "B manual-operations capability", "C half of each", "D defer"]
SCEN = ["IT ransomware", "OT remote-access compromise", "vendor/cloud outage", "quiet year"]
COST = {  # option -> loss in each scenario (k GBP)
    "A remote-access hardening":      [ 700,  240,  650, 170],
    "B manual-operations capability": [ 450,  900,  330, 230],
    "C half of each":                 [ 560,  520,  470, 200],
    "D defer":                        [1300, 2600,  780,   0],
}
BELIEFS = {
    "analyst":    [0.15, 0.03, 0.10, 0.72],
    "pessimist":  [0.25, 0.10, 0.15, 0.50],
    "regulator":  [0.10, 0.08, 0.05, 0.77],
}
def ev(o, p): return sum(c * q for c, q in zip(COST[o], p))
for name, p in BELIEFS.items():
    assert abs(sum(p) - 1) < 1e-9
    ranked = sorted(OPTIONS, key=lambda o: ev(o, p))
    print(f"{name:10s}", "  ".join(f"{o[0]}={ev(o, p):7.1f}" for o in OPTIONS), " best:", ranked[0][0])
best_in = [min(COST[o][s] for o in OPTIONS) for s in range(len(SCEN))]
regret = {o: max(COST[o][s] - best_in[s] for s in range(len(SCEN))) for o in OPTIONS}
worst = {o: max(COST[o]) for o in OPTIONS}
print("max regret:", "  ".join(f"{o[0]}={regret[o]}" for o in OPTIONS), " minimax-regret:", min(OPTIONS, key=regret.get)[0])
print("worst case:", "  ".join(f"{o[0]}={worst[o]}" for o in OPTIONS), " minimax:", min(OPTIONS, key=worst.get)[0])
# Robustness: sweep P(OT compromise) from 0 to 0.30, keeping the analyst's other ratios, and report the EV winner.
base = BELIEFS["analyst"]
prev = None
for k in range(0, 31):
    q = k / 100
    rest = [base[0], base[2], base[3]]; s = sum(rest)
    p = [rest[0] / s * (1 - q), q, rest[1] / s * (1 - q), rest[2] / s * (1 - q)]
    win = min(OPTIONS, key=lambda o: ev(o, p))[0]
    if win != prev:
        print(f"P(OT compromise)={q:.2f}: EV winner {win}")
        prev = win

Saída esperada:

analyst    A=  299.6  B=  293.1  C=  290.6  D=  351.0  best: C
pessimist  A=  381.5  B=  367.0  C=  362.5  D=  702.0  best: C
regulator  A=  252.6  B=  310.6  C=  275.1  D=  377.0  best: A
max regret: A=320  B=660  C=280  D=2360  minimax-regret: C
worst case: A=700  B=900  C=560  D=2600  minimax: C
P(OT compromise)=0.00: EV winner B
P(OT compromise)=0.03: EV winner C
P(OT compromise)=0.07: EV winner A

Interpretação. Sob as crenças do analista e do pessimista, C tem o menor custo esperado, mas por pouco: 290,6 contra 293,1 de B e 299,6 de A na visão do analista. Diferenças de £3 mil a £9 mil em estimativas tão grosseiras não são, por si sós, base para uma decisão. Sob as crenças do regulador, A vence. A varredura de limiares torna a estrutura visível: B vence apenas se a probabilidade de comprometimento de TO estiver abaixo de cerca de 3%; C entre cerca de 3% e 7%; A acima de cerca de 7%. O minimax e o arrependimento minimax escolhem ambos C, porque C nunca se sai muito mal. C é, portanto, a recomendação robusta: é a melhor ou quase a melhor sob todo conjunto de crenças e toda regra. O registro de decisão deve dizer exatamente isso e acrescentar o gatilho de revisão: evidências que empurrem a probabilidade de comprometimento de TO para acima de 7% (por exemplo, relatos críveis de exploração dos produtos de acesso remoto que a Merrow usa) movem a recomendação para A. Note também o que a tabela não consegue mostrar: o valor de C pressupõe que "metade de cada" entrega mais da metade do benefício de cada uma, o que é um julgamento que o diretor de operações precisa confirmar.

1.11 Erros comuns e limites

• Apresentar um único "escore de risco" por opção, o que esconde se o escore veio da frequência, da gravidade ou de uma ponderação arbitrária.
• Omitir a opção de adiar, ou atribuir-lhe custo zero.
• Escolher a regra de decisão depois de ver qual opção ela favorece.
• Relatar valores esperados até a libra quando os insumos são julgamentos grosseiros; relate, em vez disso, as diferenças que importam e os limiares.
• Tratar estatísticas de fornecedores ou de pesquisas com aparência precisa como probabilidades para a sua organização sem perguntar como foram produzidas (Capítulo 10).
• Deixar que os pesos do analista se tornem, em silêncio, a decisão.
• Escrever o registro de decisão depois, quando a visão retrospectiva já o moldou.

O principal limite da análise formal de decisão é que ela só é tão boa quanto o conjunto de opções e o modelo de consequências. Seu valor não está em produzir automaticamente a resposta certa, mas em tornar as razões de uma resposta inspecionáveis e revisáveis quando chegam novas evidências.

Exercícios — capítulo 1

EX001 — Enquadre uma decisão hospitalar. Objetivo: escrever uma declaração da decisão para uma escolha com cara de real. Insumos: a Merrow Health precisa decidir se substitui neste ano seu sistema de laboratório de patologia sem suporte ou se o isola e o substitui em dois anos. Restrições: usar os seis elementos da §1.2; pelo menos três opções genuinamente diferentes, incluindo adiar; objetivos em unidades de serviço. Passos: (1) escrever a declaração; (2) aplicar a cada opção o teste "uma pessoa razoável poderia preferi-la"; (3) listar duas restrições que não sejam objetivos. Evidência esperada: declaração da decisão de uma página. Rubrica: 3 = todos os seis elementos, opções genuinamente diferentes, objetivos em unidades de serviço (por exemplo, o tempo de liberação dos resultados urgentes), restrições distinguidas dos objetivos; 2 = um elemento fraco; 1 = as opções são espantalhos ou os objetivos estão apenas em dinheiro; 0 = ausente.

EX002 — Mude uma célula. Objetivo: ver como as regras de decisão respondem a uma estimativa de consequência revisada. Insumos: Laboratório 1. Restrições: mudar apenas o custo de D no cenário de TO, de 2.600 para 1.200 (os engenheiros acreditam que um aviso de fervura poderia ficar restrito a uma zona). Passos: (1) reexecutar; (2) relatar o vencedor pelo VE sob cada conjunto de crenças, o arrependimento máximo de cada opção e a escolha pelo arrependimento minimax; (3) explicar por que D ainda não vence. Evidência esperada: saídas e explicação de 150 palavras. Rubrica: 3 = números corretos e uma explicação que liga o arrependimento de D ao cenário de ransomware, e não apenas ao de TO; 2 = números certos, explicação rasa; 1 = não executado; 0 = nada.

EX003 — Valor da informação perfeita. Objetivo: delimitar quanto vale um estudo adicional. Insumos: a tabela do Laboratório 1 e as crenças do analista. Restrições: calcular à mão ou com um pequeno acréscimo ao laboratório. Passos: (1) calcular o custo esperado da melhor opção agora; (2) calcular o custo esperado se você soubesse o cenário antes de escolher; (3) relatar o VEIP; (4) um consultor oferece uma avaliação de ameaças de TO por £60 mil — explicar sob que condição ela poderia valer a compra para esta decisão. Evidência esperada: cálculo e parágrafo. Rubrica: 3 = VEIP correto e a compra ligada a se o estudo poderia mover a probabilidade de TO para o outro lado dos limiares de 3% ou 7%; 2 = VEIP certo, ligação fraca; 1 = erros aritméticos; 0 = nada.

EX004 — Registro de decisão com divergência. Objetivo: produzir um registro inspecionável. Insumos: o exemplo resolvido e a saída do Laboratório 1. Restrições: uma página; todos os elementos da §1.8. Passos: (1) escrever o registro da escolha de C; (2) incluir uma divergência realista do gerente de operações, que prefere B; (3) declarar o gatilho de revisão e o responsável pelo risco residual. Evidência esperada: registro de decisão. Rubrica: 3 = completo, honesto sobre as margens estreitas de VE, divergência declarada com justiça, gatilho mensurável; 2 = falta um elemento; 1 = parece advocacia; 0 = nada.

EX005 — Auditoria de vieses. Objetivo: reconhecer erros de julgamento numa reunião. Insumos: ata sintética: "O presidente abriu mencionando o recente caso de ransomware no oleoduto e disse que a segurança de TO é agora a prioridade máxima. A proposta de £400 mil do fornecedor foi tomada como ponto de partida. O gerente de operações disse que operar manualmente 'não é problema — fizemos isso em 2009'. A responsável pela auditoria interna observou que a opção A fecha nove das onze constatações em aberto. Nenhuma outra opinião foi registrada." Restrições: nomear no máximo cinco erros da §1.7 e propor um remédio estrutural para cada um. Passos: identificar, explicar, remediar. Evidência esperada: tabela. Rubrica: 3 = disponibilidade, ancoragem, otimismo sobre o recurso manual, contagem de controles e deferência/pensamento de grupo identificados com remédios estruturais (estimativas independentes, pré-mortem, evidência de simulado, pontuação baseada na consequência, divergência registrada); 2 = três ou quatro; 1 = conselhos genéricos; 0 = nada.

Síntese do capítulo

As decisões de segurança na escala da organização são irreversíveis, envolvem eventos raros, múltiplos objetivos e múltiplas partes interessadas, e pertencem a alguém com autoridade. A contribuição do especialista é a estrutura: uma declaração da decisão com opções genuinamente diferentes, incluindo adiar; objetivos em unidades de serviço; várias regras de decisão relatadas lado a lado; conjuntos de crenças em vez de uma única probabilidade; os limiares em que a recomendação muda; o valor de mais informação; defesas estruturais contra o julgamento enviesado; e um registro de decisão escrito no momento. Uma recomendação robusta é aquela que sobrevive a mudanças de regra e de crença; quando não sobrevive, mostre o limiar e deixe a pessoa responsável decidir com conhecimento de causa.

Continue estudando — capítulo 01 de 12

← Página do curso · Índice de capítulos do curso · Capítulo 02 →

Siga para a próxima lição escrita.