Capítulo 4 — Risco avançado e ética
Mapa da aula
Aula 04 publicada. Mapa, exemplo, EX016.
flowchart TD
N0["4.1 Por que estimativas pontuais enganam"]
N1["4.2 Apetite e tolerância em unidades de serviço"]
N2["4.3 O julgamento de especialistas como evidência"]
N3["4.4 Ética na segurança de serviços essenciais"]
N4["4.5 Quem arca com o risco residual"]
N5["4.7 Atividade prática: excedência de perdas e distri"]
N6["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX016"]
Desenho lógico
flowchart LR
N0["4.1 Por que estimativas pontuais enganam"]
N1["4.2 Apetite e tolerância em unidades de serviço"]
N2["4.3 O julgamento de especialistas como evidência"]
N3["4.4 Ética na segurança de serviços essenciais"]
N4["4.5 Quem arca com o risco residual"]
N5["4.7 Atividade prática: excedência de perdas e distri"]
N6["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX016"]
[4.1 Por que estimativas pontuais enganam]
|
v
[4.2 Apetite e tolerância em unidades de serviço]
|
v
[4.3 O julgamento de especialistas como evidência]
|
v
[4.4 Ética na segurança de serviços essenciais]
|
v
[4.5 Quem arca com o risco residual]
|
v
[4.7 Atividade prática: excedência de perdas e distri]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX016]
Objetivos de aprendizagem e conexão
Ao final deste capítulo, você deverá ser capaz de:
- Construir uma estimativa quantificada de risco com incerteza explícita de frequência e de gravidade, e lê-la como uma curva de excedência de perdas, e não como um número único.
- Expressar o apetite e a tolerância a risco em unidades de serviço, com limites sobre a cauda, e não apenas sobre a média.
- Elicitar e documentar o julgamento de especialistas de modo que ele possa ser contestado.
- Analisar quem arca com o risco residual e reconhecer quando uma opção melhor na média é pior para um grupo específico.
- Aplicar princípios éticos reconhecidos às decisões, aos testes e à divulgação de segurança em serviços essenciais.
O Capítulo 1 comparou opções numa tabela de cenários. Este capítulo substitui a tabela por distribuições e acrescenta a pergunta que as tabelas de decisão escondem: para quem uma opção é melhor? O Capítulo 8 aplica ambas as coisas a casos em que toda escolha prejudica alguém.
4.1 Por que estimativas pontuais enganam
Uma entrada de registro de riscos como "probabilidade 3, impacto 4, escore 12" esconde três coisas de que uma decisão precisa: com que frequência, quão grave e quão incerto. As orientações de avaliação de riscos do NIST descrevem o risco como função da ameaça, da vulnerabilidade, da probabilidade e do impacto, e advertem que as avaliações precisam declarar pressupostos e incerteza (NIST SP 800-30 Rev. 1). Multiplicar escores ordinais também faz aritmética com números que são apenas rótulos.
Um modelo mínimo melhor tem duas partes: uma distribuição de frequência para quantos eventos de perda ocorrem num ano e uma distribuição de gravidade para quão grave cada um é. Na infraestrutura, a gravidade costuma ser assimétrica à direita: a maioria das interrupções é curta, e poucas são muito longas. A distribuição lognormal é uma escolha comum e simples para grandezas assim; seus parâmetros devem ser ancorados em evidências (durações de interrupções passadas, resultados de exercícios, incidentes de pares), e a própria escolha deve ser registrada como um pressuposto. Simular muitos anos dá uma distribuição da perda anual, que você pode resumir de três modos: a média (o que você paga em média), a probabilidade de exceder limiares que importam e um percentil alto, como o 99º (um ano ruim de uma vez em cem anos). Plotar a probabilidade de excedência contra a perda dá a curva de excedência de perdas (LEC, na sigla em inglês).
4.2 Apetite e tolerância em unidades de serviço
O apetite a risco é a quantidade e o tipo de risco que uma organização está disposta a buscar ou a reter; a tolerância fixa os limites da variação aceitável. O NIST CSF 2.0 coloca ambos sob a governança (NIST, 2024). Para um serviço essencial, as declarações de apetite devem estar em unidades de serviço e devem restringir a cauda. Por exemplo (sintético): "A Merrow Water não aceitará uma chance anual superior a 2% de uma interrupção de origem cibernética que exceda um milhão de domicílios-hora de fornecimento, nem nenhum cenário crível em que os domicílios de um único distrito fiquem sem fornecimento por mais de 48 horas sem provisão alternativa." A primeira cláusula limita a LEC; a segunda limita a distribuição — um tema ao qual voltamos na §4.5.
4.3 O julgamento de especialistas como evidência
Onde os dados são escassos, os parâmetros de frequência e de gravidade vêm de pessoas. A elicitação estruturada — definir as grandezas com precisão, treinar os especialistas em calibração, pedir quantis em vez de valores únicos, agregar vários especialistas e registrar a justificativa — torna o julgamento inspecionável (O'Hagan et al., 2006). Regras práticas para o especialista: pergunte sobre grandezas observáveis ("quantas horas para restaurar o fornecimento de Upper Merrow após a perda total do SCADA?") em vez de probabilidades abstratas; peça primeiro um intervalo de 90% e depois uma mediana; peça as taxas de base de operadores comparáveis; e registre a pessoa, a data, a pergunta e a justificativa, para que a estimativa possa ser revista quando chegarem evidências.
4.4 Ética na segurança de serviços essenciais
As decisões de segurança na infraestrutura distribuem danos. Vários frameworks estabelecidos ajudam a raciocinar sobre elas:
- O Menlo Report adaptou os princípios da ética em pesquisa — respeito às pessoas, beneficência, justiça — à pesquisa em tecnologia da informação e comunicação e acrescentou o respeito à lei e ao interesse público (Dittrich e Kenneally, 2012). Seus princípios se aplicam diretamente aos testes e à coleta de dados em ambientes operacionais.
- Códigos profissionais como o Código de Ética da ACM e o Código de Ética para Engenheiros da NSPE colocam o bem-estar e a segurança do público acima dos interesses do empregador ou do cliente, e exigem honestidade sobre os limites da própria competência e da segurança de um sistema.
- A legislação de proteção de dados impõe deveres ao tratamento de dados pessoais no monitoramento de segurança e no tratamento de incidentes (GDPR, Regulamento (UE) 2016/679); no Brasil, a LGPD, Lei nº 13.709/2018, fiscalizada pela ANPD, exige uma base legal para o tratamento (art. 7º) e medidas de segurança técnicas e administrativas (art. 46). Frameworks de privacidade como o NIST Privacy Framework ajudam a gerir esses deveres no projeto.
Para um especialista, quatro perguntas éticas se repetem. Distribuição: quem arca com o risco residual da opção escolhida, e essas pessoas tiveram voz? Proporcionalidade: a intrusão de uma medida de segurança — o monitoramento dos funcionários, a restrição do acesso de pacientes ou clientes — é proporcional ao dano que ela evita? Honestidade: os riscos e as incertezas são comunicados com veracidade aos tomadores de decisão e, quando apropriado, ao público? Divulgação: quando você descobre uma fraqueza que também afeta outros — um produto de fornecedor usado por outras concessionárias —, como protegê-los sem armar os atacantes? Os processos de divulgação coordenada de vulnerabilidades existem exatamente para esse caso (CISA, CVD Program).
4.5 Quem arca com o risco residual
Medidas agregadas — total de domicílios-hora perdidos, perda esperada — podem favorecer opções que protegem áreas densas e bem atendidas, porque proteger muita gente um pouco pontua mais do que proteger pouca gente muito. Um especialista deve, portanto, relatar, ao lado dos totais, a carga per capita por grupo (distrito, tipo de cliente) e a carga sobre as pessoas menos capazes de lidar com a situação, como os domicílios com dependência médica de água ou de energia. Nem os totais nem as medidas per capita resolvem a questão; a escolha entre eles é um julgamento de valor que pertence ao tomador de decisão responsável, informado pelos deveres legais (por exemplo, os deveres para com clientes vulneráveis) e pelo apetite declarado da organização. O dever ético do especialista é tornar a distribuição visível, para que o trade-off seja escolhido com conhecimento de causa.
4.6 Exemplo resolvido: duas opções com o mesmo orçamento (sintético)
A Merrow Water atende três distritos. Harbour é urbano (60.000 domicílios); Fenley, suburbano (25.000); Upper Merrow, rural (6.000 domicílios numa única adutora, com uma telemetria lenta de restaurar e longos tempos de deslocamento das equipes). As interrupções de fornecimento de origem cibernética são modeladas como eventos de Poisson com duração lognormal (mediana de 8 horas). A restauração de Upper Merrow hoje leva três vezes mais tempo. Duas opções custam o mesmo:
- X: endurecer o SCADA central — reduz a frequência dos eventos de 0,30 para 0,20 por ano em toda parte; não faz nada pela longa restauração de Upper Merrow.
- Y: segunda alimentação e controle local para Upper Merrow — mantém a frequência em 0,30, mas reduz a restauração de Upper Merrow a 0,75 da duração base.
Os domicílios vulneráveis (com necessidades médicas ou de cuidado registradas) são contados separadamente: 900 em Harbour, 500 em Fenley, 400 em Upper Merrow.
4.7 Atividade prática: excedência de perdas e distribuição
# Lab 4 - same budget, different people: loss exceedance and the distribution of harm (offline, stdlib only)
# Synthetic: Merrow Water supply interruptions caused by cyber events. Two options cost the same.
import random, math
random.seed(4)
YEARS = 20000
DISTRICTS = { # name: (households, share of interruption events that hit this district, vulnerable households)
"Harbour (urban)": (60000, 0.40, 900),
"Fenley (suburban)": (25000, 0.25, 500),
"Upper Merrow (rural, single main)": (6000, 0.35, 400),
}
def poisson(lam):
L, k, p = math.exp(-lam), 0, 1.0
while True:
p *= random.random()
if p < L: return k
k += 1
def simulate(freq, hours_mu, hours_sigma, rural_hours_factor):
annual_hh_hours = []; per_district = {d: 0.0 for d in DISTRICTS}; vuln = {d: 0.0 for d in DISTRICTS}
for _ in range(YEARS):
total = 0.0
for _ in range(poisson(freq)):
hours = random.lognormvariate(hours_mu, hours_sigma)
r = random.random(); acc = 0
for d, (hh, share, v) in DISTRICTS.items():
acc += share
if r < acc:
h = hours * (rural_hours_factor if d.startswith("Upper") else 1.0)
per_district[d] += hh * h; vuln[d] += v * h; total += hh * h
break
annual_hh_hours.append(total)
return annual_hh_hours, per_district, vuln
OPTIONS = {
"X: harden central SCADA (fewer events)": (0.20, math.log(8), 0.9, 3.0),
"Y: second feed + local control Upper Merrow": (0.30, math.log(8), 0.9, 0.75),
}
for name, args in OPTIONS.items():
loss, per, vul = simulate(*args)
loss.sort()
mean = sum(loss) / YEARS
p_any = sum(1 for x in loss if x > 0) / YEARS
p_big = sum(1 for x in loss if x > 1_000_000) / YEARS
p99 = loss[int(0.99 * YEARS)]
print(name)
print(f" mean household-hours/yr {mean:9.0f} P(any)={p_any:.3f} P(>1M hh-h)={p_big:.4f} 99th pct {p99:9.0f}")
for d, (hh, share, v) in DISTRICTS.items():
print(f" {d:34s} hours per household/yr {per[d]/YEARS/hh:5.2f} vulnerable-household-hours/yr {vul[d]/YEARS:7.0f}")
Saída esperada:
X: harden central SCADA (fewer events)
mean household-hours/yr 88346 P(any)=0.183 P(>1M hh-h)=0.0204 99th pct 1498603
Harbour (urban) hours per household/yr 0.97 vulnerable-household-hours/yr 872
Fenley (suburban) hours per household/yr 0.64 vulnerable-household-hours/yr 318
Upper Merrow (rural, single main) hours per household/yr 2.39 vulnerable-household-hours/yr 956
Y: second feed + local control Upper Merrow
mean household-hours/yr 117262 P(any)=0.261 P(>1M hh-h)=0.0305 99th pct 1920694
Harbour (urban) hours per household/yr 1.48 vulnerable-household-hours/yr 1332
Fenley (suburban) hours per household/yr 0.91 vulnerable-household-hours/yr 453
Upper Merrow (rural, single main) hours per household/yr 0.96 vulnerable-household-hours/yr 386
Interpretação. Em toda medida agregada, X é melhor: perda média de 88.346 contra 117.262 domicílios-hora por ano; chance anual de 2,0% contra 3,1% de exceder um milhão de domicílios-hora; um 99º percentil mais baixo. Diante do apetite da §4.2, X fica sobre o limite de cauda de 2% (0,0204, dentro do erro de simulação do limite) e Y o viola claramente. Mas a distribuição inverte o retrato. Sob X, um domicílio de Upper Merrow perde em média 2,39 horas por ano — mais que o dobro de um domicílio urbano e quase quatro vezes um suburbano —, e os 400 domicílios vulneráveis de Upper Merrow arcam com 956 domicílios vulneráveis-hora por ano, mais do que os 900 domicílios de Harbour. Y reduz a carga rural a 0,96 hora por domicílio e os domicílios vulneráveis-hora rurais a 386, ao custo de cargas maiores nos outros distritos. O total de domicílios vulneráveis-hora é quase idêntico (cerca de 2.146 sob X e 2.171 sob Y): as opções não diferem muito em quanto dano recai sobre as pessoas vulneráveis no conjunto, mas diferem fortemente em quais pessoas vulneráveis arcam com ele. A segunda cláusula do apetite — nenhum distrito sem fornecimento além de 48 horas — exigiria olhar para a cauda de Upper Merrow, que o resumo não mostra; essa é a extensão do EX016.
A análise não decide entre X e Y. Ela mostra que "X é melhor" só é verdade sob uma visão utilitarista agregada e que a escolha concentra o risco numa pequena população rural. Uma recomendação defensável poderia combinar X com medidas não técnicas mais baratas para Upper Merrow (água engarrafada pré-posicionada, um cadastro prioritário de domicílios vulneráveis), e precisa registrar o julgamento de valor.
4.8 Erros comuns e limites
- Multiplicar escores ordinais e tratar o produto como uma grandeza.
- Relatar apenas a perda anual média para um risco de cauda pesada.
- Declarar o apetite a risco como uma cor ou um adjetivo, e não como um limite em unidades de serviço.
- Tratar números elicitados como dados e descartar o registro da elicitação.
- Relatar apenas o benefício agregado, de modo que o dano concentrado em pequenos grupos fique invisível.
- Apresentar um julgamento de valor (agregado versus distribuição) como um resultado técnico.
- Segurar uma vulnerabilidade que afeta outros operadores porque a divulgação é incômoda.
Os limites do modelo são os de seus pressupostos: a independência de Poisson ignora campanhas que atingem vários locais ao mesmo tempo; a lognormal pode subestimar as interrupções mais longas; as participações dos distritos são julgamentos. Mude-os e os números se movem; o método de mostrar a distribuição ao lado dos totais não.
Exercícios — capítulo 4
EX016 — Melhoria rural parcial. Objetivo: ver como a distribuição responde a uma opção mais fraca. Insumos: Laboratório 4. Restrições: mudar o fator de duração rural de Y de 0,75 para 1,5 (a segunda alimentação atrasa; só o controle local é entregue). Passos: (1) reexecutar; (2) relatar as horas por domicílio e os domicílios vulneráveis-hora de Upper Merrow sob o Y modificado; (3) comparar com X e com o Y original; (4) estender o laboratório para relatar a probabilidade de que Upper Merrow tenha, num ano, uma única interrupção de mais de 48 horas sob X e sob Y. Evidência esperada: saídas e parágrafo. Rubrica: 3 = números do Y modificado corretos (1,93 hora; 771 domicílios vulneráveis-hora), ainda melhor para Upper Merrow do que X, mas muito menos do que o Y original, extensão de 48 horas implementada com uma verificação correta por evento; 2 = falta a extensão; 1 = não executado; 0 = nada.
EX017 — Memorando de análise ética. Objetivo: aplicar princípios éticos à escolha entre X e Y. Insumos: §4.4–4.7. Restrições: 400 palavras; princípios do Menlo Report e de um código profissional. Passos: (1) identificar os grupos afetados e sua voz; (2) analisar a beneficência e a justiça; (3) declarar o julgamento de valor que o conselho precisa fazer; (4) recomendar uma opção combinada com medidas não técnicas. Evidência esperada: memorando. Rubrica: 3 = grupos específicos, trade-off entre a visão agregada e a distributiva nomeado como um julgamento, recomendação combinada concreta, dever de honestidade para com o conselho observado; 2 = princípios listados, mas não aplicados; 1 = afirma X ou Y como tecnicamente correto; 0 = nada.
EX018 — Protocolo de elicitação. Objetivo: obter parâmetros de gravidade defensáveis. Insumos: a pergunta "quanto tempo levaria para restaurar o fornecimento de Upper Merrow após a perda total do SCADA?". Restrições: três especialistas; grandeza observável; quantis. Passos: (1) definir a grandeza com precisão; (2) escrever o roteiro de elicitação, incluindo uma pergunta de calibração; (3) explicar como você agregaria e registraria. Evidência esperada: protocolo. Rubrica: 3 = grandeza inequívoca (eventos de início e de fim definidos), quantis de 5%, 50% e 95% pedidos, elicitação independente antes da discussão, calibração e registro mantidos; 2 = pedidos valores únicos; 1 = probabilidade de um evento vago; 0 = nada.
EX019 — Declaração de apetite. Objetivo: escrever o apetite e a tolerância em unidades de serviço. Insumos: a Merrow Health (três hospitais, uma dependência de serviço de ambulâncias). Restrições: pelo menos um limite de cauda e um limite de distribuição; mensuráveis a partir dos próprios dados da organização. Passos: redigir; depois testá-la contra um cenário plausível e dizer se ela é violada. Evidência esperada: declaração e teste. Rubrica: 3 = unidades de serviço (por exemplo, horas de desvio do departamento de emergência, tratamentos tempo-dependentes atrasados), limites de cauda e de distribuição mensuráveis, teste honesto; 2 = apenas médias; 1 = adjetivos; 0 = nada.
EX020 — Dilema de divulgação. Objetivo: lidar com uma fraqueza que afeta outros. Insumos: durante uma revisão, a Merrow Water descobre que a ferramenta de suporte remoto da Corvane aceita uma credencial padrão numa porta de manutenção; a Corvane dá suporte a outras concessionárias da região. Restrições: nenhum teste além dos sistemas da própria Merrow; nenhuma divulgação pública antes de um processo coordenado. Passos: (1) ações de proteção imediatas para a Merrow; (2) via de notificação à Corvane e, se necessário, a um coordenador; (3) o que dizer ao fórum de resiliência, e quando; (4) justificativa ética. Evidência esperada: plano. Rubrica: 3 = proteger primeiro os próprios sistemas, notificação privada ao fornecedor com evidências, uso de um processo de divulgação coordenada se o fornecedor não agir, fórum informado de um modo que proteja os outros sem publicar detalhes de exploração, princípios citados; 2 = falta uma etapa; 1 = testa os sistemas de outras concessionárias ou publica; 0 = nada.
Síntese do capítulo
Quantifique o risco como frequência e gravidade com incerteza explícita, e leia-o pela curva de excedência de perdas, não por um escore único. Escreva o apetite e a tolerância em unidades de serviço, com limites sobre a cauda e sobre a distribuição. Trate o julgamento de especialistas como evidência que precisa ser elicitada com cuidado e registrada. Mostre quem arca com o risco residual — per capita e para os menos capazes de lidar com ele —, porque opções melhores na média podem concentrar o dano. Aplique princípios éticos reconhecidos às escolhas, aos testes e à divulgação, e mantenha os julgamentos de valor visíveis como julgamentos para o tomador de decisão responsável.
Continue estudando — capítulo 04 de 12
← Capítulo 03 · Índice de capítulos do curso · Capítulo 05 →
Siga para a próxima lição escrita.