Capítulo 9 — Infraestrutura crítica e segurança setorial: liderança e asseguração | Pós-graduação Segurança de infraestrutura crítica e setores

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX041.

flowchart TD
  N0["9.1 Liderar uma função especializada"]
  N1["9.2 Relatórios ao conselho"]
  N2["9.3 Sinal ou ruído"]
  N3["9.4 Casos de asseguração"]
  N4["9.5 Atualidade das evidências"]
  N5["9.6 Três linhas e revisão independente"]
  N6["9.8 Atividade prática: gráfico XmR e atualidade das"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX041"]

Desenho lógico

flowchart LR
  N0["9.1 Liderar uma função especializada"]
  N1["9.2 Relatórios ao conselho"]
  N2["9.3 Sinal ou ruído"]
  N3["9.4 Casos de asseguração"]
  N4["9.5 Atualidade das evidências"]
  N5["9.6 Três linhas e revisão independente"]
  N6["9.8 Atividade prática: gráfico XmR e atualidade das"]
  N7["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX041"]

[9.1 Liderar uma função especializada]
    |
    v
[9.2 Relatórios ao conselho]
    |
    v
[9.3 Sinal ou ruído]
    |
    v
[9.4 Casos de asseguração]
    |
    v
[9.5 Atualidade das evidências]
    |
    v
[9.6 Três linhas e revisão independente]
    |
    v
[9.8 Atividade prática: gráfico XmR e atualidade das]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX041]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

Liderar uma função de segurança num serviço essencial: definir a direção, construir capacidade e manter a confiança das operações e do conselho.
Reportar a um conselho em unidades de serviço, com um pequeno conjunto de indicadores que informem as decisões.
Distinguir uma mudança real de ruído num indicador de segurança usando um gráfico de comportamento do processo (XmR).
Construir um caso de asseguração para uma alegação de resiliência e manter a atualidade de suas evidências.
Usar o modelo das três linhas e a revisão independente sem transformar a asseguração em papelada.

Os Capítulos 7 e 8 integraram a segurança à organização e a testaram em casos difíceis. Este capítulo trata da pessoa responsável por ela ao longo dos anos: o que ela reporta, como ela sabe se as coisas estão melhorando e como ela mostra aos outros que as alegações são verdadeiras. O Capítulo 10 se volta, então, às evidências externas que um líder precisa ler.

9.1 Liderar uma função especializada

Um líder de segurança num serviço essencial lidera pessoas escassas, muitas vezes sobrecarregadas e que trabalham entre culturas diferentes — engenheiros de controle, pessoal de TI, operadores, fornecedores. Quatro responsabilidades predominam. Direção: um pequeno número de prioridades ligadas ao serviço e à sua consequência, revistas quando as evidências mudam (os gatilhos de revisão do Capítulo 1). Capacidade: as competências, as ferramentas e o tempo para fazer o trabalho, incluindo a sucessão, para que o conhecimento de um sistema crítico não viva numa única cabeça. Confiança: as operações precisam acreditar que a segurança entende a planta e não vai colocá-la em risco; o conselho precisa acreditar que os relatórios são francos. Responsabilização: responsabilidades claras (Capítulo 7) e um registro das decisões (Capítulo 1). Os códigos profissionais exigem honestidade sobre os limites (Código de Ética da ACM); para um líder, isso inclui dizer ao conselho o que não se sabe.

Construir capacidade em segurança de TO é em parte uma questão de misturar formações: engenheiros de controle que aprendem segurança e especialistas em segurança que aprendem o processo. Rodízios, exercícios conjuntos (Capítulo 6) e revisões de incidentes compartilhadas (Capítulo 3) fazem mais do que cursos sozinhos.

9.2 Relatórios ao conselho

Os conselhos precisam tomar decisões sobre apetite, investimento e responsabilização. Um bom relatório é curto e responde a quatro perguntas: Estamos dentro do apetite? (os limites de cauda e de distribuição do Capítulo 4, em unidades de serviço); O que mudou? (novas ameaças, incidentes, pressupostos); Nossos controles estão funcionando? (evidências verificadas, Capítulo 2; desempenho avaliado, Capítulo 6); O que vocês precisam decidir? Os indicadores devem ser poucos, definidos e ligados à consequência: cobertura verificada das práticas de maior peso; tempo para remediar vulnerabilidades conhecidamente exploradas em sistemas expostos, usando uma lista de referência como o catálogo da CISA (CISA, KEV); último simulado de operação manual bem-sucedido por local principal; tempo de recuperação demonstrado para os sistemas críticos; e decisões em aberto com seus responsáveis. Evite contagens que medem atividade em vez de resultado — número de alertas, treinamentos realizados, constatações fechadas.

9.3 Sinal ou ruído

Todo indicador varia de um mês para o outro. Reagir a cada alta desperdiça atenção; ignorar uma mudança real desperdiça tempo. Um gráfico de comportamento do processo (também chamado de gráfico de valores individuais e amplitude móvel, ou XmR) separa as duas coisas usando o próprio histórico do indicador. A partir de um período de base, calcule a média e a diferença absoluta média entre valores consecutivos (a amplitude móvel média); os limites naturais do processo são a média mais ou menos 2,66 vezes a amplitude móvel média. Pontos fora dos limites, ou longas sequências de um mesmo lado da média, sinalizam uma mudança que vale investigar; pontos dentro são variação rotineira (NIST/SEMATECH e-Handbook, control charts). Duas regras práticas: escolha a base num período considerado estável e não inclua o período que você está testando; e trate um sinal como um convite a investigar, não como prova de uma causa.

9.4 Casos de asseguração

Um caso de asseguração é um argumento estruturado de que uma alegação é verdadeira, apoiado por evidências. Ele segue a estrutura geral da argumentação — alegação, fundamentos, garantia, refutação (Toulmin, 2003) — aplicada a sistemas. Por exemplo: Alegação: "Hollin consegue fornecer água segura por 72 horas sem seu sistema de controle." Subalegações: a dosagem manual pode ser mantida pela equipe de qualquer turno; o estoque de produtos químicos dura 72 horas; os analisadores funcionam sem o SCADA; a equipe pode ser substituída. Evidências: relatórios de simulados com tempos e participantes; registros de estoque; testes dos analisadores; escala de turnos. Refutações consideradas: turno da noite com equipe mínima; perda de energia dos analisadores; incidente simultâneo em Fenley. Um caso de asseguração torna visível de quais evidências cada alegação depende, de modo que, quando as evidências envelhecem ou falham, as alegações afetadas são conhecidas.

9.5 Atualidade das evidências

As evidências se deterioram. Uma restauração testada há dezoito meses diz pouco sobre os backups de hoje; uma revisão de firewall anterior a uma mudança de rede diz pouco depois dela. Para cada alegação de asseguração, defina uma idade máxima das evidências relacionada à rapidez com que o sistema subjacente muda, e relate as evidências vencidas como uma lacuna, mesmo que não se saiba de nada errado. Um tipo de evidência de grau baixo (uma declaração formal) com uma idade permitida longa merece escrutínio especial: ele pode estar "atual" pela regra, mas ser fraco por natureza (os graus do Capítulo 2).

9.6 Três linhas e revisão independente

O Modelo das Três Linhas do Institute of Internal Auditors descreve os papéis da gestão (primeira linha: ser dona do risco e geri-lo), das funções especializadas de risco e conformidade (segunda linha: conhecimento especializado, apoio e questionamento) e da auditoria interna (terceira linha: asseguração independente), todos prestando contas a um órgão de governança (IIA, 2020). Para a segurança de serviços essenciais, o valor do modelo é a clareza: as operações são donas do risco de sua planta; a função de segurança define padrões, questiona e ajuda; a auditoria interna ou um revisor externo testa se o sistema funciona. O modelo falha quando a segunda linha faz o trabalho da primeira (de modo que ninguém nas operações é dono dele) ou quando a auditoria testa documentos em vez da realidade.

9.7 Exemplo resolvido: o pacote do conselho da Merrow Water (sintético)

O conselho da Merrow Water recebe mensalmente a mediana de dias para remediar vulnerabilidades conhecidamente exploradas nos sistemas voltados para a internet. Depois de uma leitura de 24 dias em dezembro, um conselheiro independente perguntou se as coisas estavam piorando ou se dezembro tinha sido um mês ruim. Na mesma reunião, o especialista apresentou as evidências por trás de seis alegações de asseguração. O Laboratório 9 examina as duas coisas.

A pergunta do conselheiro é a certa, e ela não pode ser respondida comparando apenas dezembro com novembro. O especialista precisa de uma base formada por meses em que não se sabia de nada incomum, então o gráfico usa os onze primeiros meses e deixa as leituras posteriores de fora. As seis alegações foram escolhidas porque cada uma apoia a afirmação do conselho de que a Merrow Water consegue se recuperar com segurança de um incidente cibernético; cada uma tem um tipo de evidência nomeado, uma data e uma idade máxima aceitável acordada com a auditoria interna.

9.8 Atividade prática: gráfico XmR e atualidade das evidências

# Lab 9 - is the assurance signal a change or noise? An XmR chart and evidence freshness (offline, stdlib only)
# Synthetic: Merrow Water's monthly median days to remediate known-exploited vulnerabilities on internet-facing
# systems, reported to the board, and the age of the evidence behind six assurance claims.
from datetime import date
MONTHS = ["Jan","Feb","Mar","Apr","May","Jun","Jul","Aug","Sep","Oct","Nov","Dec","Jan2","Feb2","Mar2"]
DAYS =   [  12,   9,  14,  11,  13,  10,   12,  15,   11,   9,   13,   24,   21,    23,    25]
BASE = 11  # first 11 months form the baseline
x = DAYS[:BASE]; mean = sum(x) / BASE
mr = [abs(b - a) for a, b in zip(x, x[1:])]; mrbar = sum(mr) / len(mr)
ucl, lcl = mean + 2.66 * mrbar, max(0, mean - 2.66 * mrbar)
print(f"baseline mean {mean:.2f} days, mean moving range {mrbar:.2f}, limits [{lcl:.2f}, {ucl:.2f}]")
run = 0
for m, d in zip(MONTHS, DAYS):
    flag = []
    if d > ucl or d < lcl: flag.append("outside limits")
    run = run + 1 if d > mean else 0
    if run >= 4: flag.append(f"{run} in a row above mean")
    print(f"  {m:5s} {d:3d} {'; '.join(flag)}")
TODAY = date(2026, 10, 12)
CLAIMS = [  # (claim, evidence type, date of evidence, maximum acceptable age in days)
    ("offline backups restorable", "restore test record", date(2026, 3, 2), 180),
    ("vendor sessions all brokered", "broker log reconciliation", date(2026, 9, 20), 31),
    ("no default credentials on PLCs", "engineer attestation", date(2025, 11, 5), 365),
    ("manual dosing drill passed", "drill report", date(2026, 6, 18), 365),
    ("IT/OT firewall rules reviewed", "rule review sign-off", date(2026, 1, 9), 180),
    ("MFA on all remote access", "IdP configuration export", date(2026, 10, 1), 90),
]
print("evidence freshness:")
for c, ev, d, mx in CLAIMS:
    age = (TODAY - d).days
    print(f"  {'STALE' if age > mx else 'ok   '} {age:4d}d / {mx:3d}d  {c} ({ev})")

Saída esperada:

baseline mean 11.73 days, mean moving range 3.10, limits [3.48, 19.97]
  Jan    12 
  Feb     9 
  Mar    14 
  Apr    11 
  May    13 
  Jun    10 
  Jul    12 
  Aug    15 
  Sep    11 
  Oct     9 
  Nov    13 
  Dec    24 outside limits
  Jan2   21 outside limits
  Feb2   23 outside limits; 4 in a row above mean
  Mar2   25 outside limits; 5 in a row above mean
evidence freshness:
  STALE  224d / 180d  offline backups restorable (restore test record)
  ok      22d /  31d  vendor sessions all brokered (broker log reconciliation)
  ok     341d / 365d  no default credentials on PLCs (engineer attestation)
  ok     116d / 365d  manual dosing drill passed (drill report)
  STALE  276d / 180d  IT/OT firewall rules reviewed (rule review sign-off)
  ok      11d /  90d  MFA on all remote access (IdP configuration export)

Interpretação. Ao longo da base de onze meses, o indicador teve média de 11,7 dias, com limites naturais de cerca de 3,5 a 20,0 dias. Os 24 dias de dezembro estão fora dos limites — um sinal, e não apenas um mês ruim —, e os três meses seguintes também estão fora, com uma sequência acima da média. Algo mudou em dezembro; as causas candidatas incluem a saída de um funcionário, uma mudança no conteúdo do catálogo de vulnerabilidades, uma nova classe de sistemas voltados para a internet ou uma mudança no modo como o indicador é calculado. O gráfico diz ao conselho que é preciso perguntar, não qual resposta está certa. Quanto às evidências, duas das seis alegações estão vencidas: o teste de restauração do backup offline (224 dias contra um limite de 180) e a revisão do firewall TI/TO (276 dias contra 180). A alegação sobre as credenciais padrão dos CLPs está dentro de seu limite de idade, mas se apoia na declaração formal de um engenheiro — o grau de evidência mais fraco — e vence em menos de um mês. O conselho deve ouvir três coisas: uma deterioração real no tempo de remediação desde dezembro, com uma investigação em andamento; duas alegações de asseguração vencidas, com datas de renovação; e uma alegação que precisa de evidências mais fortes, e não apenas mais novas.

9.9 Erros comuns e limites

Reportar contagens de atividade em vez de indicadores relacionados à consequência.
Reagir a cada alta mensal, ou descartar uma mudança real como ruído.
Incluir o período suspeito na base, o que alarga os limites e esconde o sinal.
Escrever alegações de asseguração sem evidências nomeadas, ou evidências sem data.
Tratar evidências atuais, mas fracas, como fortes.
Deixar a função de segurança ser dona do risco operacional em nome das operações.
Apresentar apenas boas notícias ao conselho.

O limite dos indicadores e dos gráficos é que eles resumem. Eles dizem a um líder onde olhar; o olhar — conversas com os operadores, visitas aos locais, leitura das revisões de incidentes — continua sendo o trabalho do líder.

Exercícios — capítulo 9

EX041 — Uma base contaminada. Objetivo: ver como a escolha da base afeta os sinais. Insumos: Laboratório 9. Restrições: mudar a base para os doze primeiros meses (incluindo dezembro). Passos: (1) reexecutar; (2) relatar a nova média, a amplitude móvel e os limites; (3) relatar quais meses posteriores estão agora fora dos limites; (4) explicar a lição. Evidência esperada: saída e parágrafo. Rubrica: 3 = média 12,75, amplitude móvel média de cerca de 3,82, limites de cerca de [2,6, 22,9]; dezembro ainda fora, mas janeiro (21) agora dentro; a lição de que incluir o período em teste alarga os limites e pode esconder uma mudança; 2 = números certos, lição ausente; 1 = não executado; 0 = nada.

EX042 — Relatório de uma página ao conselho. Objetivo: reportar em unidades de serviço para decisões. Insumos: as saídas do Laboratório 9, a cobertura verificada da Merrow Water no Capítulo 2 (39%), a avaliação do Capítulo 6, as constatações da RACI do Capítulo 7. Restrições: uma página; no máximo seis indicadores; terminar com as decisões solicitadas. Passos: escrever o relatório. Evidência esperada: relatório. Rubrica: 3 = situação do apetite em unidades de serviço, sinal relatado com incerteza sobre a causa, evidências vencidas e fracas identificadas, decisões específicas com responsáveis; 2 = métricas de atividade incluídas; 1 = tranquilização sem evidências; 0 = nada.

EX043 — Caso de asseguração. Objetivo: construir um argumento estruturado. Insumos: a alegação "Hollin consegue fornecer água segura por 72 horas sem seu sistema de controle". Restrições: pelo menos quatro subalegações, cada uma com o tipo de evidência, a idade máxima e a situação atual; pelo menos três refutações. Passos: construir o caso como uma tabela ou uma árvore. Evidência esperada: caso de asseguração. Rubrica: 3 = as subalegações cobrem pessoas, materiais, instrumentos e duração; evidências de grau verificado onde possível, com idades; refutações realistas (turno da noite, energia dos analisadores, incidente simultâneo) com respostas; 2 = evidências sem data; 1 = repete a alegação; 0 = nada.

EX044 — Três linhas na prática. Objetivo: atribuir os papéis de asseguração. Insumos: as seis alegações de asseguração do Laboratório 9. Restrições: usar o Modelo das Três Linhas. Passos: para cada alegação, atribuir o dono na primeira linha, a atividade de questionamento da segunda linha e o método de teste da terceira linha; identificar uma alegação em que a segunda linha esteja hoje fazendo o trabalho da primeira. Evidência esperada: tabela e parágrafo. Rubrica: 3 = os donos são papéis operacionais, os métodos de questionamento e de teste são distintos, um exemplo crível de confusão de papéis (por exemplo, a equipe de segurança executando testes de restauração que deveriam ser das operações); 2 = linhas confundidas numa linha da tabela; 1 = genérico; 0 = nada.

EX045 — Capacidade e sucessão. Objetivo: reduzir a dependência de uma única pessoa. Insumos: o único engenheiro da Merrow Water que entende a lógica do controlador de dosagem de Hollin pretende se aposentar em 18 meses. Restrições: orçamento para um cargo adicional; as operações não podem ser perturbadas. Passos: (1) identificar qual conhecimento está em risco e como capturá-lo; (2) desenhar um plano de desenvolvimento para dois sucessores; (3) definir as evidências de que a sucessão funcionou. Evidência esperada: plano. Rubrica: 3 = conhecimento capturado como artefatos verificados (lógica anotada, procedimentos de teste, demonstrações gravadas), trabalho em dupla e mudanças supervisionadas, evidências como uma mudança conduzida por um sucessor e um simulado sem o engenheiro que se aposenta; 2 = apenas cursos; 1 = apenas documentação; 0 = nada.

Síntese do capítulo

Liderar a segurança de um serviço essencial significa definir uma direção ligada à consequência, construir uma capacidade que sobreviva às saídas de pessoas e manter a confiança das operações e do conselho. Reporte ao conselho em unidades de serviço, com poucos indicadores e decisões explícitas. Use gráficos de comportamento do processo para distinguir mudança de ruído, com uma base limpa. Construa casos de asseguração que liguem cada alegação a evidências datadas de grau conhecido, e relate as evidências vencidas ou fracas como lacunas. Use as três linhas para manter a responsabilidade com as operações, o questionamento com os especialistas e os testes independentes com a auditoria.