Capítulo 12 — Revisão final e transferência
Mapa da aula
Aula 12 publicada. Mapa, exemplo, EX056.
flowchart TD
N0["12.1 Revisar o todo"]
N1["12.2 Transferência"]
N2["12.3 Desenvolvimento contínuo"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX056"]
Desenho lógico
flowchart LR
N0["12.1 Revisar o todo"]
N1["12.2 Transferência"]
N2["12.3 Desenvolvimento contínuo"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX056"]
[12.1 Revisar o todo]
|
v
[12.2 Transferência]
|
v
[12.3 Desenvolvimento contínuo]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX056]
Objetivos de aprendizagem
Você vai (1) revisar o desenvolvimento do programa como um todo; (2) transferir as lições para outros contextos; (3) planejar o desenvolvimento profissional contínuo.
12.1 Revisar o todo
Daniel revisa os dois anos na Calloway. O programa passou das simulações e dos rankings de cliques para o reporte, o retorno rápido, os controles de verificação e as chaves de segurança, sob um estatuto e uma banca que inclui representantes dos funcionários. As medidas de resultado melhoraram: reportes mais rápidos, mais e-mails maliciosos reportados e falsas mudanças de pagamento barradas. O ônus caiu ligeiramente. Ele também lista o que não funcionou, como um esquema inicial de campeões que desmoronou porque os campeões não tinham tempo reservado para a função. Uma revisão do todo mostra como as partes interagiram ao longo do tempo.
12.2 Transferência
Daniel considera como as lições se transferem. Uma pequena instituição beneficente não teria equipe de segurança, de modo que as ideias centrais, reporte fácil, retorno gentil, verificação de pagamentos e autenticação forte, precisariam de formas mais simples. Um hospital enfrentaria a pressão de tempo clínica, o que tornaria o ônus ainda mais importante. Ele escreve um guia de transferência curto que separa os princípios dos detalhes específicos da Calloway. Transferir exige distinguir por que algo funcionou de como foi feito, já que o como muitas vezes depende dos recursos e da cultura locais. Ele testa o guia com um colega de uma instituição beneficente.
12.3 Desenvolvimento contínuo
Daniel planeja seu desenvolvimento contínuo: ler novas evidências a cada trimestre, incluindo o DBIR anual e novos estudos; participar de um grupo de gestores de segurança; e orientar um colega júnior em métodos centrados nas pessoas. A Dra. Holm sugere que ele escreva um artigo curto para profissionais sobre a avaliação escalonada, já que avaliações baseadas na prática são raras na literatura. Ele observa que o campo muda rapidamente à medida que os atacantes se adaptam, por isso seu aprendizado precisa continuar muito além do curso. Ele também reserva duas horas por mês na agenda para leitura e reflexão.
Exemplo resolvido
Daniel revisa o programa como um todo, escreve um guia de transferência que separa princípios de detalhes locais e planeja seu desenvolvimento contínuo.
Caso sintético. A revisão é sintética; o DBIR é real.
Erros e limites
As revisões podem ser autocomplacentes. Os guias de transferência simplificam demais.
Exercícios
- EX056 — Mudança do programa. De onde e para onde o programa mudou? Rubrica: 3 = de simulações e rankings para reporte, retorno, verificação e chaves;; 2 = mudança;; 1 = vago;; 0 = nenhuma.
- EX057 — Esquema que falhou. Que esquema inicial falhou, e por quê? Rubrica: 3 = campeões sem tempo reservado;; 2 = tempo;; 1 = vago;; 0 = nenhuma.
- EX058 — Diferença no hospital. O que importaria mais num hospital? Rubrica: 3 = o ônus, por causa da pressão de tempo clínica;; 2 = ônus;; 1 = vago;; 0 = nenhuma.
- EX059 — Distinção na transferência. O que a transferência precisa distinguir? Rubrica: 3 = por que algo funcionou de como foi feito;; 2 = princípio;; 1 = vago;; 0 = nenhuma.
- EX060 — Artigo sugerido. Que artigo a Dra. Holm sugeriu? Rubrica: 3 = sobre a avaliação escalonada;; 2 = avaliação;; 1 = vago;; 0 = nenhuma.
Síntese
A revisão final conecta as partes, separa princípios de detalhes e se compromete com o aprendizado contínuo.
Continue estudando — aula 12 (capítulo 12 de 12)
← Capítulo 11 · Índice das aulas · Próximo curso pelo índice →
O índice aponta para o próximo curso do percurso de estudos.
Resoluções
Respostas-modelo para EX001–EX060. Daniel Osei, a Dra. Ingrid Holm, a Westbrook School of Professional Studies, a Calloway Insurance e todos os números são sintéticos; as respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. As opções, os resultados que importam, as incertezas e as pessoas afetadas.
EX002. Porque os conselhos de segurança impõem aos usuários custos reais que muitas vezes são ignorados.
EX003. A verificação reduziu a perda esperada em cerca de 310 mil com 1.800 horas dos funcionários; as simulações, em cerca de 140 mil com 4.500 horas.
EX004. Evidências de que os resultados das simulações predizem perdas reais com fraude.
EX005. Para que o conselho possa questioná-la e revisores futuros possam compará-la com os resultados.
EX006. As taxas de clique por departamento nas simulações.
EX007. A avaliação de necessidades e a avaliação de resultados.
EX008. Lain, Kostiainen e Čapkun (2022) constataram que o treinamento embutido não reduzia os cliques posteriores.
EX009. Os cartazes da Calloway baseados no medo.
EX010. Porque o endereço de reporte é difícil de encontrar.
EX011. Condições randomizadas com milhares de funcionários ao longo de quinze meses.
EX012. Profundidade de explicação a partir de questionários e entrevistas.
EX013. Uma diferença de 6,0 pontos, com intervalo de 95% de cerca de -7,1 a 19,1 pontos.
EX014. Que o benefício real pode ser pequeno ou até nulo.
EX015. Porque a Calloway se parece com a grande empresa intensiva em e-mail que foi estudada.
EX016. No processo, que não tem verificação independente.
EX017. Porque explora as esperanças e ansiedades financeiras dos funcionários.
EX018. Expõem publicamente as equipes e minam a confiança, desestimulando os reportes.
EX019. Representantes dos funcionários e o RH, ao lado da segurança.
EX020. Os resultados das simulações nunca são usados em avaliações de desempenho.
EX021. Em evidências para o regulador.
EX022. Antes de qualquer pontuação.
EX023. Ficou em primeiro lugar nas dez variações de peso.
EX024. Dezoito meses.
EX025. O risco de sobrecarregar as equipes de projeto.
EX026. Por sorteio.
EX027. A proporção de e-mails maliciosos reais reportados por pelo menos uma pessoa, por escritório e por mês.
EX028. Cerca de 14,4 pontos percentuais, com apenas 0,1% dos embaralhamentos tão grandes quanto isso.
EX029. Não; usou apenas e-mails reais reportados.
EX030. Dois meses.
EX031. Que eles ficam fora dos processos de desempenho.
EX032. Papéis, responsabilidades, política e supervisão.
EX033. Descrever estruturas, e não definir o sucesso, que é mostrado pelos resultados.
EX034. Porque atrasava os pagamentos no fim do mês.
EX035. Um custo real que precisa ser tratado.
EX036. Em funções com alto volume de e-mail externo, como a regulação de sinistros.
EX037. Revisão da carga de trabalho, filtragem extra e autenticação resistente a phishing.
EX038. Gravar uma mensagem acolhendo as ligações de verificação.
EX039. Falta de pessoal, que levava a pedidos para cobrir ausências.
EX040. Apenas a atos deliberadamente danosos.
EX041. Ajudar as pessoas a fazer escolhas seguras com facilidade e a reportar rapidamente.
EX042. Reportando abertamente seus próprios quase incidentes.
EX043. Caiu de 52 para 31, 19 e 14 minutos.
EX044. Mostrar evidências de que os controles funcionam e os resultados melhoram.
EX045. Que riscos específicos foram reduzidos de forma mensurável, mas que nenhum programa elimina o engano.
EX046. Porque os resumos em outras fontes muitas vezes exageram os achados ou omitem limites.
EX047. Baseia-se em entrevistas em várias organizações e explica muitos comportamentos.
EX048. O orçamento é difícil de medir diretamente, e o artigo oferece um framework, e não previsões testadas.
EX049. Como uma lente para o design, e não como uma quantidade precisa.
EX050. No estatuto do programa, com citações.
EX051. O pessoal de sinistros e do financeiro, 240 pessoas.
EX052. Para ter uma reserva caso uma chave se perca.
EX053. As ligações subiram para 62 no primeiro mês e depois caíram para 31 no quarto mês, abaixo da base de 45.
EX054. Fraude por telefone, tratada pelos controles de verificação.
EX055. Os funcionários, o que reforça que o programa é feito com eles.
EX056. De simulações e rankings de cliques para reporte, retorno rápido, controles de verificação e chaves de segurança.
EX057. Um esquema de campeões que fracassou porque os campeões não tinham tempo reservado.
EX058. O ônus, por causa da pressão de tempo clínica.
EX059. Por que algo funcionou de como foi feito localmente.
EX060. Um artigo para profissionais sobre a avaliação escalonada.