Capítulo 1 — Tomada de decisão avançada em segurança

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Decisões, não constatações"]
  N1["1.2 A perda esperada é necessária, mas não suficient"]
  N2["1.3 Lendo a comparação"]
  N3["1.4 Valor da informação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Decisões, não constatações"]
  N1["1.2 A perda esperada é necessária, mas não suficient"]
  N2["1.3 Lendo a comparação"]
  N3["1.4 Valor da informação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX001"]

[1.1 Decisões, não constatações]
    |
    v
[1.2 A perda esperada é necessária, mas não suficient]
    |
    v
[1.3 Lendo a comparação]
    |
    v
[1.4 Valor da informação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) enquadrar uma decisão de segurança de TO com opções, critérios, incerteza e um responsável pela decisão; (2) comparar opções pela perda esperada e pelo pior caso plausível ao mesmo tempo; (3) registrar uma decisão de modo que ela possa ser auditada depois; e (4) reconhecer quando uma decisão deve ser adiada para reunir informações.

1.1 Decisões, não constatações

No nível de pós-graduação, a entrega raramente é uma lista de vulnerabilidades; é uma decisão que alguém com orçamento e responsabilidade precisa tomar. Na Bayside Water Reclamation Plant (BWRP), sintética, o líder de segurança de TO Daniel Osei precisa decidir como os fornecedores chegam ao controlador de dosagem química PLC-D. Um enquadramento de decisão nomeia o responsável (o diretor da planta), as opções, os critérios, o que é incerto e a data até a qual a decisão deve ser tomada.

Para a decisão sobre o acesso dos fornecedores, o enquadramento também precisa do prazo que a força, como o vencimento do contrato atual de VPN, e das pessoas que devem ser consultadas: operações, o gestor de fornecedores e a engenharia. Escrever o enquadramento antes da análise impede que Daniel escolha os critérios depois de saber qual opção eles favorecem.

1.2 A perda esperada é necessária, mas não suficiente

A perda anual esperada — probabilidade vezes perda, somada sobre os cenários — permite comparar numa mesma escala opções com custos diferentes. Mas as concessionárias públicas não são neutras ao risco: um evento raro que contamina o efluente lançado numa baía, desencadeia uma ação regulatória e corrói a confiança pública pode ser inaceitável com qualquer probabilidade acima de um limiar. Por isso, os líderes relatam a perda esperada junto com o pior caso plausível e qualquer restrição regulatória ou de segurança que se imponha independentemente da aritmética.

"""Lab 01: compare three synthetic BWRP options by expected annual loss and worst credible case."""
options = {  # name: (annual cost, [(probability per year, loss if it happens)])
    "A keep vendor VPN":        (10_000, [(0.10, 400_000), (0.02, 2_500_000)]),
    "B brokered sessions":      (35_000, [(0.03, 400_000), (0.005, 2_500_000)]),
    "C no remote access":       (90_000, [(0.01, 400_000), (0.004, 2_500_000)]),
}
for name, (cost, events) in options.items():
    eal = sum(p * l for p, l in events)
    worst = max(l for _, l in events)
    print(f"{name:20} cost={cost:>7,} expected_loss={eal:>9,.0f} total={cost+eal:>9,.0f} worst_case={worst:,}")

Execute com python3 lab_decide.py. Saída verificada:

A keep vendor VPN    cost= 10,000 expected_loss=   90,000 total=  100,000 worst_case=2,500,000
B brokered sessions  cost= 35,000 expected_loss=   24,500 total=   59,500 worst_case=2,500,000
C no remote access   cost= 90,000 expected_loss=   14,000 total=  104,000 worst_case=2,500,000

1.3 Lendo a comparação

A opção B tem o menor total (59.500) porque o custo do seu controle compra uma grande redução na probabilidade de incidente. A opção C elimina mais risco, mas custa mais do que economiza sob essas estimativas. As três compartilham o mesmo pior caso, porque o cenário catastrófico continua possível por outros caminhos; nenhuma escolha de acesso remoto o elimina. Essa observação manda o líder olhar para salvaguardas independentes, e não para mais gastos com acesso remoto.

Os números também mostram quão sensível é a classificação. A opção A perde por causa das suas probabilidades de incidente; se as duas estimativas fossem reduzidas à metade, o total de A cairia para 55.000 e ultrapassaria os 59.500 de B. É por isso que o registro de Daniel nomeia um gatilho de revisão atrelado à estimativa de incidentes, e é por isso que a próxima pergunta é quão firmes essas probabilidades realmente são.

1.4 Valor da informação

Se as estimativas de probabilidade são contestadas — e, para ataques direcionados, sempre são —, pergunte se a decisão mudaria caso elas se movessem dentro da sua faixa plausível. Se B vence em toda essa faixa, decida agora. Se a classificação se inverte, um estudo curto (revisão dos registros dos fornecedores, um exercício de mesa) pode valer mais do que uma compra imediata.

Para a BWRP, a pergunta é se B ainda vence caso a probabilidade de incidente com fornecedores da opção A seja menor do que a estimada. Daniel pode testar isso no laboratório mudando um número de cada vez e anotando onde a classificação se inverte. Se uma inversão exigir uma estimativa fora do que os pares do setor relatam, a decisão se mantém; se não, duas semanas revisando os registros dos fornecedores podem ser o melhor primeiro gasto.

Exemplo resolvido (BWRP sintética)

Registro de decisão de Daniel: "D-2026-14. Responsável: diretor da planta. Decisão: adotar sessões intermediadas para fornecedores (B). Base: menor custo total esperado sob as estimativas do anexo 1; mesmo pior caso entre as opções, de modo que uma ação separada (D-2026-15) revisa o intertravamento de limite alto da dosagem. Revisar se a estimativa de frequência de incidentes com fornecedores passar de 0,06 por ano ou após qualquer incidente de acesso remoto."

Caso sintético — Bayside Water Reclamation Plant. A BWRP, Daniel Osei e todos os custos e probabilidades são inventados.

Erros e limites

Estimativas pontuais para probabilidades adversariais transmitem uma falsa precisão; apresente faixas. A aritmética da perda esperada não captura o dano às pessoas a jusante, que precisa ser argumentado separadamente.

Exercícios

• EX001 — Custo total da opção A com uma probabilidade menor. Se o cenário de 400.000 de A cair para 0,05 por ano, recalcule o total de A.
  Mostrar critérios de avaliação

  Rubrica: 3 = 10.000 + 20.000 + 50.000 = 80.000, ainda acima de B; 2 = só o número; 1 = erro aritmético; 0 = nenhum.
• EX002 — Por que o pior caso é idêntico. Explique o que o pior caso compartilhado de 2,5 milhões implica para o líder.
  Mostrar critérios de avaliação

  Rubrica: 3 = a escolha de acesso remoto não elimina o caminho catastrófico; investir numa salvaguarda independente; 2 = parcial; 1 = "todos iguais"; 0 = nenhum.
• EX003 — Escrever um gatilho de revisão. Acrescente mais um gatilho de revisão à D-2026-14.
  Mostrar critérios de avaliação

  Rubrica: 3 = gatilho observável e específico; 2 = vago, mas relevante; 1 = "se as coisas mudarem"; 0 = nenhum.
• EX004 — A classificação se inverte? Encontre a probabilidade do cenário de 400.000 de B na qual o total de B se iguala aos 100.000 de A.
  Mostrar critérios de avaliação

  Rubrica: 3 = (100.000 − 35.000 − 12.500)/400.000 ≈ 0,131; 2 = método; 1 = ignora o outro termo; 0 = nenhum.
• EX005 — Quando ainda não decidir. Descreva uma situação em que Daniel deveria adiar a D-2026-14 para reunir informações.
  Mostrar critérios de avaliação

  Rubrica: 3 = a classificação se inverte dentro da faixa plausível e um estudo barato pode estreitá-la antes de um prazo; 2 = parcial; 1 = "quando houver dúvida"; 0 = nenhum.

Síntese

Os líderes decidem com a perda esperada, o pior caso plausível, responsáveis explícitos e gatilhos de revisão, e compram informação quando ela pode mudar a escolha.