OpenCyber Academy
Pós-graduação · Capítulo 4 · Português
Código do curso: OCA-160Capítulo 04: OCA-160-C004

Capítulo 4 — Risco e ética avançados

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["4.1 Distribuições em vez de estimativas pontuais"]
  N1["4.2 Lendo a cauda"]
  N2["4.3 Quem arca com o risco"]
  N3["4.4 Transparência versus exposição"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["4.1 Distribuições em vez de estimativas pontuais"]
  N1["4.2 Lendo a cauda"]
  N2["4.3 Quem arca com o risco"]
  N3["4.4 Transparência versus exposição"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX016"]

[4.1 Distribuições em vez de estimativas pontuais]
    |
    v
[4.2 Lendo a cauda]
    |
    v
[4.3 Quem arca com o risco]
    |
    v
[4.4 Transparência versus exposição]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) modelar distribuições de perdas em vez de números únicos; (2) ler as perdas média, do percentil 95 e do percentil 99 numa simulação com semente fixa; (3) decidir quem arca com o risco residual e se essas partes consentiram; e (4) lidar com a tensão ética entre transparência e segurança numa concessionária pública.

4.1 Distribuições em vez de estimativas pontuais

A perda anual por paradas de TO é quase sempre zero e, de vez em quando, grande. Uma simulação de Monte Carlo sorteia, muitos milhares de vezes, se um incidente acontece e quanto tempo ele dura, produzindo uma distribuição cuja cauda é o que interessa aos conselhos e às seguradoras.

"""Lab 04: Monte Carlo of annual outage loss for BWRP with and without a control (seeded, synthetic)."""
import random, statistics
def year(rnd, p_incident, hours_lo, hours_hi, cost_per_hour=12_000):
    if rnd.random() >= p_incident: return 0.0
    return rnd.uniform(hours_lo, hours_hi) * cost_per_hour
for label, p, lo, hi in [("baseline", 0.15, 4, 72), ("with segmentation", 0.06, 4, 48)]:
    rnd = random.Random(2026)
    losses = sorted(year(rnd, p, lo, hi) for _ in range(20_000))
    print(f"{label:18} mean={statistics.mean(losses):>8,.0f} p95={losses[int(0.95*len(losses))]:>9,.0f} p99={losses[int(0.99*len(losses))]:>9,.0f} P(loss>0)={sum(l>0 for l in losses)/len(losses):.3f}")

Execute com python3 lab_mc.py. Saída verificada:

baseline           mean=  68,613 p95=  592,662 p99=  814,425 P(loss>0)=0.151
with segmentation  mean=  18,590 p95=  129,339 p99=  493,624 P(loss>0)=0.059

A simulação precisa de poucas entradas: a probabilidade de um incidente num ano, quanto tempo ele dura e quanto custa cada hora. Cada uma deve vir com sua fonte e uma faixa plausível. O Laboratório 4 usa uma semente fixa para que o conselho veja os mesmos números quando a execução for repetida e para que uma mudança no resultado possa ser rastreada até uma mudança nos pressupostos.

4.2 Lendo a cauda

A segmentação reduz a perda média de cerca de 68.600 para 18.600 e a probabilidade de qualquer perda de 15,1 % para 5,9 %. O percentil 99 cai de forma menos acentuada (de 814.000 para 494.000), porque, quando um incidente acontece, ele ainda pode durar dois dias. Se a tolerância do conselho é "não mais do que 1 % de chance de perder mais de 600.000 num ano", apenas o desenho segmentado a atende sob esses pressupostos.

Esses números dependem de pressupostos que merecem uma linha própria no slide: as probabilidades de incidente, as faixas de duração e um custo único por hora. Mudar a duração máxima do desenho segmentado de 48 para 72 horas elevaria a sua cauda. O conselho deve ver qual pressuposto determina o resultado da tolerância antes de tratar o limiar de 600.000 como atendido.

4.3 Quem arca com o risco

O risco residual numa estação de recuperação de água não é suportado só pela concessionária. Os moradores perto dos pontos de lançamento e o ecossistema da baía arcam com o risco de qualidade do efluente; os contribuintes arcam com o risco de custos. Eticamente, um líder deve identificar essas partes, perguntar se o regulador ou o órgão eleito aceitou o risco em nome delas e evitar aceitar em nome de outros aquilo que a organização não tem mandato para aceitar.

Na BWRP, a ata do conselho deixou isso explícito ao registrar que o risco de qualidade do efluente para os moradores está sujeito às condições da licença do regulador. O papel de Daniel é tornar visíveis as partes afetadas no registro de riscos e declarar quem aceitou o risco em nome delas. Onde ninguém tem esse mandato, o risco é escalado, e não aceito em silêncio.

4.4 Transparência versus exposição

Publicar uma avaliação de segurança detalhada constrói confiança pública, mas pode dar um mapa aos atacantes. Uma prática defensável é a divulgação em camadas: publicar a governança, as decisões de aceitação de riscos e as métricas de progresso; compartilhar os detalhes técnicos com os reguladores e com os organismos setoriais de compartilhamento de informações sob confidencialidade; divulgar os incidentes conforme o dever legal e prontamente às pessoas afetadas.

Na BWRP, isso poderia significar publicar a decisão de adotar sessões intermediadas para fornecedores e os números de progresso da segmentação, compartilhando o desenho da rede das estações elevatórias apenas com o regulador e com o grupo setorial de compartilhamento. A escolha do que vai para onde deve ser registrada e revisada, para que pedidos posteriores de jornalistas ou moradores recebam uma resposta consistente.

Exemplo resolvido (BWRP sintética)

Daniel apresenta a simulação com seus pressupostos num único slide: probabilidade anual de incidente de 15 % na linha de base (de pares do setor, faixa de 8–25 %), duração uniforme de 4–72 horas, custo de 12.000 por hora, semente 2026. O conselho aceita a segmentação e registra em ata que o risco de qualidade do efluente para os moradores é coberto pelas condições da licença do regulador, e não apenas pelo apetite a riscos do conselho.

Caso sintético — Bayside Water Reclamation Plant. Todos os parâmetros da simulação são inventados.

Erros e limites

Durações uniformes são uma simplificação; distribuições de cauda pesada elevariam o percentil 99. Uma simulação com semente fixa é reprodutível, não correta.

Exercícios

Síntese

O trabalho avançado de risco relata distribuições e caudas, nomeia quem arca com o risco residual e equilibra deliberadamente transparência e exposição.

Respostas comentadas

EX016. A segmentação reduz principalmente a frequência dos incidentes (15 % → 6 %), mas, quando um acontece, sua duração ainda pode ser longa (até 48 h), então a cauda condicional encolhe menos do que a média, que é dominada pela frequência dos incidentes.

EX017. Não. O percentil 99 da linha de base é 814.425, então mais de 1 % dos anos simulados excede 600.000 — a tolerância é violada.

EX018. Os moradores perto do ponto de lançamento, os contribuintes que pagam os custos de recuperação e o ecossistema da baía (e os negócios que dependem dele, como os coletores de mariscos) — o regulador e os usuários de água a jusante também são aceitáveis.

EX019. (a) Público — mostra a governança. (b) Somente interno (compartilhado com o regulador, sob pedido, com confidencialidade) — é um mapa para o atacante. (c) Público — uma contagem agregada sustenta a prestação de contas sem revelar técnicas.

EX020. Uma cauda mais pesada acrescenta paradas raras e muito longas: a média sobe um pouco, mas o percentil 99 sobe muito mais, porque os anos extremos que definem o p99 se tornam mais extremos.