Capítulo 9 — Segurança de TO, IoT e sistemas ciberfísicos: liderança e garantia

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX041.

flowchart TD
  N0["9.1 Alegações, argumentos, evidências"]
  N1["9.2 Lendo a verificação"]
  N2["9.3 Garantia não é conformidade"]
  N3["9.4 Atualidade das evidências"]
  N4["9.5 Reportando a um conselho"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX041"]

Desenho lógico

flowchart LR
  N0["9.1 Alegações, argumentos, evidências"]
  N1["9.2 Lendo a verificação"]
  N2["9.3 Garantia não é conformidade"]
  N3["9.4 Atualidade das evidências"]
  N4["9.5 Reportando a um conselho"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX041"]

[9.1 Alegações, argumentos, evidências]
    |
    v
[9.2 Lendo a verificação]
    |
    v
[9.3 Garantia não é conformidade]
    |
    v
[9.4 Atualidade das evidências]
    |
    v
[9.5 Reportando a um conselho]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX041]

Objetivos de aprendizagem

Você vai (1) estruturar um argumento de garantia (assurance) de uma alegação principal até as evidências; (2) encontrar mecanicamente as alegações sem sustentação; (3) distinguir garantia de conformidade; e (4) apresentar a um conselho a situação da garantia sem exagerá-la.

9.1 Alegações, argumentos, evidências

Um caso de garantia enuncia uma alegação principal ("o risco de TO da BWRP é aceitável"), decompõe-na em subalegações e sustenta cada folha com evidências: relatórios de teste, revisões de configuração, registros de simulados. A Goal Structuring Notation é uma forma gráfica comum. O valor está em que toda lacuna fica visível como uma alegação sem nada embaixo.

"""Lab 09: check a synthetic assurance argument: every claim needs evidence or fully supported sub-claims."""
arg = {
    "G1 BWRP OT risk is acceptable": ["G2 remote access controlled", "G3 dosing integrity protected", "G4 recovery tested"],
    "G2 remote access controlled": ["E1 broker config review 2026-09", "E2 session log sample"],
    "G3 dosing integrity protected": ["G5 setpoint limits enforced", "G6 writes monitored"],
    "G5 setpoint limits enforced": ["E3 bench test report"],
    "G6 writes monitored": [],
    "G4 recovery tested": ["E4 restore drill 2025-11"],
}
def supported(node, path=()):
    if node.startswith("E"): return True
    kids = arg.get(node, [])
    return bool(kids) and all(supported(k, path + (node,)) for k in kids)
for g in arg:
    print(f"{g:34} {'supported' if supported(g) else 'UNSUPPORTED'}")

Execute com python3 lab_assure.py. Saída verificada:

G1 BWRP OT risk is acceptable      UNSUPPORTED
G2 remote access controlled        supported
G3 dosing integrity protected      UNSUPPORTED
G5 setpoint limits enforced        supported
G6 writes monitored                UNSUPPORTED
G4 recovery tested                 supported

Escrever o argumento dessa forma torna precisa a pergunta do conselho. Em vez de perguntar se a segurança de TO é boa, ela pergunta quais alegações estão sustentadas e quais não estão. Cada evidência também precisa de um responsável e de uma data, para que o caso possa ser atualizado. O argumento da BWRP no Laboratório 9 é deliberadamente pequeno, para mostrar a estrutura antes de ela crescer.

9.2 Lendo a verificação

G6 "escritas monitoradas" não tem evidência nem subalegações, então não está sustentada. G3 depende de G6 e por isso falha, e a alegação principal G1 falha junto. G2 e G4 estão sustentadas. A verificação é estrita de propósito: para um conselho, uma alegação principal não pode ser parcialmente verdadeira.

A verificação testa apenas a estrutura. Ela não consegue dizer se o teste de bancada de E3 era o teste certo, nem se a amostra de registros de sessão de E2 era grande o bastante. Esses são julgamentos para um revisor. Use a verificação mecânica para encontrar lacunas depressa e depois leia cada evidência para ver se ela realmente sustenta a sua alegação.

9.3 Garantia não é conformidade

A conformidade mostra que os controles exigidos existem. A garantia argumenta que o risco é aceitável dadas as ameaças e as consequências reais do sistema. Uma planta pode estar em conformidade com uma lista de verificação e ainda assim ter uma alegação sem sustentação na sua malha mais importante — aqui, a integridade da dosagem.

A BWRP poderia passar numa lista de verificação que pergunta se o acesso remoto é controlado e se a recuperação é testada, porque G2 e G4 estão sustentadas, enquanto a alegação que mais importa para os moradores, a integridade da dosagem, continua sem sustentação. A garantia coloca essa lacuna no topo do documento para o conselho, onde um relatório de conformidade a teria escondido entre os itens aprovados.

9.4 Atualidade das evidências

As evidências envelhecem. Um simulado de restauração de 2025-11 sustenta G4 hoje; daqui a dois anos, não sustentará. Os casos de garantia maduros associam um período de validade a cada item e fazem falhar as alegações cujas evidências expiraram.

Defina o período de validade pela rapidez com que a evidência pode se tornar errada. Uma revisão da configuração do intermediador pode precisar ser repetida depois de toda mudança importante, enquanto um simulado de restauração pode valer por um ano. Acrescente as datas de expiração ao próprio argumento, para que a verificação do Laboratório 9 possa marcar uma alegação como sem sustentação quando a sua evidência caducar.

9.5 Reportando a um conselho

Relate: a situação da alegação principal (ainda não sustentada), qual subalegação a bloqueia, que evidência está planejada e quando. Evite cores vermelho-âmbar-verde sem as alegações subjacentes; a cor esconde o raciocínio.

O documento de Daniel para o conselho segue essa estrutura. Ele diz claramente que G1 ainda não está sustentada, nomeia G6 como a alegação que bloqueia, dá a data até a qual a evidência existirá e identifica a evidência compensatória até lá. Um conselheiro consegue fazer uma pergunta mais precisa a partir desse documento do que a partir de uma única luz âmbar.

Exemplo resolvido (BWRP sintética)

Documento de Daniel para o conselho: "G1 ainda não está sustentada porque o monitoramento de escritas no PLC-D (G6) não tem evidência. Planejado: implantar monitoramento passivo na rede de dosagem até janeiro e anexar a revisão dos alertas do primeiro mês como evidência E5. Até lá, a evidência compensatória é E3 (teste de bancada dos limites de setpoint)."

Caso sintético — Bayside Water Reclamation Plant. A estrutura do argumento e os identificadores das evidências são inventados.

Erros e limites

Uma árvore sustentada vale tanto quanto a relevância das suas evidências; um relatório de teste pode ser associado à alegação errada. As verificações mecânicas não julgam a qualidade das evidências.

Exercícios

• EX041 — Consertar a árvore. Acrescente a evidência "E5 monitoring review 2027-01" sob G6. O que o laboratório imprime para G1?
  Mostrar critérios de avaliação

  Rubrica: 3 = supported (todos os ramos agora chegam a evidências); 2 = correto, mas sem razão; 1 = continua UNSUPPORTED; 0 = nenhum.
• EX042 — Uma regra de expiração. Escreva uma regra que faça falhar evidências com mais de 18 meses e diga qual item falharia primeiro.
  Mostrar critérios de avaliação

  Rubrica: 3 = a regra mais E4 (2025-11) como a mais antiga; 2 = um dos dois; 1 = vago; 0 = nenhum.
• EX043 — Conformidade sem garantia. Dê um exemplo em que a BWRP passa numa lista de verificação, mas G3 continua sem sustentação.
  Mostrar critérios de avaliação

  Rubrica: 3 = a lista pede firewall/política, não o monitoramento de escritas da dosagem; 2 = parcial; 1 = vago; 0 = nenhum.
• EX044 — Evidência mal associada. Explique por que associar um teste de intrusão da TI corporativa a G3 seria errado.
  Mostrar critérios de avaliação

  Rubrica: 3 = não é relevante para a integridade da rede de dosagem; sistema diferente; 2 = parcial; 1 = aceitável; 0 = nenhum.
• EX045 — Uma frase para o conselho. Escreva uma frase que relate a situação de G1 sem códigos de cores.
  Mostrar critérios de avaliação

  Rubrica: 3 = situação, alegação que bloqueia, plano e data; 2 = três; 1 = "âmbar"; 0 = nenhum.

Síntese

A garantia torna auditáveis as alegações da liderança: toda alegação principal se decompõe em evidências atuais e relevantes, e as lacunas são relatadas como lacunas.