OpenCyber Academy
Pós-graduação · Capítulo 10 · Português
Código do curso: OCA-143Capítulo 10: OCA-143-C010

Capítulo 10 — Leitura e crítica de pesquisas

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX046.

flowchart TD
  N0["10.1 Estratégia de leitura"]
  N1["10.2 Avaliar os métodos"]
  N2["10.3 Relacionar à prática"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX046"]

Desenho lógico

flowchart LR
  N0["10.1 Estratégia de leitura"]
  N1["10.2 Avaliar os métodos"]
  N2["10.3 Relacionar à prática"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX046"]
[10.1 Estratégia de leitura]
    |
    v
[10.2 Avaliar os métodos]
    |
    v
[10.3 Relacionar à prática]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX046]

Objetivos de aprendizagem

Você vai (1) ler pesquisas de GRC com olhar crítico; (2) avaliar métodos e afirmações; (3) relacionar os achados à prática.

10.1 Estratégia de leitura

Daniel lê quatro fontes: Gordon e Loeb (2002), sobre a economia do investimento em segurança; Cox (2008), sobre matrizes de risco; Spears e Barki (2010), sobre a participação dos usuários na gestão de riscos de segurança; e Hubbard e Seiersen (2016), sobre mensuração. Para cada uma, registra a pergunta, o método, os dados, a afirmação principal e os limites. Ele aprende que ler pesquisas para a prática significa perguntar não só se uma afirmação é verdadeira, mas se ela se aplica ao contexto da sua organização. Registrar os mesmos cinco campos para cada fonte facilita comparar os trabalhos analíticos, de survey e baseados na prática que vêm a seguir.

10.2 Avaliar os métodos

Gordon e Loeb oferecem um modelo analítico com premissas sobre as funções de vulnerabilidade e de perda; a ideia de que o investimento ótimo é limitado é robusta, mas os números exatos dependem das premissas. Cox analisa propriedades matemáticas das matrizes; suas conclusões são lógicas, e não empíricas. Spears e Barki usam dados de survey e entrevistas com gestores; os achados dependem do contexto. Hubbard e Seiersen sintetizam prática e pesquisa para defender a quantificação. Daniel observa os diferentes tipos de evidência de cada um. Um argumento lógico como o de Cox pode mostrar que as matrizes enganam em princípio, mas não diz com que frequência enganaram o comitê da Halbrook.

10.3 Relacionar à prática

Daniel relaciona cada fonte à Halbrook. Gordon e Loeb apoiam comparar os investimentos com a redução esperada de perdas. Cox apoia abandonar as matrizes nos relatórios ao conselho. Spears e Barki apoiam envolver os donos de negócio nas decisões de risco de fornecedores, o que os níveis fizeram. Hubbard e Seiersen apoiam o treinamento de calibração para quem estima. Ele escreve uma crítica observando que nenhuma estudou diretamente a supervisão de fornecedores de uma seguradora, de modo que sua própria avaliação acrescenta evidência local. A avaliação dos níveis em vinte revisões é a evidência local que as fontes publicadas não podiam oferecer.

Exemplo resolvido

Daniel lê quatro fontes, registra método e limites, distingue evidência analítica de empírica e liga cada uma à prática da Halbrook.

Caso sintético. A crítica é sintética; as quatro fontes são reais.

Erros e limites

Os resumos simplificam as fontes. Os contextos diferem do da Halbrook.

Exercícios

Síntese

A leitura crítica separa os tipos de evidência e verifica se as descobertas se aplicam ao contexto.

Respostas comentadas

EX046. A pergunta, o método, os dados, a afirmação principal e os limites.

EX047. Análise lógica e matemática das propriedades das matrizes de risco.

EX048. Dados de survey e entrevistas com gestores.

EX049. Apoia comparar os investimentos em segurança com a redução esperada de perdas.

EX050. Nenhuma das fontes estudou diretamente a supervisão de fornecedores de uma seguradora.