Capítulo 9 — Governança, riscos e compliance de segurança: liderança e garantia

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX041.

flowchart TD
  N0["9.1 Apetite quantificado"]
  N1["9.2 Comparar com o apetite"]
  N2["Laboratório — Estimativas de excedência de perda con"]
  N3["9.3 Garantia ao conselho"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX041"]

Desenho lógico

flowchart LR
  N0["9.1 Apetite quantificado"]
  N1["9.2 Comparar com o apetite"]
  N2["Laboratório — Estimativas de excedência de perda con"]
  N3["9.3 Garantia ao conselho"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX041"]

[9.1 Apetite quantificado]
    |
    v
[9.2 Comparar com o apetite]
    |
    v
[Laboratório — Estimativas de excedência de perda con]
    |
    v
[9.3 Garantia ao conselho]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX041]

Objetivos de aprendizagem

Você vai (1) expressar o apetite a risco em termos quantitativos; (2) comparar as estimativas de risco com o apetite; (3) conduzir conversas de garantia com o conselho.

9.1 Apetite quantificado

O conselho da Halbrook tem uma declaração de apetite qualitativa: baixa tolerância ao risco cibernético. Daniel ajuda a traduzi-la em limites de excedência: a probabilidade de as perdas cibernéticas anuais passarem de determinados valores não deve superar limiares acordados, por exemplo, no máximo cinco por cento de chance de passar de um milhão num ano. Ele aprende que o apetite quantificado torna concretas as discussões de risco e permite ao conselho comparar o risco cibernético com suas tolerâncias para outros riscos financeiros. O limite de cinco por cento em um milhão vira a referência contra a qual a curva combinada é testada na seção seguinte.

9.2 Comparar com o apetite

A equipe de Daniel estima uma curva de excedência de perda para todos os cenários cibernéticos combinados. O laboratório compara cinco pontos com o apetite. As estimativas ficam dentro do apetite em duzentos e cinquenta mil e em quinhentos mil, mas o excedem em um milhão, dois milhões e cinco milhões: por exemplo, oito por cento de chance de passar de um milhão contra um apetite de cinco por cento. É a cauda, e não o ano típico, que viola o apetite. Ele recomenda tratamentos voltados aos cenários graves. Tratamentos como o isolamento de backups encolhem a cauda sem mudar muito os anos comuns.

Laboratório — Estimativas de excedência de perda contra o apetite do conselho

"""Compare loss exceedance points with board appetite (synthetic, thousands)."""
lec = {250: 0.42, 500: 0.21, 1000: 0.08, 2000: 0.02, 5000: 0.004}
appetite = {250: 0.50, 500: 0.25, 1000: 0.05, 2000: 0.01, 5000: 0.002}
for x in lec:
    s = "within" if lec[x] <= appetite[x] else "EXCEEDS"
    print(f"P(loss > {x}k): estimate {lec[x]:.3f} appetite {appetite[x]:.3f} {s}")

Execute com python3 lab_appetite.py. Saída verificada:

P(loss > 250k): estimate 0.420 appetite 0.500 within
P(loss > 500k): estimate 0.210 appetite 0.250 within
P(loss > 1000k): estimate 0.080 appetite 0.050 EXCEEDS
P(loss > 2000k): estimate 0.020 appetite 0.010 EXCEEDS
P(loss > 5000k): estimate 0.004 appetite 0.002 EXCEEDS

9.3 Garantia ao conselho

Daniel apresenta a comparação ao conselho com a incerteza por trás da curva e os tratamentos propostos: melhor isolamento dos backups e uma revisão do seguro. Um conselheiro pergunta se as estimativas são confiáveis. Ele explica como as entradas foram reunidas, que a auditoria interna revisou o método e que os resultados são faixas. O conselho aprova os tratamentos e pede uma atualização em seis meses. Ele aprende que a garantia ao conselho depende tanto da transparência sobre os métodos quanto dos números. A Dra. Varga observa que a atualização em seis meses dá ao conselho um meio de ver se os tratamentos realmente moveram a cauda.

Exemplo resolvido

Daniel traduz o apetite em limites de excedência, constata que a cauda excede o apetite em três pontos e conduz uma discussão transparente com o conselho.

Caso sintético. As curvas e o apetite são sintéticos.

Erros e limites

As curvas combinadas dependem de premissas de correlação. Os limiares de apetite são julgamentos.

Exercícios

• EX041 — Exemplo de apetite. Dê o exemplo de limite de excedência.
  Mostrar critérios de avaliação

  Rubrica: 3 = no máximo 5% de chance de passar de 1 milhão;; 2 = 5% em 1 milhão;; 1 = vago;; 0 = nenhuma.
• EX042 — Dentro do apetite. Em que pontos a estimativa está dentro do apetite?
  Mostrar critérios de avaliação

  Rubrica: 3 = 250 mil e 500 mil;; 2 = dois;; 1 = vago;; 0 = nenhuma.
• EX043 — Violação em um milhão. Qual é a estimativa em um milhão em relação ao apetite?
  Mostrar critérios de avaliação

  Rubrica: 3 = 8% contra 5%;; 2 = excede;; 1 = vago;; 0 = nenhuma.
• EX044 — Onde ocorre a violação. Que parte da curva viola o apetite?
  Mostrar critérios de avaliação

  Rubrica: 3 = a cauda;; 2 = cauda, hesitando com outra opção;; 1 = ano típico;; 0 = nenhuma.
• EX045 — Resposta sobre confiança. Como Daniel respondeu se as estimativas eram confiáveis?
  Mostrar critérios de avaliação

  Rubrica: 3 = explicou as entradas, a revisão da auditoria e as faixas;; 2 = transparência;; 1 = vago;; 0 = nenhuma.

Síntese

Um apetite quantificado permite aos conselhos ver onde riscos graves ultrapassam a tolerância e governar os tratamentos.