Capítulo 4 — Infraestrutura crítica e segurança setorial: métodos centrais

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["4.1 O ciclo de avaliação de riscos"]
  N1["4.3 Titularidade e higiene"]
  N2["4.4 Aceitar riscos"]
  N3["4.6 Atividade prática"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["4.1 O ciclo de avaliação de riscos"]
  N1["4.3 Titularidade e higiene"]
  N2["4.4 Aceitar riscos"]
  N3["4.6 Atividade prática"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX016"]

[4.1 O ciclo de avaliação de riscos]
    |
    v
[4.3 Titularidade e higiene]
    |
    v
[4.4 Aceitar riscos]
    |
    v
[4.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• conduzir um ciclo simples e repetível de avaliação de riscos para um serviço essencial e manter um registro de riscos utilizável;
• explicar por que multiplicar probabilidade por consequência pode enganar em infraestrutura crítica e como classificar com a consequência primeiro;
• garantir que todo risco tenha um dono, um tratamento, uma data-limite e uma data de revisão, e detectar quando não tem;
• registrar adequadamente uma aceitação de risco, com autoridade, condições e validade.

Os Capítulos 1–3 deram a você linguagem, contexto e registros. Este capítulo os transforma no método central do coordenador.

4.1 O ciclo de avaliação de riscos

O NIST descreve a avaliação de riscos como um processo de preparar, conduzir, comunicar e manter a avaliação (NIST SP 800-30 Rev. 1). Para um coordenador, um ciclo viável tem cinco passos:

1. Enquadrar — qual serviço, qual horizonte de tempo, quais consequências contam e qual é o apetite da liderança.
2. Identificar — reunir riscos candidatos a partir de incidentes, auditorias, conversas com a equipe, revisões de fornecedores, alertas e exercícios.
3. Analisar — escrever cada um como causa-evento-consequência; estimar a probabilidade e a consequência com as pessoas que sabem.
4. Decidir — o dono do risco escolhe um tratamento e uma data; a aceitação vai para o nível de autoridade adequado.
5. Monitorar — revisar segundo um calendário e quando algo mudar; reportar os principais riscos para cima.

O registro é a memória desse ciclo. Se o registro está desatualizado, o ciclo parou, diga a política o que disser.

4.2 Escalas e os seus limites

A maioria das organizações pontua a probabilidade e a consequência em escalas de 1 a 5. Torne-as significativas ancorando cada nível nos termos do seu serviço. Uma escala de consequência para a Kestrel Water poderia ser:

Tabela da aula; deslize para ver todas as colunas →

O produto usual, probabilidade × consequência, é conveniente, mas tem dois problemas conhecidos. Primeiro, permite que um problema menor e frequente fique acima de um catastrófico e raro (4 × 3 = 12 vence 2 × 5 = 10). Segundo, os números são rótulos ordinais, não medições, de modo que a aritmética sobre eles é mais fraca do que parece. Em serviços essenciais, uma convenção sensata é classificar com a consequência primeiro — tudo o que possa ferir pessoas ou exceder o tempo de autonomia de um cliente crítico vai para o topo — e usar o produto apenas para ordenar riscos de consequência semelhante. Seja qual for a regra escolhida, escreva-a, para que a classificação seja reproduzível e discutível.

4.3 Titularidade e higiene

Um risco sem dono é uma preocupação, não um risco gerenciado. A higiene do registro significa que cada entrada tem: um dono com autoridade sobre o serviço afetado; uma decisão de tratamento; uma data-limite para o tratamento; uma data da última revisão; e um link para a evidência do progresso. Um coordenador verifica a higiene com regularidade, porque a deterioração do registro é silenciosa: ninguém percebe que um risco "alto" foi revisto pela última vez há oito meses até que algo aconteça.

No Laboratório 4, o R02 mostra as três falhas ao mesmo tempo: sem dono, uma revisão de sete meses atrás e um tratamento atrasado, num risco de nível 5.

4.4 Aceitar riscos

A aceitação é um tratamento legítimo — nenhuma organização consegue consertar tudo de uma vez. Uma aceitação adequada registra quem aceitou o risco (num nível de autoridade compatível com a sua consequência), quais medidas compensatórias se aplicam, em que condições a aceitação caduca e quando ela expira. A NIS2 exige que os órgãos de gestão das entidades essenciais e importantes aprovem as medidas de gestão de riscos de cibersegurança e supervisionem a sua implementação (Directive (EU) 2022/2555, Article 20). Seja qual for a sua jurisdição, riscos com consequência de nível 5 devem ser aceitos pela diretoria ou pelo conselho, nunca silenciosamente pelo coordenador.

4.5 Exemplo resolvido: revisando o registro (sintético)

Em março, a coordenadora revisa o registro da Kestrel Water antes da reunião do comitê de auditoria e riscos do conselho. Ela usa o Laboratório 4, que codifica a convenção de classificação e as verificações de higiene para que qualquer pessoa possa executá-las de novo.

Laboratório 4 (salve como lab04.py e execute com python3 lab04.py):

# Lab 4 - consequence-led risk register review (offline, standard library only; all data synthetic)
import datetime as dt
TODAY = dt.date(2026, 3, 2)
# id, title, owner, likelihood 1-5, consequence 1-5, service affected, last review, treatment due
REGISTER = [
    ("R01", "Remote vendor access to station RTUs without MFA", "A. Mensah", 4, 5, "drinking water", "2026-01-10", "2026-04-30"),
    ("R02", "Single engineer knows chlorine dosing logic",       "",          3, 5, "drinking water", "2025-08-01", "2026-02-01"),
    ("R03", "Billing portal phishing of customer accounts",      "C. Okafor", 5, 3, "billing",        "2026-02-20", "2026-06-30"),
    ("R04", "Historian backups never test-restored",             "J. Tan",    3, 4, "drinking water", "2025-12-15", "2026-01-31"),
    ("R05", "Grid supply loss at pumping station KW-07",         "A. Mensah", 2, 5, "drinking water", "2026-02-01", "2026-09-30"),
    ("R06", "Office printer firmware outdated",                  "IT desk",   4, 1, "office IT",      "2026-02-25", "2026-05-31"),
    ("R07", "Hospital not told of planned pressure work",        "L. Ferreira",3, 4, "hospital supply","2025-06-30", "2026-03-31"),
]
SERVICE_WEIGHT = {"drinking water": 3, "hospital supply": 3, "billing": 1, "office IT": 0}
rows = []
for rid, title, owner, l, c, svc, rev, due in REGISTER:
    score = l * c
    flags = []
    if not owner: flags.append("NO OWNER")
    if (TODAY - dt.date.fromisoformat(rev)).days > 180: flags.append("REVIEW STALE")
    if dt.date.fromisoformat(due) < TODAY: flags.append("TREATMENT OVERDUE")
    if c == 5: flags.append("SEVERE CONSEQUENCE")
    rows.append((score, c, SERVICE_WEIGHT[svc], rid, title, flags))
print("Ranked by score only:")
for score, c, w, rid, title, flags in sorted(rows, key=lambda r: (-r[0], r[3])):
    print(f"  {rid} score={score:2d}")
print("Ranked by consequence, then service weight, then score:")
for i, (score, c, w, rid, title, flags) in enumerate(sorted(rows, key=lambda r: (-r[1], -r[2], -r[0], r[3])), 1):
    print(f"  {i}. {rid} c={c} w={w} score={score:2d} {'; '.join(flags) or 'ok'}")
print("Needs governance action:", ", ".join(r[3] for r in sorted(rows, key=lambda r: r[3]) if any(f != 'SEVERE CONSEQUENCE' for f in r[5])))

Saída esperada (Python 3.13.5):

Ranked by score only:
  R01 score=20
  R02 score=15
  R03 score=15
  R04 score=12
  R07 score=12
  R05 score=10
  R06 score= 4
Ranked by consequence, then service weight, then score:
  1. R01 c=5 w=3 score=20 SEVERE CONSEQUENCE
  2. R02 c=5 w=3 score=15 NO OWNER; REVIEW STALE; TREATMENT OVERDUE; SEVERE CONSEQUENCE
  3. R05 c=5 w=3 score=10 SEVERE CONSEQUENCE
  4. R04 c=4 w=3 score=12 TREATMENT OVERDUE
  5. R07 c=4 w=3 score=12 REVIEW STALE
  6. R03 c=3 w=1 score=15 ok
  7. R06 c=1 w=0 score= 4 ok
Needs governance action: R02, R04, R07

Leia as duas classificações. Só pela pontuação, o risco de phishing do faturamento R03 (15) empata com o R02 e fica acima do R05 — uma perda de energia da rede numa estação de bombeamento que poderia deixar milhares de pessoas sem água. Classificados pela consequência e depois pela importância do serviço afetado, os três riscos de nível 5 da água potável vêm primeiro. As sinalizações de higiene mostram onde a governança, e não a tecnologia, está falhando: o R02 (um único engenheiro que entende a lógica de dosagem de cloro) está sem dono, não é revisto há sete meses e o seu tratamento está atrasado; o teste de restauração do R04 está atrasado; a revisão do R07 está desatualizada. Esses três vão ao comitê como ações de governança, com um dono proposto para o R02 (A. Mensah, que é dono da dosagem).

Note o que o laboratório não faz. Ele não diz se a "probabilidade 4" do R01 está certa — isso vem da conversa com as pessoas que conhecem o fornecedor e a ameaça. Ele torna explícita a regra de classificação e repetíveis as verificações de higiene; não faz o julgamento por você.

4.6 Atividade prática

Mude a chave de classificação do Laboratório 4 para ordenar apenas pela pontuação e mostre o resultado a um colega. Pergunte qual ordem ele defenderia numa reunião do conselho depois de uma falha de pressão no hospital. Depois escreva a regra de classificação da sua organização em duas frases.

Observe onde o R03 e o R05 caem em cada ordem, porque esse é o argumento que você enfrentaria depois de uma interrupção: um risco de phishing do faturamento classificado acima da perda de abastecimento numa estação de bombeamento é difícil de defender. Depois acrescente um risco inventado com consequência 5 e probabilidade 1 e verifique onde ele cai em cada regra. Por fim, execute as verificações de higiene com outra data TODAY, por exemplo seis meses depois, e veja quais revisões e tratamentos ficam desatualizados ou atrasados sem que ninguém perceba.

4.7 Erros comuns e limites

• Escalas sem âncoras, de modo que "4" significa coisas diferentes para pessoas diferentes.
• Aritmética sobre pontuações ordinais apresentada como precisão ("risco 13,6").
• Donos que são coordenadores ou comitês, em vez de gestores com autoridade.
• Aceitações sem validade, que se tornam permanentes por omissão.
• Registros que listam tecnologias ("SCADA") em vez de declarações de risco.

• Tratar o registro como o objetivo; ele é apenas a memória das decisões.

• Deixar um risco de nível 5 sem dono porque ninguém o quer, como aconteceu com o R02 durante meses.

• Pontuar a probabilidade sem conversar com as pessoas que conhecem o fornecedor ou a ameaça, de modo que o número reflete o palpite do coordenador.

Exercícios — capítulo 4

EX016 — Ancore uma escala. Objetivo: tornar a probabilidade significativa. Insumos: a escala de consequência da seção 4.2. Passos: escrever uma escala de probabilidade de cinco níveis ancorada em tempo e evidências. Evidência esperada: a escala. Rubrica: 3 = níveis ligados a períodos ou evidências (por exemplo, 5 = já ocorreu aqui no último ano ou está sendo ativamente tentado no setor; 1 = nenhuma ocorrência conhecida no setor, exigiria várias condições improváveis); observa que os controles existentes são levados em conta; 2 = apenas períodos; 1 = palavras como "alta"; 0 = nada.

EX017 — Leia o Laboratório 4. Objetivo: interpretar a classificação e a higiene. Insumos: a saída do Laboratório 4. Passos: explicar por que o R03 passa de segundo empatado para sexto e por que o R05 sobe; listar as ações de governança e quem deve ser dono de cada uma. Evidência esperada: explicação e lista. Rubrica: 3 = o R03 tem consequência 3 sobre o faturamento; o R05 tem consequência 5 sobre a água potável; ações: dono do R02 (A. Mensah) e tratamento atrasado, teste de restauração atrasado do R04 (J. Tan, com A. Mensah como dono do serviço), revisão desatualizada do R07 (L. Ferreira, ou passar ao coordenador pela interlocução com o hospital); 2 = explicação sem donos; 1 = repete a saída; 0 = nada.

EX018 — Aceite um risco adequadamente. Objetivo: registrar a aceitação. Insumos: o conselho decide que não pode financiar a substituição dos controladores da estação KW-10 este ano. Passos: redigir o registro de aceitação. Evidência esperada: registro. Rubrica: 3 = nomeia a declaração de risco, a autoridade que aceita (diretor-presidente ou conselho, dada a consequência), medidas compensatórias (por exemplo, nenhum acesso remoto, monitoramento pelo KVROC, peças de reposição), condições que encerram a aceitação (novo alerta, incidente), data de validade e responsável pela revisão; 2 = sem validade; 1 = "aceito"; 0 = nada.

EX019 — Estenda o laboratório. Objetivo: codificar outra regra de higiene. Insumos: Laboratório 4. Passos: acrescentar uma sinalização "ACCEPTANCE EXPIRED" usando um novo campo, testá-la com uma aceitação expirada e uma válida e mostrar a saída. Evidência esperada: mudança no código e saída. Rubrica: 3 = campo acrescentado em todas as linhas, regra correta, dois casos de teste demonstram os dois resultados, e "Needs governance action" inclui a expirada; 2 = funciona sem testes; 1 = apenas a regra; 0 = nada.

EX020 — Apresente ao comitê. Objetivo: comunicar o registro. Insumos: a saída do Laboratório 4. Passos: escrever o resumo de uma página para o comitê de auditoria e riscos. Evidência esperada: resumo. Rubrica: 3 = principais riscos classificados por consequência, em linguagem simples, com donos e datas, ações de governança com as decisões solicitadas, declaração explícita da regra de classificação e dos seus limites, nenhuma "nota" única; 2 = lista riscos sem pedidos; 1 = cola a tabela; 0 = nada.

Síntese do capítulo

A avaliação de riscos é um ciclo — enquadrar, identificar, analisar, decidir, monitorar — e o registro é a sua memória. Ancore as escalas nos termos do seu serviço, classifique com a consequência primeiro em serviços essenciais e trate as pontuações como ordinais. Todo risco precisa de um dono com autoridade, um tratamento, datas e evidências; a aceitação só é legítima com autoridade compatível, condições e validade.