Capítulo 3 — O risco em termos simples
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX011.
flowchart TD
N0["3.1 O que significa risco"]
N1["3.2 Montagem do registro"]
N2["Laboratório — Classificando um registro sintético de"]
N3["3.3 Leitura da classificação"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX011"]
Desenho lógico
flowchart LR
N0["3.1 O que significa risco"]
N1["3.2 Montagem do registro"]
N2["Laboratório — Classificando um registro sintético de"]
N3["3.3 Leitura da classificação"]
N0 --> N1 --> N2 --> N3 --> Q["EX011"]
[3.1 O que significa risco]
|
v
[3.2 Montagem do registro]
|
v
[Laboratório — Classificando um registro sintético de]
|
v
[3.3 Leitura da classificação]
|
v
[Exemplo resolvido] --> [Exercício EX011]
Objetivos de aprendizagem
Você vai (1) descrever o risco como probabilidade e impacto; (2) montar um pequeno registro de riscos; (3) classificar os riscos com um script simples.
3.1 O que significa risco
A Sra. Ashby define um risco como algo que pode dar errado, descrito pela probabilidade de acontecer e pelo dano que causaria. A NIST SP 800-30 Revision 1, o guia para a condução de avaliações de risco, usa as mesmas duas ideias, embora com mais detalhes. Ela pede à turma que escreva cada risco como uma frase curta que nomeie a causa e o resultado, como phishing leva à tomada da caixa postal. Entradas vagas como ataque cibernético não permitem ação, porque ninguém sabe qual controle ajudaria nem quem deveria ser responsável pelo trabalho.
3.2 Montagem do registro
Daniel lista oito riscos para a Corbridge depois de conversar com os sócios e com a empresa de suporte. Ele dá a cada um uma nota de um a cinco para a probabilidade e para o impacto, usando descrições simples: uma probabilidade quatro significa que aconteceu várias vezes recentemente com firmas semelhantes; um impacto cinco significa dano aos clientes, notificação a reguladores e perda de clientes. A Sra. Ashby lembra que as notas são julgamentos, não medições, e que seu valor está em forçar uma conversa sobre quais riscos importam mais. Ele registra quem deu cada nota e por quê.
Laboratório — Classificando um registro sintético de riscos por probabilidade vezes impacto
"""Score a synthetic risk register by likelihood x impact and rank it (stdlib only)."""
risks = [
("R1 phishing leads to mailbox takeover", 4, 4),
("R2 laptop lost with client files", 3, 4),
("R3 ransomware on file server", 2, 5),
("R4 payment diversion by fake invoice", 3, 5),
("R5 leaver keeps cloud access", 3, 3),
("R6 backup fails silently", 2, 4),
("R7 website defaced", 2, 2),
("R8 tax software vendor breach", 1, 4),
]
scored = sorted(((l * i, name, l, i) for name, l, i in risks), reverse=True)
for s, name, l, i in scored:
band = "high" if s >= 15 else "medium" if s >= 8 else "low"
print(f"{s:>2} {band:<6} {name} (L{l} x I{i})")
print("high:", sum(1 for s, *_ in scored if s >= 15), "medium:", sum(1 for s, *_ in scored if 8 <= s < 15), "low:", sum(1 for s, *_ in scored if s < 8))
Execute com python3 lab_risk.py. Saída verificada:
16 high R1 phishing leads to mailbox takeover (L4 x I4)
15 high R4 payment diversion by fake invoice (L3 x I5)
12 medium R2 laptop lost with client files (L3 x I4)
10 medium R3 ransomware on file server (L2 x I5)
9 medium R5 leaver keeps cloud access (L3 x I3)
8 medium R6 backup fails silently (L2 x I4)
4 low R8 tax software vendor breach (L1 x I4)
4 low R7 website defaced (L2 x I2)
high: 2 medium: 4 low: 2
3.3 Leitura da classificação
O script multiplica a probabilidade pelo impacto e ordena o registro. Dois riscos somam quinze ou mais e são marcados como altos: o phishing que leva à tomada da caixa postal, com dezesseis, e o desvio de pagamento por fatura falsa, com quinze. Quatro são médios, dos notebooks perdidos, com doze, até a falha silenciosa do backup, com oito. Dois são baixos, com quatro cada: uma violação no fornecedor do software de impostos e a desfiguração do site. Daniel percebe que os dois riscos altos começam com um e-mail, o que lhe diz por onde começar e lhe dá uma mensagem simples para os sócios.
3.4 Limites das notas
A Sra. Ashby adverte contra tratar os números como precisos. Uma violação no fornecedor recebeu nota baixa porque Daniel a julgou improvável, mas seu impacto poderia atingir todos os clientes de uma vez. Ela sugere manter uma breve nota ao lado de qualquer risco de nota baixa com um pior caso grave, para que a liderança o veja em vez de deixá-lo escondido no fim de uma lista. Daniel acrescenta essa nota ao risco do fornecedor e planeja perguntar ao fornecedor sobre sua própria segurança no capítulo dos fornecedores. Ele também marca uma data para revisar todas as notas em três meses.
Exemplo resolvido
Daniel dá notas a oito riscos sintéticos; o script classifica como altos a tomada por phishing (16) e a fraude de faturas (15), quatro como médios e dois como baixos, e ele destaca o pior caso grave do risco do fornecedor.
Caso sintético. Os riscos e as notas são sintéticos.
Erros e limites
Tratar notas baseadas em julgamento como medições precisas esconde a incerteza de quem decide.
Exercícios
-
EX011 — Principal risco. Qual risco fica em primeiro lugar e com que nota? Rubrica: 3 = tomada da caixa postal por phishing, 16;; 2 = os dois;; 1 = um;; 0 = nenhuma.
-
EX012 — Número de riscos altos. Quantos riscos são altos? Rubrica: 3 = dois;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
-
EX013 — Causa comum. Com o que começam os dois riscos altos? Rubrica: 3 = um e-mail;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.
-
EX014 — Nota do fornecedor. Por que acrescentar uma nota ao risco do fornecedor? Rubrica: 3 = nota baixa, mas pior caso grave;; 2 = parcialmente correto;; 1 = vaga;; 0 = nenhuma.
-
EX015 — Boa frase de risco. Como um risco deve ser escrito? Rubrica: 3 = causa e resultado numa frase curta;; 2 = os dois;; 1 = um;; 0 = nenhuma.
Continue estudando — aula 03 (capítulo 03 de 12)
← Capítulo 02 · Índice das aulas · Capítulo 04 →
Continue para a próxima aula já escrita.