## Capítulo 14 — Governança, riscos e compliance de segurança: métodos I ### Mapa da aula Aula 14 publicada. Mapa, exemplo, EX040. ```mermaid flowchart TD N0["14.1 Estimar"] N1["14.2 Comparar"] N2["Laboratório — Perda anual esperada de quatro cenário"] N3["14.3 Incerteza"] N4["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 N4 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX040"] ``` ### Desenho lógico ```mermaid flowchart LR N0["14.1 Estimar"] N1["14.2 Comparar"] N2["Laboratório — Perda anual esperada de quatro cenário"] N3["14.3 Incerteza"] N4["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX040"] ``` ```text [14.1 Estimar] | v [14.2 Comparar] | v [Laboratório — Perda anual esperada de quatro cenário] | v [14.3 Incerteza] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX040] ``` ### Objetivos de aprendizagem Você vai (1) estimar a perda anual esperada dos cenários; (2) comparar os cenários em dinheiro; (3) reconhecer a incerteza das estimativas. ### 14.1 Estimar Para os quatro cenários escolhidos, Priya pede aos gestores que estimem quantas vezes por ano cada um pode acontecer e um custo típico quando acontece. O ransomware numa clínica poderia acontecer cerca de uma vez a cada sete anos, a cento e oitenta mil. Os prontuários enviados ao destinatário errado, duas vezes por ano, a quatro mil. O skimming de cartão, uma vez em vinte anos, a duzentos e vinte mil. Um notebook perdido, uma vez por ano, a nove mil. Essas frequências e custos aproximados alimentam diretamente a comparação de perda esperada da seção seguinte. ### 14.2 Comparar O laboratório multiplica a frequência pelo custo. O ransomware tem a maior perda anual esperada, vinte e sete mil; o skimming de cartão, onze mil; os notebooks perdidos, nove mil; e os prontuários enviados ao destinatário errado, oito mil. O total é de cinquenta e cinco mil por ano. Priya observa que os prontuários enviados errado acontecem com mais frequência, mas custam menos por ano, enquanto o ransomware é raro, mas o mais caro. A perda esperada ajuda a comparar cenários muito diferentes numa só escala. Poder pôr o ransomware em vinte e sete mil e os prontuários em oito mil na mesma escala é o que torna o ranking possível. ### Laboratório — Perda anual esperada de quatro cenários da Riverton ```python """Expected annual loss per scenario and in total (synthetic Riverton estimates).""" sc = [("ransomware at a clinic", 0.15, 180_000), ("patient record misdirected", 2.0, 4_000), ("card skimming on booking site", 0.05, 220_000), ("lost clinic laptop", 1.0, 9_000)] for n, f, m in sc: print(f"{n}: {f} x {m:,} = {f*m:,.0f}") print(f"total {sum(f*m for _, f, m in sc):,.0f}") ``` Execute com `python3 lab_ale.py`. Saída verificada: ```text ransomware at a clinic: 0.15 x 180,000 = 27,000 patient record misdirected: 2.0 x 4,000 = 8,000 card skimming on booking site: 0.05 x 220,000 = 11,000 lost clinic laptop: 1.0 x 9,000 = 9,000 total 55,000 ``` ### 14.3 Incerteza O Sr. Lind pergunta quão confiantes os gestores estavam. Priya admite que as estimativas são aproximadas e que o custo do ransomware poderia ser muito maior se prontuários fossem roubados e muitos pacientes precisassem ser notificados. Ela registra cada estimativa com um valor baixo e um alto e anota a fonte. Aprende que números únicos são úteis para comparar, mas devem sempre ser lidos com sua incerteza, sobretudo nos eventos raros e graves, em que as médias escondem o que poderia de fato acontecer. No ransomware, por exemplo, o valor alto incluiria os custos de notificação caso prontuários fossem roubados. ### Exemplo resolvido Priya calcula perdas anuais esperadas que somam cinquenta e cinco mil, com o ransomware no topo, a vinte e sete mil, e registra faixas para a incerteza. > **Caso sintético.** As estimativas são sintéticas. ### Erros e limites As estimativas dos gestores são aproximadas. As médias escondem desfechos graves. ### Exercícios - **EX040 — Maior cenário.** Que cenário tem a maior perda anual esperada? *Rubrica:* 3 = ransomware, a 27 mil;; 2 = ransomware;; 1 = prontuários;; 0 = nenhuma. - **EX041 — Perda total.** Qual é a perda anual esperada total? *Rubrica:* 3 = 55 mil;; 2 = 55.000;; 1 = vago;; 0 = nenhuma. - **EX042 — Frequente, mas pequeno.** Que cenário acontece com mais frequência, mas custa menos por ano? *Rubrica:* 3 = prontuários enviados errado, a 8 mil;; 2 = prontuários;; 1 = vago;; 0 = nenhuma. ### Síntese A perda esperada coloca cenários diferentes em uma mesma escala, mas precisa ser lida junto com a sua incerteza. ### Continue estudando — aula 14 (capítulo 14 de 30) [← Capítulo 13](#ch-13) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 15 →](#ch-15) Continue para a próxima aula já escrita. ## Worked answers **EX040.** Ransomware numa clínica, a 27 mil. **EX041.** 55 mil. **EX042.** Prontuários enviados ao destinatário errado, a 8 mil por ano.