Capítulo 14 — Governança, riscos e compliance de segurança: métodos I

Mapa da aula

Aula 14 publicada. Mapa, exemplo, EX040.

flowchart TD
  N0["14.1 Estimar"]
  N1["14.2 Comparar"]
  N2["Laboratório — Perda anual esperada de quatro cenário"]
  N3["14.3 Incerteza"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX040"]

Desenho lógico

flowchart LR
  N0["14.1 Estimar"]
  N1["14.2 Comparar"]
  N2["Laboratório — Perda anual esperada de quatro cenário"]
  N3["14.3 Incerteza"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX040"]

[14.1 Estimar]
    |
    v
[14.2 Comparar]
    |
    v
[Laboratório — Perda anual esperada de quatro cenário]
    |
    v
[14.3 Incerteza]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX040]

Objetivos de aprendizagem

Você vai (1) estimar a perda anual esperada dos cenários; (2) comparar os cenários em dinheiro; (3) reconhecer a incerteza das estimativas.

14.1 Estimar

Para os quatro cenários escolhidos, Priya pede aos gestores que estimem quantas vezes por ano cada um pode acontecer e um custo típico quando acontece. O ransomware numa clínica poderia acontecer cerca de uma vez a cada sete anos, a cento e oitenta mil. Os prontuários enviados ao destinatário errado, duas vezes por ano, a quatro mil. O skimming de cartão, uma vez em vinte anos, a duzentos e vinte mil. Um notebook perdido, uma vez por ano, a nove mil. Essas frequências e custos aproximados alimentam diretamente a comparação de perda esperada da seção seguinte.

14.2 Comparar

O laboratório multiplica a frequência pelo custo. O ransomware tem a maior perda anual esperada, vinte e sete mil; o skimming de cartão, onze mil; os notebooks perdidos, nove mil; e os prontuários enviados ao destinatário errado, oito mil. O total é de cinquenta e cinco mil por ano. Priya observa que os prontuários enviados errado acontecem com mais frequência, mas custam menos por ano, enquanto o ransomware é raro, mas o mais caro. A perda esperada ajuda a comparar cenários muito diferentes numa só escala. Poder pôr o ransomware em vinte e sete mil e os prontuários em oito mil na mesma escala é o que torna o ranking possível.

Laboratório — Perda anual esperada de quatro cenários da Riverton

"""Expected annual loss per scenario and in total (synthetic Riverton estimates)."""
sc = [("ransomware at a clinic", 0.15, 180_000), ("patient record misdirected", 2.0, 4_000),
      ("card skimming on booking site", 0.05, 220_000), ("lost clinic laptop", 1.0, 9_000)]
for n, f, m in sc: print(f"{n}: {f} x {m:,} = {f*m:,.0f}")
print(f"total {sum(f*m for _, f, m in sc):,.0f}")

Execute com python3 lab_ale.py. Saída verificada:

ransomware at a clinic: 0.15 x 180,000 = 27,000
patient record misdirected: 2.0 x 4,000 = 8,000
card skimming on booking site: 0.05 x 220,000 = 11,000
lost clinic laptop: 1.0 x 9,000 = 9,000
total 55,000

14.3 Incerteza

O Sr. Lind pergunta quão confiantes os gestores estavam. Priya admite que as estimativas são aproximadas e que o custo do ransomware poderia ser muito maior se prontuários fossem roubados e muitos pacientes precisassem ser notificados. Ela registra cada estimativa com um valor baixo e um alto e anota a fonte. Aprende que números únicos são úteis para comparar, mas devem sempre ser lidos com sua incerteza, sobretudo nos eventos raros e graves, em que as médias escondem o que poderia de fato acontecer. No ransomware, por exemplo, o valor alto incluiria os custos de notificação caso prontuários fossem roubados.

Exemplo resolvido

Priya calcula perdas anuais esperadas que somam cinquenta e cinco mil, com o ransomware no topo, a vinte e sete mil, e registra faixas para a incerteza.

Caso sintético. As estimativas são sintéticas.

Erros e limites

As estimativas dos gestores são aproximadas. As médias escondem desfechos graves.

Exercícios

• EX040 — Maior cenário. Que cenário tem a maior perda anual esperada?
  Mostrar critérios de avaliação

  Rubrica: 3 = ransomware, a 27 mil;; 2 = ransomware;; 1 = prontuários;; 0 = nenhuma.
• EX041 — Perda total. Qual é a perda anual esperada total?
  Mostrar critérios de avaliação

  Rubrica: 3 = 55 mil;; 2 = 55.000;; 1 = vago;; 0 = nenhuma.
• EX042 — Frequente, mas pequeno. Que cenário acontece com mais frequência, mas custa menos por ano?
  Mostrar critérios de avaliação

  Rubrica: 3 = prontuários enviados errado, a 8 mil;; 2 = prontuários;; 1 = vago;; 0 = nenhuma.

Síntese

A perda esperada coloca cenários diferentes em uma mesma escala, mas precisa ser lida junto com a sua incerteza.