Prevenção Situacional e Dissuasão

Nota 02 do capítulo 13, pasta 06 - Teorias e Abordagens. Traz a prevenção situacional da criminologia e a dissuasão por custo como teoria de ação da contra-inteligência corporativa: o que a organização faz para mudar a situação em que o adversário decide.
Operacionaliza o eixo de oportunidade da nota 01 e fornece a lógica de custo que a nota 04 desta pasta traduz em números.
Dialoga com as notas de CI Ofensiva da pasta 02 (decepção e honeypots), com Hardening de Ativos da CI Defensiva e com Ameaças Internas da pasta 05.

1. Contexto e Posicionamento na Biblioteca

A criminologia situacional parte de uma inversão de foco que dá nome à teoria: em vez de perguntar por que certas pessoas cometem crimes, ela pergunta por que certas situações produzem crimes, e trata o evento criminal como resultado de uma decisão tomada em um contexto concreto, com custos, riscos e recompensas percebidos pelo ofensor. Deslocar a análise da pessoa para a situação é o que a torna útil para a contra-inteligência corporativa, porque a organização não pode reescrever a biografia de um serviço de inteligência estrangeiro, de um grupo criminoso ou de um concorrente faminto, mas pode reescrever a própria superfície. O adversário que a CI enfrenta é, na esmagadora maioria dos casos, um seletor de caminhos: escolhe alvos acessíveis, explora procedimentos frouxos e evita onde a coleta custa caro.

Esta nota é o manual de manipulação do eixo de oportunidade definido na nota 01. Lá ficou estabelecido que oportunidade é o único eixo sobre o qual a organização tem controle direto; aqui está o repertório de intervenções sobre esse eixo, organizado em cinco estratégias e vinte e cinco técnicas, mais a camada de dissuasão por custo que age, indiretamente, sobre intenção e capacidade percebidas. A nota 03 desta pasta fornece a métrica de sinal para saber se as intervenções estão realmente movendo a detecção, e a nota 04 fornece o critério econômico para decidir quais intervenções valem o investimento.

A prevenção situacional combina mal com a intuição de segurança que vem do cinema, na qual a defesa é um confronto de vontades entre defensor e atacante genial. A evidência empírica acumulada em décadas de pesquisa criminal e a observação de incidentes corporativos apontam na direção oposta: a maior parte das intrusões usa vetores conhecidos, acessos válidos e caminhos de menor resistência, e a maior parte dos ataques desistidos desiste diante de atrito banal, como autenticação adicional, monitoramento visível ou procedimento que registra. Uma teoria de defesa que assume seletor racional de caminhos descreve o mundo real com mais fidelidade do que uma teoria que assume gênio malévolo, e é por isso que ela sustenta o desenho operacional deste capítulo.

2. O Triângulo do Crime e a Lógica Situacional

A base conceitual da prevenção situacional é o triângulo do crime, derivado da abordagem de atividades cotidianas: para o evento ocorrer, é preciso um ofensor motivado, um alvo adequado e a ausência de guardião competente, reunidos em um lugar e momento. O triângulo tem utilidade prática imediata porque converte a pergunta vaga "estamos seguros" em três perguntas verificáveis por ativo: quem tem motivação sobre este ativo, o que torna o alvo adequado e acessível, e quem vigia e reage quando algo acontece. Um programa de CI que responde as três perguntas por ativo crítico já tem mais desenho de defesa do que a média do mercado.

A terceira peça da teoria é a perspectiva de escolha racional, que explica como o triângulo se fecha: o ofensor pesa, de modo aproximado e imperfeito, o ganho esperado contra o custo e o risco percebidos, e essa ponderação é altamente sensível a detalhes da situação. O ofensor não calcula com planilha, mas reage a atrito, a sinais de vigilância e à dificuldade de revender o produto da coleta, e reage de forma rápida. A implicação para a defesa é generosa com a organização: mudanças situacionais pequenas e baratas deslocam decisões do adversário de forma desproporcional ao custo da intervenção, porque operam na margem exata em que a decisão dele é tomada.

3. As Cinco Estratégias

As cinco estratégias da prevenção situacional organizam o repertório de intervenção pela dimensão da decisão do ofensor que cada uma atinge. Elas não competem entre si, e se complementam porque atuam em momentos diferentes do ciclo de decisão: algumas tornam o ataque mais difícil antes, outras elevam a chance de detecção durante, e outras reduzem o valor do que foi levado depois.

A leitura integrada da tabela revela por que programas exclusivamente técnicos entregam menos do que prometem: as três primeiras estratégias são dominadas pelas equipes de segurança da informação, mas as duas últimas, provocações e desculpas, vivem em processos de RH, comunicação e gestão, e são justamente as que mais pesam contra a ameaça interna documentada na pasta 05. O adversário externo escolhe a organização que vale o esforço; o insider descontente é, em larga medida, produzido pela própria situação interna, e é esse recorte que a prevenção situacional enxerga e o hardening puro não vê.

As estratégias também têm custos e prazos de implantação muito diferentes, e essa diferença organiza a sequência de qualquer programa real. Esforço e desculpas são baratos e rápidos, porque se apoiam em configuração, política e comunicação; risco exige engenharia de telemetria e revisão ética das iscas; recompensa exige mudanças em fluxos de negócio, contratos e formatos de dado, que são as mudanças mais lentas de qualquer organização. Um plano que respeita essa ordem entrega efeito perceptível em semanas e mantém o patrocínio executivo vivo para as fases longas.

4. As 25 Técnicas de Clarke e Newman no Ciberespaço

As cinco estratégias se desdobram em vinte e cinco técnicas consolidadas por Ronald Clarke e, para o ambiente tecnológico, adaptadas em conjunto com Ross Newman. A tabela abaixo mapeia cada técnica para o ciberespaço com exemplo concreto e verificável; o nome canônico vem entre parênteses para facilitar a consulta à literatura original. A técnica de controle de drogas e álcool é adaptada como controle de desinibidores, porque no ambiente corporativo digital os desinibidores relevantes são contextos de risco emocional e acessos sem supervisão, e não substâncias.

Duas advertências acompanham a tabela. A primeira é que a técnica certa nasce do problema situacional analisado, e não da leitura sequencial da lista; aplicar as vinte e cinco como checklist de compras produz orçamento diluído e efeito raso. A segunda é que técnicas operam em combinação, e o efeito relevante para o adversário é o do conjunto: MFA sem DLP, por exemplo, desloca o ofensor do roubo de senha para o roubo de sessão, e a medida isolada apenas muda o vetor de lugar.

5. Dissuasão por Custo e suas Condições

A dissuasão por custo, o deterrence da doutrina, é a estratégia complementar da prevenção situacional: em vez de mudar a situação, tenta mudar o cálculo do ofensor elevando o custo esperado da ação acima do benefício esperado. O custo esperado tem três componentes clássicos: a severidade da consequência, a certeza de que ela será aplicada e a celeridade com que chega, e a literatura e a prática convergem em um ponto que a corporação precisa internalizar: a certeza é o componente mais poderoso, e consequências severas mas improváveis dissuadem muito menos do que consequências moderadas e praticamente certas.

A dissuasão corporativa tem duas formas que precisam ser distinguidas. A dissuasão por negação convence o adversário de que a coleta não vai produzir resultado utilizável, e opera por defesa, detecção e invalidez do produto roubado, como rotação de chaves que inutiliza dados exfiltrados. A dissuasão por punição convence o adversário de que a ação vai gerar consequência, e opera com os instrumentos que a empresa realmente tem: takedowns, ação judicial, cooperação com autoridades e CSIRTs, sanções contratuais a fornecedores e comunicação setorial que encarece a reputação do intermediário. A forma por negação está sob controle direto da organização; a forma por punição depende de terceiros, e exige relações construídas antes do incidente.

A dissuasão só funciona sob condições que podem ser verificadas, e a tabela abaixo as lista com o sinal de que a condição falhou. O teste das condições é uma disciplina de honestidade: programa que anuncia dissuasão sem cumprir as condições abaixo está comunicando, para o adversário atento, exatamente o contrário do que pretende.

A componente de informação merece um exemplo prático porque é onde a dissuasão corporativa falha com mais frequência e onde mais se recupera com pouco custo. Um aviso visível de monitoramento nas telas de logon, um termo de compromisso assinado no onboarding, uma política de persecução publicada internamente e a aplicação real de uma consequência em caso concreto, comunicada de forma impessoal, compõem o pacote mínimo de informação que o adversário interno precisa receber; sem esse pacote, o funcionário que racionaliza o desvio assume que ninguém olha, e a assumir que ninguém olha, o custo percebido da ação é zero.

6. Exemplo de Aplicação Completa em um Programa Corporativo

O exemplo a seguir aplica o modelo completo no cenário que acompanha o capítulo: a fabricante de componentes industriais que identificou, pela ficha da nota 01, a consultoria K operando por engenharia social comercial sobre pessoas-chave, com oportunidade elevada por perfis públicos e ausência de registro de abordagens. O programa abaixo não é uma lista de desejos, é uma sequência de intervenções com estratégia, técnica e efeito esperado declarados, na ordem em que um programa real as executaria.

A sequência de implantação segue a lógica de atrito e credibilidade. As intervenções de esforço e de desculpas entram primeiro, porque são baratas, rápidas e não dependem de engenharia complexa; as de risco entram em seguida, porque exigem registro e revisão pelo comitê de ética conforme a nota de Oversight; as de recompensa entram por último, porque envolvem mudança em fluxos de negócio e contratos. O erro de implantação comum é inverter a ordem e começar pelo projeto caro e demorado, deixando o programa sem resultado visível no primeiro trimestre, que é justamente o período em que o patrocínio executivo se decide.

O roteiro abaixo consolida a implantação em formato de playbook trimestral, pronto para ser anexado ao plano do programa e cobrado em cada ciclo.

PLAYBOOK DE IMPLANTACAO - PREVENCAO SITUACIONAL (TRIMESTRES 1 A 4)

T1 - Esforco e desculpas (barato e rapido)
  - MFA resistente a phishing para acessos privilegiados.
  - Politica de compartilhamento revisada com canal oficial de
    mensagens e aviso de monitoramento vigente.
  - Registro unico de abordagens com treinamento breve do publico
    exposto.

T2 - Risco (exige registro e revisao etica)
  - Canarios de DNS e duas iscas tecnicas, registradas no modelo de
    oversight e com prazo de encerramento.
  - Procedimento de resposta a abordagem com relatorio trimestral.

T3 - Recompensa (exige negociacao de negocio)
  - Marca d'agua em documentos estrategicos e particionamento do
    repositorio de precificacao por necessidade de conhecer.
  - Revisao de privacidade de perfis publicos de pessoas-chave.

T4 - Consolidacao
  - Painel de metricas da secao 7 operante com linha de base.
  - Reavaliacao da ficha de adversario da nota 01 e reclassificacao
    da celula da matriz de risco.
  - Licoes registradas e proxima iteracao planejada.

7. Métricas de Efeito Situacional

O programa precisa medir mudança de situação, e não atividade de projeto, porque adversário não se vence com quantidade de controles implantados e sim com custo percebido elevado. As métricas abaixo são o painel mínimo, e cada uma tem direção desejada declarada para evitar a leitura vaga de "melhorou".

A leitura do painel tem uma regra de honestidade que evita a falsa vitória: o adversário desloca para o vetor mais barato, e a métrica do vetor bloqueado pode melhorar enquanto o risco total piora em outro lugar. Por isso o painel é lido em conjunto com a ficha de adversário da nota 01 e com a telemetria de sinais da nota 03 desta pasta, e a pergunta do ciclo não é se o controle funcionou, é se o custo total percebido de coletar nesta organização subiu.

A linha de base é o segundo cuidado de medição, porque métrica sem valor anterior é número solto. Cada métrica da tabela precisa de leitura registrada antes da intervenção correspondente, e o efeito é declarado como diferença contra a linha de base em janela definida, e não como valor absoluto do trimestre. O terceiro cuidado é a interpretação da direção de eventos bloqueados: queda súbita de disparos pode significar tanto superfície fechada quanto detecção degradada, e a leitura correta cruza a métrica com a verificação técnica de sanidade do controle antes de celebrar.

8. Erros Comuns e Pontos de Atenção

• Confundir prevenção situacional com hardening puro: a teoria inclui recompensa, provocação e desculpas, dimensões que hardening técnico não cobre; programa só técnico executa três das cinco estratégias e perde justamente as mais efetivas contra ameaça interna.
• Aplicar as 25 técnicas como checklist descontextualizado: a técnica nasce do problema situacional analisado, e a análise, e não a lista, é o produto intelectual; sem ela o programa vira lista de compras com orçamento diluído.
• Tratar dissuasão como comunicado: ameaça sem credibilidade ensina ao adversário que o custo anunciado é vazio, e uma consequência aplicada e registrada vale mais do que política alguma publicada.
• Ignorar o deslocamento do adversário: bloquear o vetor mais usado não reduz a soma dos vetores; medir somente o vetor bloqueado produz vitória estatística com derrota real, e o painel precisa cobrir o portfólio de vetores.
• Conflitar dissuasão com ética: a camada de punição e a de vigilância sobre pessoas tocam a régua da nota de Ética e o modelo de oversight, e intervenção sem revisão prévia vira passivo jurídico no primeiro caso contestado.
• Esquecer o insider nas provocações e desculpas: as duas estratégias que vivem fora da TI são as que mais pesam contra a ameaça interna da pasta 05, e são as mais negligenciadas porque pertencem a outro orçamento.

9. Integração com o Restante da Biblioteca

A nota 01 desta pasta fornece o diagnóstico: é a ficha de adversário que identifica em qual eixo a situação está fraca e onde a intervenção situacional tem maior retorno. Esta nota fornece o repertório de resposta, a nota 03 fornece a métrica de sinal para verificar se a intervenção mudou a detecção, e a nota 04 fornece o critério econômico que transforma o portfólio de intervenções em decisão de orçamento com perda esperada evitada. Dentro do capítulo, as técnicas 4 e 5 da tabela da seção 4 são operacionalizadas nas notas de CI Ofensiva da pasta 02, e a isca que elas usam precisa do registro e da conciliação do modelo de oversight; a técnica 17 dialoga diretamente com a nota de Ameaças Internas, que documenta como o ressentimento processual se converte em risco.

Fora do capítulo, a nota de Hardening de Ativos da CI Defensiva cobre em profundidade as técnicas 1 e 2, e o capítulo 11 de métricas recebe daqui o painel de efeito situacional como contribuinte do índice de eficácia do programa. A lição que atravessa a integração é que a prevenção situacional é a teoria de ação do eixo de oportunidade: ela transforma a constatação de que "somos acessíveis" em um portfólio nomeado de intervenções com estratégia, técnica, métrica e revisão, e é essa transformação que separa a teoria aplicada da frase de efeito em apresentação executiva.