Economia da Segurança (Perda Esperada)

Nota 04 do capítulo 13, pasta 06 - Teorias e Abordagens. Trata a segurança como problema econômico: quanto a exposição custa por ano, quanto vale reduzir e onde o próximo real de investimento paga a si mesmo.
Fornece o critério de decisão que transforma o portfólio de intervenções das notas anteriores em orçamento defendável perante o conselho.
Dialoga com a nota 01 sobre os eixos do adversário, com a nota 02 sobre custo de intervenções e com a nota 03 sobre o preço dos erros de decisão.

1. Contexto e Posicionamento na Biblioteca

A segurança de uma organização é, do ponto de vista econômico, uma alocação de recursos escassos contra perdas incertas, e não um dever absoluto com resposta infinita. Essa afirmação, que soa provocativa em primeira leitura, é a única que permite responder as perguntas que a diretoria realmente faz: quanto é suficiente, onde parar, e por que este controle e não aquele. A teoria econômica da segurança responde com uma régua simples e exigente: um investimento vale o que ele reduz de perda esperada, e o investimento ótimo é aquele em que o último real gasto compra exatamente o último real de perda evitada. Abaixo desse ponto sobra exposição barata de fechar; acima desse ponto sobra defesa que custa mais do que protege.

O posicionamento na pasta fecha o arco teórico do capítulo. A nota 01 identificou o adversário e o eixo de controle; a nota 02 forneceu o repertório de intervenções sobre o eixo controlável; a nota 03 forneceu a mecânica de decisão sob incerteza com o preço dos erros; e esta nota fornece o critério de seleção e de escala, convertendo intervenções em opções com custo anual, perda esperada evitada e benefício líquido. O produto final é a pasta de investimentos de CI tratada como a diretoria trata qualquer pasta: com números declarados, pressupostos registrados e comparação entre alternativas.

A nota também serve como antídoto ao vocabulário emocional que domina o orçamento de segurança. O medo compra ferramenta, mas não sustenta portfólio; a modinha técnica compra pilha, mas não reduz perda; o checklist de conformidade compra auditoria, mas não necessariamente exposição menor. Nenhuma dessas moedas sobrevive à pergunta econômica central, e um programa de CI que aprende a falar a moeda da perda esperada passa a competir pelo orçamento em pé de igualdade com vendas, produção e pesquisa, que sempre souberam justificar investimento por retorno.

É importante fixar o limite do método antes de aplicá-lo. A economia da segurança não mede tudo o que importa: ela desloca a conversa para o que é comparável, e há valores, como vida, segurança de pessoas e integridade institucional, que entram como restrições de contorno e não como variáveis de otimização. O programa maduro declara essas restrições no topo da pasta, garante que nenhum cálculo as viole, e só então aplica a régua da perda esperada ao restante do portfólio; a régua ordena as escolhas dentro do espaço permitido, e não define o espaço.

2. Segurança como Problema Econômico

O fundamento do raciocínio é o trade-off declarado: recursos alocados em segurança competem com recursos alocados em tudo o mais que a organização faz, e a decisão racional exige comparar o que cada real compra nas diferentes alocações. A segurança tem, ainda, uma característica que complica a comparação: seu benefício é a ausência de evento, e ausência não aparece em relatório. A contabilidade da perda esperada resolve o problema ao converter o que não aconteceu em valor mensurável, a perda evitada, que é a diferença entre a perda esperada com e sem o controle.

A segunda peça do fundamento é a distinção entre risco absoluto e risco marginal. A pergunta gerencial útil nunca é "podemos ser hackeados", porque a resposta é sempre sim; a pergunta útil é "quanto muda a perda esperada se eu comprar mais uma unidade de defesa", e é aí que a decisão acontece. Risco absoluto é útil para despertar atenção; risco marginal é útil para alocar orçamento, e programas que misturam os dois discursos terminam apresentando catástrofe como justificativa de linha de item.

A disciplina do marginal tem um teste de mesa que qualquer comitê pode aplicar em cinco minutos. Toda proposta de investimento deve responder três perguntas por escrito: qual parcela da equação da seção 3 a proposta ataca, qual é a mudança esperada nessa parcela e qual é a fonte que sustenta a mudança. Proposta que não responde as três não é proposta de investimento, é desejo com orçamento, e o comitê que adota esse filtro como política descobre, nos primeiros ciclos, que a maioria das demandas que chega não sobrevive ao segundo questionamento.

A terceira peça é a assimetria de informação entre quem pede e quem aprova. O CISO conhece a exposição com mais detalhe do que quem financia, e essa assimetria convida ao exagero; a disciplina da perda esperada reduz o espaço do exagero porque cada afirmação vem acompanhada do pressuposto que a sustenta, e pressupostos escritos podem ser questionados, testados e revisados. É por isso que a economia da segurança é também uma tecnologia de credibilidade, e não apenas de cálculo.

3. Perda Anual Esperada e suas Formulações

A formulação clássica da perda esperada usa quatro grandezas encadeadas. O valor do ativo, AV, mede o que vale o recurso exposto; o fator de exposição, EF, mede a fração do valor perdida em um evento; a perda única esperada, SLE, é o produto dos dois; e a taxa anual de ocorrência, ARO, mede quantas vezes por ano o evento se espera. A perda anual esperada, ALE, fecha a conta: ALE = SLE x ARO. A fórmula é deliberadamente simples, e sua utilidade está menos na aritmética do que na obrigação de declarar cada parcela, porque cada parcela é uma discussão que o programa precisa conseguir sustentar.

A formulação pontual tem limites conhecidos, e a prática moderna os endereça substituindo números únicos por distribuições. Perdas de evento raramente seguem média estável, porque distribuições de dano têm cauda longa; frequências variam com a conjuntura; e eventos de baixa probabilidade com dano alto são exatamente os que a média esconde. As formulações modernas modelam a perda anual como variável aleatória, somam eventos com simulação de Monte Carlo e entregam curvas de perda excedente, que respondem a pergunta executiva de outro nível: não qual é a perda média, mas qual a chance de a perda do ano passar de um valor dado.

A simulação abaixo ilustra o método com poucas linhas, e é o formato que uma equipe de CI consegue manter viva em ferramenta de análise de dados.

import numpy as np

rng = np.random.default_rng(42)
n = 100_000
# Perda por evento: lognormal com mediana de 2 milhoes (cauda longa)
sle = rng.lognormal(mean=np.log(2_000_000), sigma=1.0, size=n)
# Ocorrencia no ano: bernoulli com p = 0,10
evento = rng.random(n) < 0.10
perda_anual = np.where(evento, sle, 0.0)
print(f"ALE medio: R$ {perda_anual.mean():,.0f}")
print(f"P90 da perda anual: R$ {np.percentile(perda_anual, 90):,.0f}")
print(f"Chance de passar de 5 mi: {(perda_anual > 5_000_000).mean():.1%}")

A leitura dos resultados segue a pergunta que motivou o modelo. O valor médio alimenta a comparação entre alternativas de investimento, porque é ele que o ALE clássico usa; o percentil 90 e a chance de ultrapassar limites alimentam a conversa de apetite de risco com o conselho, porque expressam cauda. Um controle que reduz pouco a média, mas corta drasticamente a cauda, pode ser a compra certa para uma organização intolerante a evento grave, e nenhuma média isolada revela isso.

4. Investimento Ótimo: Gasto Marginal e Redução Marginal de Perda

A condição de ótimo da economia da segurança é a mesma de qualquer decisão econômica: investir até que o gasto marginal iguale a redução marginal de perda. A intuição por trás da condição é a retornos decrescentes: as primeiras dezenas de milhares investidos fecham as exposições mais baratas e compram grandes reduções de perda; os seguintes compram reduções menores; e em algum ponto cada real adicional compra menos de um real de perda evitada, momento em que o investimento adicional destrói valor. A curva de redução de perda é côncava, a curva de custo é reta, e o ótimo está onde as duas se afastam pela última vez.

A condição marginal tem uma consequência prática que muda conversas de orçamento: ela transforma a pergunta "quanto vamos gastar em segurança" em "quantas unidades de redução de perda compramos, em que ordem, e onde paramos". O formato correto de proposta é a fila ordenada de intervenções por razão entre redução de perda esperada e custo anual, com a linha de corte declarada; o orçamento aprovado é a soma da fila até a linha de corte, e cada item acima da linha tem benefício líquido positivo documentado. A tabela do exemplo da seção 7 é exatamente esse formato.

A ordem típica da fila em programas de CI segue a razão entre redução e custo, e a tabela abaixo registra o padrão observado quando as intervenções partem de superfície ainda não tratada. A ordem não é dogma, e a fila real da organização sai dos números dela; o valor do padrão está em dar ponto de partida plausível para a primeira conversa de orçamento.

O desenho da fila também recebe a lição das notas anteriores. Intervenções sobre o eixo de oportunidade, o repertório da nota 02, tendem a dominar o topo da fila porque são baratas e servem contra vários adversários simultaneamente; intervenções de detecção, que reduzem a perda por evento ao encurtar o tempo de permanência, aparecem na sequência; e intervenções de dissuasão por punição, com efeito incerto sobre intenção, entram por último e com pressupostos conservadores. A fila ordenada é, portanto, a síntese prática do capítulo inteiro em uma única tabela com números.

5. Gordon-Loeb e o Intervalo Racional de Investimento

O modelo de Gordon e Loeb formalizou a condição marginal para o caso da segurança da informação e produziu o resultado mais citado da área: para uma família ampla de funções de vulnerabilidade, o investimento ótimo em segurança não excede aproximadamente 37 por cento da perda esperada, o inverso da constante e de Napier dividido pela própria constante, cerca de 1 dividido por e. O resultado é contraintuitivo e útil: gastar mais do que cerca de um terço da perda esperada em proteção de um ativo específico destrói valor no modelo, porque os retornos decrescentes da proteção dominam a partir dali, e parte do valor do ativo permanece exposta mesmo com investimento elevado.

O mesmo trabalho observa que, nas parametrizações realistas da função de vulnerabilidade, o ótimo costuma ficar bem abaixo do teto teórico, e as aplicações práticas derivadas do modelo citam com frequência uma faixa de poucos pontos percentuais da perda esperada como zona típica de investimento racional por ativo. A leitura correta do modelo não é um número mágico de orçamento global, e sim duas disciplinas: não comprar proteção além do teto, e exigir que cada real investido mostre a redução de vulnerabilidade que o justifica. A crítica legítima ao modelo, que assume adversário com ataque aleatório e independente, é endereçada pelo capítulo: quando o direcionamento é deliberado, como em espionagem econômica, a redução de perda pode ser mais sensível a oportunidade do que o modelo clássico prevê, e é por isso que as intervenções situacionais da nota 02 merecem prioridade na fila.

6. Aplicação a Decisões de CI e Threat Hunting

O aparato econômico se aplica diretamente às decisões de CI porque cada função do programa age em uma parcela da equação. Intervenções de prevenção situacional reduzem a ARO, ao tornar a ocorrência menos provável; a detecção e o hunting reduzem a perda por evento, ao encurtar o tempo de permanência do adversário e, com ele, o fator de exposição; e a dissuasão por punição pretende reduzir a ARO sobre um horizonte mais longo, com evidência mais fraca e pressupostos a monitorar. Um programa que sabe qual parcela cada linha do orçamento ataca pode comparar alternativas de naturezas diferentes com a mesma moeda.

O hunting merece nota econômica específica porque é a linha de orçamento com retorno menos intuitivo para a diretoria. O valor do hunting não está em caçar por caçar, está em reduzir o tempo de permanência em cenários que a prevenção não bloqueou, e cada hora de permanência encurtada multiplica-se pelo custo por hora da coleta adversária. Um exercício honesto de valoração parte do histórico da organização: se o tempo médio de permanência em casos de espionagem foi de meses, e a coleta relevante acontece em janelas específicas, a redução de permanência de cento e oitenta para trinta dias pode cortar a fração exposta, o EF, em um fator grande, e é esse fator, e não o número de hunt executados, que entra na equação do orçamento.

7. Exemplo Numérico Completo de Decisão de Investimento

O exemplo abaixo decide a pasta de investimento da fabricante de componentes industriais do cenário do capítulo sobre o ativo crítico CJ-01, o repositório de precificação e custos. Os pressupostos são declarados antes da aritmética, e a revisão deles é parte do exercício: o valor do ativo, AV, é estimado em 30 milhões de reais entre vantagem competitiva e custo de reconstituição; o fator de exposição, EF, em um evento típico de espionagem é 0,4; e a taxa anual de ocorrência, ARO, com a superfície atual é 0,10, uma chance em dez por ano, calibrada com a base de casos do setor.

Passo 0: perda esperada sem investimento adicional
  SLE = AV x EF = 30.000.000 x 0,4 = 12.000.000
  ALE = SLE x ARO = 12.000.000 x 0,10 = 1.200.000 por ano

Passo 1: fila de alternativas com pressupostos declarados
  A: MFA resistente a phishing, DLP de egress e revisao de acessos
     custo 450.000/ano; reduz ARO de 0,10 para 0,04
  B: programa de CI com hunting dedicado e duas iscas tecnicas
     custo 250.000/ano; reduz EF de 0,4 para 0,24 (permanencia menor)
  C: pacote de dissuasao juridica e monitoramento de exposicao
     custo 180.000/ano; reduz ARO de 0,10 para 0,085

Passo 2: reducao de perda esperada por alternativa
  A: ALE novo = 12.000.000 x 0,04  = 480.000; reducao = 720.000
  B: SLE novo = 30.000.000 x 0,24 = 7.200.000;
     ALE novo = 7.200.000 x 0,10 = 720.000; reducao = 480.000
  C: ALE novo = 12.000.000 x 0,085 = 1.020.000; reducao = 180.000

Passo 3: beneficio liquido anual
  A: 720.000 - 450.000 = 270.000
  B: 480.000 - 250.000 = 230.000
  C: 180.000 - 180.000 = 0 (no limiar; nao aprovado isoladamente)

Passo 4: combinacao A + B (com interacao conservadora)
  ARO = 0,04 e EF = 0,24: ALE = 30.000.000 x 0,24 x 0,04 = 288.000
  Reducao = 1.200.000 - 288.000 = 912.000
  Custo = 700.000; beneficio liquido = 212.000
  A soma isolada de A e B superestima: a interacao reduz o ganho
  conjunto, e o calculo combinado e o que decide.

Passo 5: teste do teto de Gordon-Loeb
  Teto = 1.200.000 / e = cerca de 441.000 por ano no estado atual
  A isolado (450.000) esta na borda; a pasta A + B excede o teto,
  o que sinaliza retorno decrescente e exige monitoramento dos
  pressupostos antes de qualquer expansao adicional.

A decisão que sai do exercício tem três camadas de leitura. Na camada da fila, A e B são aprovados por benefício líquido positivo e C não, e a fila continua sendo construída com as próximas intervenções da nota 02 até esgotar a lista acima da linha de corte. Na camada da interação, o ganho conjunto de A mais B é menor que a soma dos ganhos isolados, porque as duas alternativas atacam parcialmente o mesmo caminho, e a lição permanente é que portfólio se calcula combinado, e não item a item. Na camada do teto, a pasta combinada ultrapassa o limite racional do modelo, e a resposta correta não é cancelar o excedente cegamente, e sim reconhecer que o próximo real dessa pasta compra pouco e que reduções estruturais de custo, como simplificar o repositório CJ-01 e reduzir o valor exposto, valem mais do que mais uma camada de defesa.

O exercício termina com a agenda de calibração, porque pressuposto não declarado é passivo silencioso. A ARO de 0,10 é reestimada anualmente com a base de casos do setor; o EF do cenário B é medido pelo tempo de permanência observado nos exercícios e nos casos; e o benefício da dissuasão é revisado pela taxa de repetição de direcionamento ao setor. Quando os números mudam, a fila se reordena, e a pasta é reapresentada; a permanência dos pressupostos no documento é o que distingue gestão econômica de defesa de orçamento.

A análise de sensibilidade fecha o exercício com honestidade sobre incerteza. Para cada alternativa aprovada, vale reexecutar o cálculo com a parcela mais incerta em faixa, por exemplo ARO em 0,05 e 0,15, e verificar se o benefício líquido permanece positivo em todo o intervalo; a alternativa que só paga no cenário otimista entra na pasta com reserva, e a que paga em todo o intervalo sustenta a aprovação sem reservas. O esforço adicional é pequeno, e a diferença de qualidade da decisão é grande, porque a diretoria para de escolher entre número único e desconfiança, e passa a escolher entre alternativas com incerteza declarada.

8. Erros Comuns e Pontos de Atenção

• Tratar ALE como verdade e não como estimativa: cada parcela carrega incerteza própria, e a disciplina mínima é declarar faixa e fonte por parcela, com a simulação da seção 3 quando o cenário justifica.
• Somar benefícios de controles que atacam o mesmo caminho: interações entre alternativas reduzem o ganho conjunto, e pasta aprovada item a item superestima o benefício total de forma sistemática.
• Aplicar o teto de Gordon-Loeb como número mágico de orçamento global: o teto vale por ativo e por função de vulnerabilidade, e o direcionamento deliberado da espionagem econômica desloca o ótimo para intervenções de oportunidade.
• Ignorar a cauda da distribuição na decisão: médio otimista esconde o cenário grave, e controles que cortam cauda valem mais do que a redução de média revela para organizações intolerantes a evento grave.
• Deixar pressupostos sem dono e sem data: ARO e EF estimados uma vez e jamais revisitados contaminam todas as decisões seguintes; calibração anual com dados próprios é parte do programa, e não refinamento opcional.
• Converter o exercício em barganha: números que só aparecem quando conveniente destruem a credibilidade que dá poder à moeda econômica; pressuposto questionado abertamente vale mais que pressuposto impecável e suspeito.
• Medir o programa por atividade: quantidade de hunt, alertas e relatórios não é retorno; a moeda única é perda esperada evitada, e o painel do programa precisa traduzir cada linha nela.
• Otimizar a média e esquecer a restrição de cauda: pasta que maximiza benefício líquido médio pode ainda aceitar chance inaceitável de evento grave; o apetite de risco declarado pelo conselho entra como restrição antes da otimização.

9. Integração com o Restante da Biblioteca

Dentro do capítulo, esta nota fecha o arco das quatro notas da pasta: a nota 01 define o que medir sobre o adversário, a nota 02 define o repertório de intervenção com custo e prazo, a nota 03 define o preço dos erros de decisão e a mecânica de atualização, e esta nota define a seleção e a escala do investimento. As filas de prioridade que a seção 4 descreve consomem diretamente a ficha de adversário e a matriz de risco da pasta 04, e a aprovação da pasta percorre a matriz de autorização da nota de Responsabilidade Executiva da pasta 07, com o checklist legal da nota de Marcos Legais como filtro prévio de cada linha elegível.

Fora do capítulo, o capítulo 11 de métricas recebe daqui a moeda de valoração, e o exercício de maturidade do capítulo 15 ganha a pergunta econômica por nível: o que muda na fila de investimentos quando o programa sobe de nível. As notas de threat hunting dos capítulos anteriores recebem o exercício de valoração do tempo de permanência, e as notas de governança de dados recebem a disciplina de pressupostos com dono e data. A lição que atravessa a integração é que a economia da segurança não substitui nenhuma técnica da biblioteca, e sim dá a todas a moeda comum que permite competir pelo orçamento e provar, ciclo após ciclo, que o programa de CI compra mais perda evitada por real do que as alternativas disponíveis.