SoK: A Taxonomy for Cybersecurity Incident Response Influence Factors

Resumo Técnico: SoK: Uma Taxonomia para Fatores de Influência na Resposta a Incidentes de Cibersegurança

Declaração do Problema

A literatura sobre resposta a incidentes de cibersegurança (CIR) expandiu-se significativamente desde o início dos anos 2000, impulsionada pelo aumento da frequência e complexidade dos ataques cibernéticos. No entanto, este corpo de conhecimento permanece fragmentado em múltiplos domínios, incluindo tecnologia, interação humano-computador, teoria organizacional e fatores humanos. Os padrões industriais existentes (ex.: NIST SP 800-61) e os frameworks acadêmicos frequentemente carecem de uma sistematização unificada, de baixo para cima (bottom-up), dos fatores específicos que influenciam a prontidão e as capacidades de resposta de uma organização. Existe uma lacuna crítica em uma taxonomia abrangente e agnóstica ao domínio científico que consolide décadas de achados empíricos para orientar pesquisas e práticas futuras.

Metodologia

Os autores conduziram uma revisão sistemática da literatura (SLR) em três fases seguindo as diretrizes PRISMA 2020, analisando um total de 457 publicações (417 científicas, 40 não científicas) publicadas entre 1999 e meados de 2024.

1. Processo de Seleção:

   • Fase I (Busca): Uma busca sistemática no Google Scholar, JSTOR e SCOPUS utilizando conceitos centrais ("incident response", "influence", "cybersecurity") resultou em 457 artigos.
   • Fase II (Triagem): 190 artigos foram selecionados com base no alinhamento com a definição de NIST para resposta a incidentes, excluindo estudos focados exclusivamente em detecção/recuperação, operações militares/de inteligência ou incidentes cinéticos.
   • Fase III (Avaliação de Qualidade): 105 artigos revisados por pares (conferências, periódicos, teses de doutorado) que atenderam a critérios rigorosos de qualidade (design de pesquisa claro, foco em desafios organizacionais/humanos em vez de apenas inovação técnica) formaram o conjunto de dados final.

2. Desenvolvimento da Taxonomia:

   • Os autores adaptaram o método de desenvolvimento de taxonomia proposto por Nickerson et al. [11], estendendo-o para lidar com fatores qualitativos e não discretos.
   • Passo 1 (Livro de Códigos/Codebook): Uma taxonomia preliminar foi derivada de 12 artigos de alto nível usando uma abordagem de codificação mista dedutiva-indutiva. A amostragem e o refinamento iterativo continuaram até que a saturação conceitual fosse atingida.
   • Passo 2 (Validação): A taxonomia preliminar foi aplicada aos 93 artigos restantes. A confiabilidade inter-avaliador (IRR) foi medida usando o kappa de Cohen. Através de três iterações de refinamento de nomes de categorias, descrições e fusão de subcategorias sobrepostas (ex.: combinando "Gestão de Pessoas", "RH" e "Trabalho Diário" em "Gestão"), a equipe alcançou um IRR final de $\kappa = 0,721$, excedendo o limite de 0,61.
   • Comparação: A taxonomia resultante foi comparada com sete frameworks acadêmicos estabelecidos e o Perfil Comunitário NIST SP 800-61r3 para identificar lacunas de cobertura.

Principais Contribuições

A principal contribuição é a Taxonomia de Fatores de Influência na Resposta a Incidentes de Cibersegurança (CIR-IF), um framework estruturado que organiza 105 fatores de influência em dois domínios principais: Fatores Humanos e Fatores de Contexto.

• Domínio de Fatores Humanos: Foca nos indivíduos envolvidos na resposta.
  • Conhecimento: Habilidades técnicas (hard skills) e comportamentais (soft skills) dos funcionários e consciência situacional de cibersegurança.
  • Cognição, Traços de Personalidade e Comportamento (CPTB): Motivação intrínseca, confiança, gestão de estresse, construção de sentido (sensemaking), tomada de decisão e colaboração.
• Domínio de Fatores de Contexto: Foca no ambiente em que a resposta ocorre.
  • Atacante: Motivação, objetivos, capacidades e Táticas, Técnicas e Procedimentos (TTPs).
  • Regulamentações: Leis, regulamentos oficiais, normas da indústria e padrões.
  • Econômico: Orçamento, pressões de receita, impacto nos negócios e parceiros da indústria/cadeia de suprimentos.
  • Tecnologia: Ferramental, usabilidade, qualidade dos dados, infraestrutura de TI e automação.
  • Processos: Procedimentos Operacionais Padrão (SOPs), playbooks e políticas.
  • Organização: Estrutura, tamanho, hierarquia, práticas de gestão, aprendizado organizacional e cultura da empresa.

Adicionalmente, o artigo fornece um livro de códigos (codebook) com exemplos textuais para cada fator, permitindo que outros pesquisadores apliquem esta taxonomia em análises de conteúdo qualitativas (ex.: método de Mayring) e oferecendo um método para derivar potenciais relações entre os fatores.

Resultados

• Tendências de Publicação: O número de publicações relevantes teve um aumento significativo a partir de 2014, continuando a subir até 2022.
• Distribuição de Fatores:
  • Principais Fatores Humanos: Conhecimento/Habilidades dos funcionários (32%), Consciência Situacional de Cibersegurança (23%) e Colaboração (19%).
  • Principais Fatores de Contexto: Gestão (19%), Ferramental/Usabilidade/Dados/Infraestrutura de TI (16%) e SOPs/Playbooks/Políticas (16%).
• Análise de Lacunas:
  • Comparada ao NIST SP 800-61r3, a Taxonomia CIR-IF revela que o padrão foca pesadamente em fatores relacionados ao contexto (tecnologia, processos), mas sub-representa fatores humanos (capacidades cognitivas, estresse, motivação) e dinâmicas organizacionais específicas (estilos de gestão, cultura).
  • Frameworks acadêmicos existentes cobrem apenas subconjuntos das categorias identificadas na Taxonomia CIR-IF, confirmando a necessidade de um modelo mais abrangente.
• Cadeias de Dependência: Os autores construíram cadeias de dependência teórica ligando fatores entre os estudos (ex.: Gestão $\to$ Orçamento $\to$ Habilidades do Analista $\to$ Burnout $\to$ Gestão de Estresse). Estas cadeias alinham-se com o modelo de Demandas-Recursos do Trabalho (JD-R), mas são apresentadas como hipóteses para verificação futura, não como causalidade comprovada.

Significância e Alegações

O artigo posiciona a Taxonomia CIR-IF como a primeira sistematização unificada e de baixo para cima (bottom-up) dos fatores de influência em CIR derivada de dados empíricos. Sua significância reside em:

1. Prover uma Base: Oferecer aos pesquisadores um "ponto de entrada de baixa fricção" e uma base sólida para geração de hipóteses e construção de teorias em um campo que anteriormente carecia de uma estrutura unificada.
2. Preencher Lacunas: Destacar que os padrões industriais atuais (NIST) e os modelos acadêmicos frequentemente negligenciam dimensões humanas e organizacionais críticas, como o impacto dos estilos de gestão no burnout do analista ou o papel da confiança na resolução de conflitos.
3. Viabilizar Pesquisa Sistemática: O livro de códigos e a taxonomia fornecidos permitem a classificação sistemática de novos achados, facilitando a identificação de áreas subexploradas (ex.: a influência específica de parceiros da indústria, como seguradoras, na tomada de decisão).
4. Escopo Modesto: Os autores declaram explicitamente que as relações de fatores identificadas são construtos teóricos baseados na literatura existente e não representam causalidade empiricamente verificada. A taxonomia reflete o estado atual da pesquisa acadêmica e é projetada para ser extensível conforme o campo evolui.