Capítulo 24 — Privacidade e proteção de dados: controles
Mapa da aula
Aula 24 publicada. Mapa, exemplo, EX070.
flowchart TD
N0["24.1 Conjunto de controles"]
N1["24.2 Tabela de temporalidade"]
N2["24.3 Treinamento"]
N3["24.4 Responsáveis"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX070"]
Desenho lógico
flowchart LR
N0["24.1 Conjunto de controles"]
N1["24.2 Tabela de temporalidade"]
N2["24.3 Treinamento"]
N3["24.4 Responsáveis"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX070"]
[24.1 Conjunto de controles]
|
v
[24.2 Tabela de temporalidade]
|
v
[24.3 Treinamento]
|
v
[24.4 Responsáveis]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX070]
Objetivos de aprendizagem
Você vai (1) projetar controles organizacionais e técnicos para uma rede de escolas; (2) ligar os controles aos riscos; (3) atribuir responsáveis.
24.1 Conjunto de controles
Elena projeta um conjunto de controles para a rede. Os controles organizacionais incluem o esquema de triagem de aplicativos, o treinamento da equipe, uma tabela de temporalidade dos registros e a caixa central de pedidos. Os controles técnicos incluem o acesso baseado em funções, o login único, a criptografia, os backups e a supressão de células pequenas. Ela liga cada controle aos riscos que reduz e aos princípios que apoia. Essa ligação permite explicar ao conselho por que cada controle existe e o que aconteceria se fosse removido. Cada controle indica seu risco, e a lista cabe em duas páginas.
24.2 Tabela de temporalidade
Elena redige uma tabela de temporalidade. Os registros dos alunos seguem as exigências da legislação educacional; os registros de proteção das crianças são guardados conforme as orientações legais; as fotografias dos boletins são mantidas durante o ano corrente; os dados dos aplicativos são excluídos quando o aluno sai. Ela explica que as tabelas de temporalidade implementam a limitação da conservação e reduzem o que poderia ser exposto numa violação; a LGPD trata do término do tratamento nos arts. 15 e 16. Ela observa que alguns prazos são fixados em lei e precisam ser confirmados com a assessoria jurídica da rede, que os confirma.
24.3 Treinamento
O treinamento é um controle. Elena desenha sessões curtas para funções diferentes: os professores aprendem sobre a triagem de aplicativos e os e-mails enviados ao destinatário errado; a secretaria aprende a verificar a identidade nos pedidos; os responsáveis pela proteção das crianças aprendem sobre registros seguros. Cada sessão usa exemplos escolares e termina com um questionário curto. Ela mede a participação e as notas dos questionários. Observa que o treinamento só muda o comportamento quando combinado com sistemas que apoiam as escolhas certas. As notas subiram, mas a contagem de incidentes conta uma história mais útil sobre o comportamento.
24.4 Responsáveis
Cada controle precisa de um responsável. O responsável pela proteção de dados cuida do registro das atividades e da caixa de pedidos; o gerente de TI cuida do acesso, da criptografia e dos backups; os diretores cuidam da participação no treinamento em suas escolas. Elena escreve uma descrição de uma página para cada controle. O Dr. Asante observa que os controles sem responsável se deterioram em silêncio, e que a responsabilidade é a diferença entre um documento de política e um controle que funciona. Cada responsável tem um substituto nomeado e uma data de revisão no calendário de operações, a cada período letivo.
Exemplo resolvido
Elena projeta controles organizacionais e técnicos ligados aos riscos, redige uma tabela de temporalidade, cria treinamentos por função com questionários e atribui responsáveis com descrições de uma página.
Caso sintético. Os controles são sintéticos; os arts. 15 e 16 da LGPD são reais.
Erros e limites
As métricas de treinamento medem mais a presença que o comportamento; combine-as com os dados de incidentes.
Exercícios
- EX070 — Ligar os controles. Por que ligar cada controle a riscos e princípios? Rubrica: 3 = para explicar por que ele existe e o que sua remoção causaria;; 2 = menciona justificativa;; 1 = desnecessário;; 0 = nenhuma.
- EX071 — Retenção das fotos. Por quanto tempo as fotografias dos boletins são mantidas na tabela? Rubrica: 3 = durante o ano corrente;; 2 = aproximadamente;; 1 = indefinidamente;; 0 = nenhuma.
- EX072 — Responsáveis importam. Por que todo controle precisa de um responsável? Rubrica: 3 = controles sem responsável se deterioram em silêncio;; 2 = menciona manutenção;; 1 = opcional;; 0 = nenhuma.
Síntese
O capítulo 24 projeta controles. O capítulo 25 é o primeiro laboratório.
Continue estudando — aula 24 (capítulo 24 de 40)
← Capítulo 23 · Índice das aulas · Capítulo 25 →
Continue para a próxima aula já escrita.