Capítulo 14 — Fundamentos de privacidade

Mapa da aula

Aula 14 publicada. Mapa, exemplo, EX027.

flowchart TD
  N0["14.1 Princípios"]
  N1["14.2 Tempo de vida do dano"]
  N2["14.3 A minimização como controle quântico"]
  N3["14.5 Atividade prática"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX027"]

Desenho lógico

flowchart LR
  N0["14.1 Princípios"]
  N1["14.2 Tempo de vida do dano"]
  N2["14.3 A minimização como controle quântico"]
  N3["14.5 Atividade prática"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX027"]

[14.1 Princípios]
    |
    v
[14.2 Tempo de vida do dano]
    |
    v
[14.3 A minimização como controle quântico]
    |
    v
[14.5 Atividade prática]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX027]

Objetivos de aprendizagem

Você vai (1) enunciar princípios centrais de privacidade, como a limitação da finalidade e a minimização; (2) relacionar o dano à privacidade com o tempo de confidencialidade; (3) explicar por que o "colete agora, decifre depois" é um problema de privacidade; e (4) projetar uma medição que minimize os dados para o trabalho de migração.

14.1 Princípios

A legislação e a prática de privacidade compartilham princípios comuns: coletar dados pessoais para uma finalidade declarada, coletar apenas o necessário (minimização), guardá-los apenas pelo tempo necessário (limitação do armazenamento), protegê-los adequadamente e ser transparente. Esses princípios dizem respeito às pessoas, e não aos sistemas; um dano à privacidade é um dano a um associado cujos dados são expostos, mesmo que a organização não sofra perda alguma.

Numa migração quântica, esses princípios moldam duas coisas: quais dados mais precisam de proteção e como o próprio trabalho de migração trata as informações pessoais encontradas pelo caminho.

14.2 Tempo de vida do dano

Alguns dados pessoais deixam de importar rapidamente; outros continuam sensíveis por toda a vida — condições de saúde, dificuldades financeiras, documentos de identidade. O "colete agora, decifre depois" transforma a sensibilidade de vida longa em risco presente: o tráfego gravado hoje pode revelar amanhã o que um associado contou em confiança décadas antes. Para a privacidade, o x relevante na desigualdade de Mosca é o tempo de vida do dano à pessoa, que pode exceder o período de retenção da organização. Apagar um registro do banco de dados da HCU não apaga uma cópia que um adversário gravou em trânsito.

14.3 A minimização como controle quântico

A proteção mais barata para os dados é não enviá-los. Reduzir o que atravessa as redes — tokenizar números de conta, manter os campos sensíveis no data center e enviar apenas resultados derivados — diminui a exposição ao HNDL, qualquer que seja o algoritmo. A minimização também se aplica à própria medição da migração: um inventário precisa de nomes de algoritmos e identificadores de hosts, e não do conteúdo das mensagens.

A primeira revisão do tráfego das agências da HCU encontrou nomes de associados viajando junto com transações que precisavam apenas de um token de conta. Substituir os nomes por tokens reduziu a exposição de imediato, antes que qualquer algoritmo mudasse.

14.4 Exemplo resolvido

O fluxo de pedidos de empréstimo da HCU envia os perfis completos dos solicitantes das agências para a sede, incluindo anotações médicas nos casos de dificuldade financeira. Uma revisão de privacidade descobre que os analistas de crédito da sede precisam apenas de um indicador de dificuldade e de um valor. Mudar o formulário para que as anotações médicas fiquem no processo da agência reduz tanto a pegada de privacidade quanto os dados expostos à decifração futura, antes que qualquer algoritmo pós-quântico seja implantado. A troca de chaves híbrida na VPN das agências é então agendada para os fluxos restantes.

14.5 Atividade prática

Para três fluxos de dados sintéticos da HCU, liste os campos de dados pessoais, a finalidade e quais campos poderiam ser removidos, tokenizados ou agregados antes da transmissão.

Os candidatos típicos são nomes completos enviados onde um identificador bastaria, datas de nascimento enviadas para verificações que só precisam de uma faixa etária e números de conta enviados onde um token funciona. Para cada campo que você remover, diga quem perceberia e se algum processo quebra. Depois, estime quanto a mudança reduz os dados de vida longa que atravessam a rede, que é a exposição da qual o "colete agora, decifre depois" depende.

14.6 Erros comuns e limites

• Igualar o período de retenção ao tempo de vida do dano.
• Coletar capturas completas de pacotes para um inventário.
• Tratar a PQC como substituta da minimização, e não como complemento.

O dano da divulgação pode durar muito mais do que o registro é guardado: um arquivo de financiamento imobiliário apagado que foi gravado em trânsito ainda pode ser decifrado depois. As capturas completas coletam dados pessoais de que o inventário nunca precisou e criam um novo repositório a proteger. Os algoritmos pós-quânticos protegem o que é enviado; a minimização reduz o que é enviado. Os dois funcionam juntos, e nenhum substitui o outro.

Exercícios

• EX027 — Tempo de vida do dano. Dê dois tipos de dados cujo dano à privacidade dure mais do que o período de retenção da HCU e explique a consequência para o HNDL. Rubrica: 3 = dois exemplos, com raciocínio ligado ao tráfego gravado.
• EX028 — Minimize o inventário. Especifique os campos mínimos de que um inventário TLS passivo precisa e dois campos que ele não deve coletar. Rubrica: 3 = listas justificadas.

Síntese

O dano à privacidade pode durar mais do que qualquer cronograma de retenção, o que faz do "colete agora, decifre depois" uma questão de privacidade. A minimização reduz a exposição sob qualquer algoritmo e deve preceder e acompanhar a PQC.