Capítulo 10 — Ética e prática autorizada

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX028.

flowchart TD
  N0["10.1 A autorização primeiro"]
  N1["10.2 Dados pessoais na prática"]
  N2["10.3 Dilemas e códigos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX028"]

Desenho lógico

flowchart LR
  N0["10.1 A autorização primeiro"]
  N1["10.2 Dados pessoais na prática"]
  N2["10.3 Dilemas e códigos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX028"]

[10.1 A autorização primeiro]
    |
    v
[10.2 Dados pessoais na prática]
    |
    v
[10.3 Dilemas e códigos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX028]

Objetivos de aprendizagem

Você vai (1) explicar por que a autorização é exigida antes de testes de segurança; (2) tratar com ética os dados pessoais encontrados durante o trabalho; (3) aplicar códigos profissionais a dilemas.

10.1 A autorização primeiro

Lucas quer testar se o login dos associados da Fernway é vulnerável a credential stuffing. Hannah explica que, mesmo com boas intenções, testar sem autorização por escrito pode violar leis sobre uso indevido de computadores e prejudicar os clientes. A autorização declara o que pode ser testado, como, quando e por quem, e indica um contato para emergências. Ela precisa vir de alguém com autoridade sobre o sistema. No caso da loja, isso inclui as regras do provedor de nuvem, que restringem certos testes. Lucas escreve uma solicitação de teste, Hannah aprova uma versão limitada num ambiente de staging e o teste segue com segurança.

10.2 Dados pessoais na prática

Ao revisar logs, Lucas vê nomes, endereços e históricos de pedidos de associados. Ele aprende a acessar só o que a tarefa exige, nunca navegar por curiosidade e nunca copiar dados pessoais para anotações pessoais ou trabalhos do curso. Quando precisa de exemplos para seu trabalho na universidade, ele cria registros sintéticos. A legislação de privacidade de muitos países exige esse cuidado, mas a questão ética é mais simples: os associados confiaram seus dados à Fernway para fazer compras, e não para a conveniência de um estudante. Respeitar essa confiança faz parte da prática profissional.

10.3 Dilemas e códigos

Lucas enfrenta um dilema: um amigo que trabalha em outro varejista comenta que a página de checkout deles carrega scripts de um domínio desconhecido. Ele deveria investigar? Os códigos profissionais, como os das sociedades de computação, enfatizam a honestidade, evitar danos e respeitar a autorização. Ele não sonda o outro site. Em vez disso, sugere que o amigo relate o caso internamente à equipe de segurança deles. Ele discute o caso com o Dr. Bellini, que elogia a contenção: ajudar é certo, mas agir sobre sistemas que não se está autorizado a testar causa danos, mesmo quando motivado pela preocupação.

Exemplo resolvido

Lucas obtém uma autorização por escrito limitada para um teste em staging, usa dados sintéticos nos trabalhos do curso e se recusa a sondar o site de outro varejista.

Caso sintético. A solicitação de teste, os logs e o caso do amigo são sintéticos.

Erros e limites

As leis variam conforme a jurisdição; busque orientação em caso de dúvida. Os ambientes de staging podem não reproduzir o comportamento da produção.

Exercícios

• EX028 — Conteúdo da autorização. O que uma autorização de teste deve especificar?

  Mostrar critérios de avaliação

  Rubrica: 3 = o quê, como, quando, por quem e um contato de emergência;; 2 = quatro;; 1 = vago;; 0 = nenhuma.

• EX029 — Dados dos trabalhos. O que Lucas usa como exemplos nos trabalhos do curso?

  Mostrar critérios de avaliação

  Rubrica: 3 = registros sintéticos, não dados de associados;; 2 = sintéticos;; 1 = reais;; 0 = nenhuma.

• EX030 — Relato do amigo. O que Lucas aconselhou o amigo a fazer sobre o script suspeito?

  Mostrar critérios de avaliação

  Rubrica: 3 = relatá-lo internamente à equipe de segurança da própria organização;; 2 = relatar;; 1 = sondá-lo;; 0 = nenhuma.

Síntese

A prática autorizada e o respeito aos dados pessoais são pré-requisitos de qualquer trabalho de segurança, por mais bem-intencionado que seja.