## Capítulo 10 — Ética e prática autorizada ### Mapa da aula Aula 10 publicada. Mapa, exemplo, EX028. ```mermaid flowchart TD N0["10.1 Autorização"] N1["10.2 Dados pessoais"] N2["10.3 Relato responsável"] N3["Síntese"] N0 --> N1 --> N2 --> N3 N3 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX028"] ``` ### Desenho lógico ```mermaid flowchart LR N0["10.1 Autorização"] N1["10.2 Dados pessoais"] N2["10.3 Relato responsável"] N3["Síntese"] N0 --> N1 --> N2 --> N3 --> Q["EX028"] ``` ```text [10.1 Autorização] | v [10.2 Dados pessoais] | v [10.3 Relato responsável] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX028] ``` ### Objetivos de aprendizagem Você vai (1) trabalhar só dentro do escopo autorizado; (2) tratar com ética os dados pessoais durante o trabalho de governança; (3) relatar os achados com responsabilidade. ### 10.1 Autorização O trabalho de Sofia na Elmfield precisa de autorização por escrito. O Dr. Haddad explica que mesmo verificações bem-intencionadas, como testar se uma senha é fraca, podem violar regras ou leis se feitas sem permissão. A diretora da Elmfield assina uma carta que define o que Sofia pode fazer: ler exportações do inventário e das contas, entrevistar funcionários e revisar documentos. Os testes ativos em sistemas ficam excluídos. Ela aprende que um escopo claro a protege, assim como a organização e as pessoas cujos dados ela pode ver. A carta também avisa os funcionários do que esperar, para que um pedido de entrevista não pareça uma investigação. ### 10.2 Dados pessoais As exportações de contas e as listas de desligamentos contêm dados pessoais. Sofia as guarda só no notebook criptografado que a Elmfield lhe forneceu para o estágio, remove os nomes ao compartilhar resultados com o tutor e apaga as cópias no fim. Ela aprende que o trabalho de governança precisa seguir os mesmos princípios de proteção de dados que promove: usar o mínimo de dados necessário, mantê-los seguros e guardá-los só pelo tempo preciso. Remover os nomes antes de compartilhar é a minimização aplicada ao próprio trabalho. Fazer diferente minaria sua credibilidade e poderia prejudicar inquilinos e funcionários. ### 10.3 Relato responsável Quando encontra o serviço de área de trabalho remota exposto, Sofia o relata imediatamente ao líder de TI da Elmfield, em vez de esperar pelo relatório final, porque os atacantes poderiam explorá-lo a qualquer momento. Ela o descreve de forma factual, sem culpar quem o configurou. Relatar em particular, e não numa reunião, também evita chamar atenção para a exposição antes que seja fechada. Ela aprende que os achados urgentes exigem relato rápido e reservado pelos canais combinados, enquanto os riscos menores podem esperar o relatório escrito. O relato responsável equilibra rapidez, exatidão e respeito pelos colegas. ### Exemplo resolvido Sofia trabalha sob um escopo assinado, protege os dados pessoais no próprio trabalho e relata um achado urgente prontamente e sem culpar ninguém. > **Caso sintético.** A carta de escopo e os achados são sintéticos. ### Erros e limites Os escopos podem ser ambíguos. Os julgamentos de urgência variam. ### Exercícios - **EX028 — Atividade excluída.** Que atividade ficou fora do escopo de Sofia? *Rubrica:* 3 = testes ativos em sistemas;; 2 = testes;; 1 = vago;; 0 = nenhuma. - **EX029 — Tratamento dos dados.** Como Sofia tratou os dados pessoais das exportações? *Rubrica:* 3 = notebook criptografado, nomes removidos ao compartilhar, apagados no fim;; 2 = minimizar;; 1 = vago;; 0 = nenhuma. - **EX030 — Relato urgente.** Por que relatar imediatamente a exposição da área de trabalho remota? *Rubrica:* 3 = os atacantes poderiam explorá-la a qualquer momento;; 2 = urgência;; 1 = vago;; 0 = nenhuma. ### Síntese Escopo autorizado, tratamento cuidadoso dos dados e reporte responsável são a ética do trabalho de GRC. ### Continue estudando — aula 10 (capítulo 10 de 40) [← Capítulo 09](#ch-09) · [Índice das aulas](../SUBJECTS.md) · [Capítulo 11 →](#ch-11) Continue para a próxima aula já escrita. ## Worked answers **EX028.** Testes ativos em sistemas. **EX029.** Guardou-os num notebook criptografado da Elmfield, removeu os nomes ao compartilhar e apagou as cópias no fim. **EX030.** Porque os atacantes poderiam explorá-la a qualquer momento, então esperar deixaria o dano possível.