Capítulo 10 — Ética e prática autorizada

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX028.

flowchart TD
  N0["10.1 Autorização"]
  N1["10.2 Dados pessoais"]
  N2["10.3 Relato responsável"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX028"]

Desenho lógico

flowchart LR
  N0["10.1 Autorização"]
  N1["10.2 Dados pessoais"]
  N2["10.3 Relato responsável"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX028"]

[10.1 Autorização]
    |
    v
[10.2 Dados pessoais]
    |
    v
[10.3 Relato responsável]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX028]

Objetivos de aprendizagem

Você vai (1) trabalhar só dentro do escopo autorizado; (2) tratar com ética os dados pessoais durante o trabalho de governança; (3) relatar os achados com responsabilidade.

10.1 Autorização

O trabalho de Sofia na Elmfield precisa de autorização por escrito. O Dr. Haddad explica que mesmo verificações bem-intencionadas, como testar se uma senha é fraca, podem violar regras ou leis se feitas sem permissão. A diretora da Elmfield assina uma carta que define o que Sofia pode fazer: ler exportações do inventário e das contas, entrevistar funcionários e revisar documentos. Os testes ativos em sistemas ficam excluídos. Ela aprende que um escopo claro a protege, assim como a organização e as pessoas cujos dados ela pode ver. A carta também avisa os funcionários do que esperar, para que um pedido de entrevista não pareça uma investigação.

10.2 Dados pessoais

As exportações de contas e as listas de desligamentos contêm dados pessoais. Sofia as guarda só no notebook criptografado que a Elmfield lhe forneceu para o estágio, remove os nomes ao compartilhar resultados com o tutor e apaga as cópias no fim. Ela aprende que o trabalho de governança precisa seguir os mesmos princípios de proteção de dados que promove: usar o mínimo de dados necessário, mantê-los seguros e guardá-los só pelo tempo preciso. Remover os nomes antes de compartilhar é a minimização aplicada ao próprio trabalho. Fazer diferente minaria sua credibilidade e poderia prejudicar inquilinos e funcionários.

10.3 Relato responsável

Quando encontra o serviço de área de trabalho remota exposto, Sofia o relata imediatamente ao líder de TI da Elmfield, em vez de esperar pelo relatório final, porque os atacantes poderiam explorá-lo a qualquer momento. Ela o descreve de forma factual, sem culpar quem o configurou. Relatar em particular, e não numa reunião, também evita chamar atenção para a exposição antes que seja fechada. Ela aprende que os achados urgentes exigem relato rápido e reservado pelos canais combinados, enquanto os riscos menores podem esperar o relatório escrito. O relato responsável equilibra rapidez, exatidão e respeito pelos colegas.

Exemplo resolvido

Sofia trabalha sob um escopo assinado, protege os dados pessoais no próprio trabalho e relata um achado urgente prontamente e sem culpar ninguém.

Caso sintético. A carta de escopo e os achados são sintéticos.

Erros e limites

Os escopos podem ser ambíguos. Os julgamentos de urgência variam.

Exercícios

• EX028 — Atividade excluída. Que atividade ficou fora do escopo de Sofia?
  Mostrar critérios de avaliação

  Rubrica: 3 = testes ativos em sistemas;; 2 = testes;; 1 = vago;; 0 = nenhuma.
• EX029 — Tratamento dos dados. Como Sofia tratou os dados pessoais das exportações?
  Mostrar critérios de avaliação

  Rubrica: 3 = notebook criptografado, nomes removidos ao compartilhar, apagados no fim;; 2 = minimizar;; 1 = vago;; 0 = nenhuma.
• EX030 — Relato urgente. Por que relatar imediatamente a exposição da área de trabalho remota?
  Mostrar critérios de avaliação

  Rubrica: 3 = os atacantes poderiam explorá-la a qualquer momento;; 2 = urgência;; 1 = vago;; 0 = nenhuma.

Síntese

Escopo autorizado, tratamento cuidadoso dos dados e reporte responsável são a ética do trabalho de GRC.