Capítulo 10 — Ética e prática autorizada

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX028.

flowchart TD
  N0["10.1 Público não é ilimitado"]
  N1["10.2 Termos de uso"]
  N2["10.3 Autorização"]
  N3["10.4 Proporcionalidade"]
  N4["10.5 Pare e pergunte"]
  N5["10.6 Códigos de ética e colegas"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX028"]

Desenho lógico

flowchart LR
  N0["10.1 Público não é ilimitado"]
  N1["10.2 Termos de uso"]
  N2["10.3 Autorização"]
  N3["10.4 Proporcionalidade"]
  N4["10.5 Pare e pergunte"]
  N5["10.6 Códigos de ética e colegas"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX028"]

[10.1 Público não é ilimitado]
    |
    v
[10.2 Termos de uso]
    |
    v
[10.3 Autorização]
    |
    v
[10.4 Proporcionalidade]
    |
    v
[10.5 Pare e pergunte]
    |
    v
[10.6 Códigos de ética e colegas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX028]

Objetivos de aprendizagem

Você vai (1) declarar os limites jurídicos e éticos da coleta de OSINT; (2) respeitar os termos de uso das plataformas; (3) aplicar princípios de proteção de dados; (4) reconhecer quando parar e perguntar.

10.1 Público não é ilimitado

Uma informação visível na internet não fica automaticamente livre para ser coletada, combinada e guardada. Leis de proteção de dados como o GDPR da UE se aplicam a dados pessoais seja qual for a forma como foram obtidos: a coleta precisa de uma base legal, de uma finalidade específica e de minimização. No Brasil, o papel equivalente cabe à Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018), cujo cumprimento é fiscalizado pela Autoridade Nacional de Proteção de Dados (ANPD). Combinar fatos públicos dispersos sobre uma pessoa pode criar um perfil que a prejudica. As tarefas de Amara tratam de infraestrutura, como domínios e hospedagem, e não de pessoas. Quando uma fonte inclui dados pessoais, como o nome de um titular em um registro de domínio, ela registra apenas o que o requisito exige e anota por que aquilo foi guardado. O encarregado de proteção de dados do HCHT revisa todo ano a retenção de quaisquer dados pessoais pela equipe.

10.2 Termos de uso

As plataformas definem regras sobre acesso automatizado, uso de contas e reutilização de dados. Personas falsas, raspagem contra os termos e entrada em grupos fechados expõem o analista e o empregador a riscos jurídicos e de reputação. A política do HCHT os proíbe sem aprovação jurídica. Amara confere os termos de cada fonte pública antes de usá-la e mantém uma nota curta do que é permitido. Quando uma fonte proíbe o acesso automatizado, ela a usa manualmente ou não a usa. A aprovação da equipe jurídica é registrada junto com a fonte, para que analistas futuros conheçam a decisão e seus limites.

10.3 Autorização

Os analistas agem dentro de um mandato escrito: que perguntas, que fontes, que métodos. Interagir com infraestrutura de adversários — visitar páginas de phishing ativas a partir de um notebook de trabalho, cadastrar-se em fóruns criminosos — está fora da autoridade de uma estagiária e pode alertar os adversários ou violar a lei. O mandato de Amara lista os feeds do HSSC, os próprios logs do HCHT e uma lista curta de fontes públicas aprovadas, com os métodos permitidos para cada uma. Quando uma tarefa parece exigir algo fora da lista, como conferir uma página de phishing ativa, ela pergunta à supervisora, que pode organizar isso em um ambiente isolado ou decidir que não é necessário.

10.4 Proporcionalidade

Pergunte se a necessidade de inteligência justifica a intrusão. Identificar o provedor de hospedagem de um domínio de phishing para uma remoção é proporcional; pesquisar a vida privada de um suspeito não é trabalho da CTI e cabe, se a alguém, às autoridades policiais. Amara escreve nas notas a finalidade de cada etapa de coleta e a confere com esse teste antes de começar. Se a finalidade não pode ser declarada em termos de proteger os sistemas ou os pacientes do HCHT, a etapa é abandonada. Sua supervisora revisa todo mês uma amostra das notas para confirmar que a prática é seguida.

10.5 Pare e pergunte

Quando uma tarefa causar desconforto, faça uma pausa e pergunte à supervisora. Registre a pergunta e a resposta. O caderno de Amara tem uma página para essas perguntas, com a data, a resposta e quem a deu. No início do estágio, ela perguntou se podia buscar em uma rede social o perfil do remetente de um phishing; a resposta foi não, já que o requisito tratava do domínio, não da pessoa. Registrar a resposta evita que a mesma pergunta precise ser feita de novo e mostra aos revisores como as decisões foram tomadas.

10.6 Códigos de ética e colegas

Códigos profissionais — por exemplo, os de entidades de certificação em segurança — pedem que os membros ajam com honra e protejam a sociedade. Os colegas também ajudam: descrever uma coleta planejada a um colega muitas vezes expõe problemas que o analista não tinha notado. O HCHT faz uma breve "verificação de método" semanal, em que os estagiários apresentam qualquer fonte nova antes de usá-la. Amara apresenta sua primeira fonte nova na terceira semana. A verificação leva dez minutos. Os estagiários descrevem a fonte, o que ela responderia, seus termos e qualquer dado pessoal envolvido, e um colega faz perguntas. Várias fontes foram abandonadas ou limitadas depois de uma verificação, e as notas ficam guardadas com a lista de fontes da equipe.

Exemplo resolvido

Um colega sugere criar um perfil falso para entrar em um fórum fechado onde dados hospitalares poderiam estar à venda. Amara recusa e escala o caso. A supervisora explica que, em vez disso, o HCHT vai perguntar ao HSSC e a seu fornecedor comercial de inteligência, que operam sob contratos e revisão jurídica, se dados do HCHT apareceram.

Caso sintético. O cenário é inventado.

Erros e limites

A lei varia conforme a jurisdição; este capítulo não é aconselhamento jurídico. Consulte o encarregado de proteção de dados do HCHT.

Exercícios

• EX028 — Dados públicos. Explique por que a visibilidade pública não torna os dados pessoais livres para coleta.
  Mostrar critérios de avaliação

  Rubrica: 3 = a lei de proteção de dados se aplica; finalidade, minimização, dano por perfilamento; 2 = parcial; 1 = são livres; 0 = nenhuma.
• EX029 — Pedido do fórum. O que Amara deve fazer quando lhe pedem para criar um perfil falso?
  Mostrar critérios de avaliação

  Rubrica: 3 = recusar, escalar; usar parceiros autorizados; 2 = só recusar; 1 = obedecer; 0 = nenhuma.
• EX030 — Proporcional ou não. Pesquisar a família de um suspeito em redes sociais é CTI proporcional?
  Mostrar critérios de avaliação

  Rubrica: 3 = não; fora do mandato; autoridades policiais; 2 = não; 1 = sim; 0 = nenhuma.

Síntese

Colete de forma lícita, siga os termos, fique dentro do mandato, pese a proporcionalidade e pergunte quando tiver dúvida.

Continue estudando — capítulo 10 de 40

← Capítulo 09 (rascunho) · Índice de capítulos do curso · Capítulo 11 (rascunho) →