Capítulo 14 — Fundamentos de privacidade
Mapa da aula
Aula 14 publicada. Mapa, exemplo, EX040.
flowchart TD
N0["14.1 Dados pessoais na CTI"]
N1["14.2 Ocultação antes do compartilhamento"]
N2["Laboratório — ocultar dados de uma amostra"]
N3["14.3 Lendo o resultado"]
N4["14.4 Minimização e retenção"]
N5["14.5 Dados de pacientes"]
N6["14.6 Pseudonimização versus anonimização"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX040"]
Desenho lógico
flowchart LR
N0["14.1 Dados pessoais na CTI"]
N1["14.2 Ocultação antes do compartilhamento"]
N2["Laboratório — ocultar dados de uma amostra"]
N3["14.3 Lendo o resultado"]
N4["14.4 Minimização e retenção"]
N5["14.5 Dados de pacientes"]
N6["14.6 Pseudonimização versus anonimização"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX040"]
[14.1 Dados pessoais na CTI]
|
v
[14.2 Ocultação antes do compartilhamento]
|
v
[Laboratório — ocultar dados de uma amostra]
|
v
[14.3 Lendo o resultado]
|
v
[14.4 Minimização e retenção]
|
v
[14.5 Dados de pacientes]
|
v
[14.6 Pseudonimização versus anonimização]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX040]
Objetivos de aprendizagem
Você vai (1) identificar dados pessoais em produtos de inteligência; (2) ocultá-los antes do compartilhamento; (3) distinguir dados de vítimas de infraestrutura de adversários; (4) aplicar minimização e retenção.
14.1 Dados pessoais na CTI
Amostras de phishing contêm nomes e endereços dos destinatários; notas de incidente mencionam funcionários; os logs guardam os donos dos dispositivos. Pelas leis de proteção de dados, isso tudo são dados pessoais, e em um hospital parte deles pode se referir a pacientes, o que traz deveres mais rígidos. Amara mantém os dados pessoais fora de suas notas sempre que pode, usando papéis como "administrador da enfermaria" no lugar de nomes. Quando um nome é necessário, por exemplo para contatar um destinatário, ele fica no chamado do incidente, com acesso restrito, e não em notas de inteligência que circulam mais amplamente.
14.2 Ocultação antes do compartilhamento
Antes de enviar uma amostra ao HSSC, remova os e-mails e telefones dos funcionários e quaisquer identificadores de pacientes. Substitua-os por rótulos para que o sentido analítico sobreviva: "[staff-email] recebeu a mensagem". Amara confere também os anexos e os links embutidos, já que uma mensagem de phishing pode incluir o nome do destinatário em uma URL ou em um documento. A ocultação é revisada por uma segunda pessoa antes de qualquer envio, porque, uma vez compartilhada, a informação não pode ser recolhida de todos os membros. Os rótulos são consistentes, então várias amostras ainda podem ser comparadas depois da ocultação.
Laboratório — ocultar dados de uma amostra
"""Lab 4 (ch 14): redact email addresses and phone numbers from a synthetic incident note before sharing."""
import re
note = ("Phish reported by j.okoro@halden-health.example at 09:14; caller back on +44 20 7946 0958. "
"Sender domain portal-login.example; reply-to billing@portal-login.example.")
internal = re.compile(r"[\w.+-]+@halden-health\.example")
phone = re.compile(r"\+\d[\d ]{8,}\d")
out = internal.sub("[staff-email]", note)
out = phone.sub("[phone]", out)
print(out)
print("adversary address kept:", "billing@portal-login.example" in out)
Execute com python3 lab_redact.py. Saída verificada:
Phish reported by [staff-email] at 09:14; caller back on [phone]. Sender domain portal-login.example; reply-to billing@portal-login.example.
adversary address kept: True
14.3 Lendo o resultado
O e-mail e o telefone do funcionário são substituídos por marcadores. O endereço remetente do adversário é mantido, porque é o indicador de que os outros membros precisam. O script informa adversary address kept: True, confirmando que não ocultou demais. Amara acrescenta ao script testes para outros dados pessoais, como nomes em saudações. A ocultação em excesso removeria o que os membros do HSSC precisam; a ocultação insuficiente exporia os funcionários. Conferir as duas direções faz parte de toda mudança no script, e uma amostra de cada lote ainda é revisada por uma pessoa.
14.4 Minimização e retenção
Colete só o que a pergunta exige e guarde só pelo tempo necessário. Um prazo de retenção para amostras brutas de phishing — digamos, 90 dias — limita a exposição caso os próprios sistemas do HCHT sejam invadidos. A importação de Amara apaga automaticamente as amostras brutas quando o prazo termina, mantendo só os indicadores extraídos e um resumo com os dados ocultados. O prazo de retenção é acordado com o encarregado de proteção de dados e registrado nos procedimentos da equipe. Se uma investigação precisar de uma amostra por mais tempo, o motivo e a nova data são registrados, para que as exceções fiquem visíveis.
14.5 Dados de pacientes
Nunca compartilhe dados de pacientes pelos canais de inteligência. Se um incidente envolve prontuários, o encarregado de proteção de dados lidera, e as notificações seguem a lei, não os hábitos da CTI. Amara confere cada amostra em busca de dados de pacientes antes de qualquer outro processamento, e para se encontrar algum. O trabalho de inteligência precisa de indicadores e técnicas, não de prontuários, então nunca há motivo para enviá-los ao HSSC. Se uma mensagem de phishing contém informações de pacientes, a equipe de incidentes e o encarregado a tratam segundo os procedimentos de proteção de dados do HCHT, separadamente do trabalho de inteligência.
14.6 Pseudonimização versus anonimização
Substituir um nome por um rótulo estável é pseudonimização: os dados ainda podem ser religados por quem detém a chave, então continuam sendo dados pessoais pelo GDPR. A verdadeira anonimização remove qualquer meio razoável de reidentificação. No Brasil, a LGPD também só deixa de considerar dados pessoais os dados anonimizados (art. 12), e a Autoridade Nacional de Proteção de Dados (ANPD) fiscaliza sua aplicação. A maior parte do compartilhamento de CTI alcança apenas a primeira, então os controles de acesso continuam importando. O script de ocultação de Amara usa marcadores fixos em vez de rótulos estáveis, então os membros do HSSC não conseguem ligar um marcador a uma pessoa, mesmo ao longo de muitas amostras. Quando a ligação importa, por exemplo para mostrar que o mesmo funcionário foi visado duas vezes, a chave fica no HCHT e não é compartilhada com ninguém.
Exemplo resolvido
O corpo de um e-mail de phishing inclui uma fatura falsa que cita o nome de um médico consultor real do HCHT. A ocultação automática de Amara não o pega, porque só reconhece e-mails e telefones. Sua revisão manual o encontra, e ela acrescenta uma etapa: toda amostra compartilhada recebe uma leitura humana em busca de nomes antes da liberação.
Caso sintético. A amostra é inventada.
Erros e limites
A ocultação baseada em padrões deixa passar nomes e texto livre. Automatize os casos fáceis; revise o resto à mão.
Exercícios
- EX040 — Ocultação em excesso. Por que o endereço remetente do adversário precisa ser mantido? Rubrica: 3 = é o indicador compartilhado de que os outros precisam; não é dado de vítima; 2 = parcial; 1 = ocultar tudo; 0 = nenhuma.
- EX041 — Nome não detectado. Que mudança de processo se seguiu ao nome do consultor que passou? Rubrica: 3 = revisão humana obrigatória em busca de nomes antes da liberação; 2 = vago; 1 = nenhuma necessária; 0 = nenhuma.
- EX042 — Pseudônimos. Dados com rótulos estáveis no lugar dos nomes são anônimos pelo GDPR? Rubrica: 3 = não, são pseudonimizados e continuam dados pessoais se puderem ser religados; 2 = não; 1 = sim; 0 = nenhuma.
Síntese
Encontre os dados pessoais, oculte com cuidado, mantenha os indicadores, minimize, retenha por pouco tempo e nunca faça dados de pacientes passarem pela CTI.
Continue estudando — capítulo 14 de 40
← Capítulo 13 (rascunho) · Índice de capítulos do curso · Capítulo 15 (rascunho) →