Capítulo 23 — Privacidade e proteção de dados: análise de ameaças e falhas

Mapa da aula

Aula 23 publicada. Mapa, exemplo, EX067.

flowchart TD
  N0["23.1 Ameaças à privacidade"]
  N1["23.2 Modos de falha"]
  N2["23.4 Ordenação das ameaças"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX067"]

Desenho lógico

flowchart LR
  N0["23.1 Ameaças à privacidade"]
  N1["23.2 Modos de falha"]
  N2["23.4 Ordenação das ameaças"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX067"]

[23.1 Ameaças à privacidade]
    |
    v
[23.2 Modos de falha]
    |
    v
[23.4 Ordenação das ameaças]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX067]

Objetivos de aprendizagem

Você vai (1) aplicar um modelo de ameaças à privacidade à plataforma; (2) analisar os modos de falha que prejudicam a privacidade; (3) incluir ameaças não maliciosas.

23.1 Ameaças à privacidade

Os modelos de ameaças de segurança se concentram nos atacantes. Zara acrescenta ameaças à privacidade que podem ocorrer sem nenhum atacante: vinculabilidade, identificabilidade, não repúdio, detectabilidade, divulgação, desconhecimento e não conformidade. Ela as aplica ao fluxo de teleconsulta. A vinculabilidade surge porque o mesmo identificador aparece nos logs de vídeo e na análise; o desconhecimento, porque os pacientes não são informados de que o fornecedor grava as sessões. A taxonomia de Solove apoia a mesma análise do ponto de vista jurídico, nomeando danos como a agregação e o uso secundário, que um modelo centrado só em segurança deixaria escapar. As duas visões ficam registradas.

23.2 Modos de falha

Zara faz uma análise de modos de falha do processo de eliminação. As falhas possíveis incluem uma tarefa de exclusão que estoura o tempo limite, um armazenamento que não foi incluído na tarefa, um backup restaurado sem reaplicar as eliminações e um fornecedor que ignora o pedido. Para cada uma ela estima o efeito sobre os pacientes e como a falha seria detectada. A falha do fornecedor é a mais difícil de detectar, porque a Pellmore não enxerga os sistemas dele. Ela propõe a confirmação contratual da exclusão e direitos periódicos de auditoria, que o artigo 28 do GDPR permite aos controladores exigir dos operadores.

23.3 Pessoas internas e erros

Muitos incidentes de privacidade envolvem erro ou curiosidade de funcionários, e não atacantes externos. Zara modela uma recepcionista que envia resultados para o endereço de e-mail errado e um médico que consulta o prontuário de um vizinho. Os controles incluem a confirmação do endereço, o registro de acessos com os sinais de anomalia do Capítulo 17 e o treinamento. Ela observa que monitorar funcionários também é tratamento de dados pessoais e precisa ser proporcional e transparente para os empregados. A análise mostra que os modelos de ameaças à privacidade devem incluir as próprias pessoas da organização, tanto como fontes potenciais de dano quanto como pessoas cuja privacidade merece respeito.

23.4 Ordenação das ameaças

Zara ordena as ameaças por uma combinação simples de probabilidade e dano e seleciona as cinco principais para tratamento detalhado no relatório de impacto à proteção de dados. Lideram a lista a vinculabilidade por identificadores compartilhados, a retenção pelo fornecedor, os resultados enviados ao destinatário errado, a bisbilhotice de funcionários e a coleta excessiva pela análise. Ela escreve cada ameaça como um cenário curto que pessoas sem formação técnica conseguem acompanhar. O Prof. Holm observa que os cenários tornam as ameaças concretas para quem decide, como ela aprendeu em comunicação, e que também viram casos de teste para o laboratório de verificação mais adiante no ano.

Exemplo resolvido

Zara aplica as categorias de ameaças à privacidade às teleconsultas, analisa os modos de falha da eliminação, modela erros de pessoas internas e ordena cinco ameaças para o relatório de impacto.

Caso sintético. Os cenários são sintéticos; Solove (2006) e o artigo 28 do GDPR são reais.

Erros e limites

Listas de ameaças nunca estão completas; revise-as depois de incidentes e de mudanças de projeto.

Exercícios

• EX067 — Ameaças sem atacante. Cite duas ameaças à privacidade que dispensam atacante.
  Mostrar critérios de avaliação

  Rubrica: 3 = por exemplo, desconhecimento e não conformidade (e também vinculabilidade);; 2 = cita uma;; 1 = cita invasão;; 0 = nenhuma.
• EX068 — Falha do fornecedor. Por que a não exclusão pelo fornecedor é difícil de detectar, e o que ajuda?
  Mostrar critérios de avaliação

  Rubrica: 3 = a Pellmore não enxerga os sistemas do fornecedor; confirmação contratual e direitos de auditoria;; 2 = uma parte;; 1 = ignora;; 0 = nenhuma.
• EX069 — Monitoramento de funcionários. Que restrição se aplica ao monitoramento dos acessos dos funcionários?
  Mostrar critérios de avaliação

  Rubrica: 3 = precisa ser proporcional e transparente, porque trata dados dos empregados;; 2 = menciona privacidade;; 1 = ilimitado;; 0 = nenhuma.

Síntese

O capítulo 23 encontra ameaças. O capítulo 24 as avalia em um RIPD.