Capítulo 26 — Privacidade e proteção de dados: alternativas de arquitetura
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 Três arquiteturas"]
N1["26.2 Tecnologias de aprimoramento da privacidade"]
N2["26.3 Pontuação"]
N3["26.4 Decisão"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 Três arquiteturas"]
N1["26.2 Tecnologias de aprimoramento da privacidade"]
N2["26.3 Pontuação"]
N3["26.4 Decisão"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX076"]
[26.1 Três arquiteturas]
|
v
[26.2 Tecnologias de aprimoramento da privacidade]
|
v
[26.3 Pontuação]
|
v
[26.4 Decisão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem
Você vai (1) comparar arquiteturas centralizadas, federadas e no próprio dispositivo; (2) avaliar tecnologias de aprimoramento da privacidade; (3) escolher com critérios documentados.
26.1 Três arquiteturas
A Pellmore quer analisar os desfechos das consultas entre as clínicas para melhorar o atendimento. Zara compara três arquiteturas. Centralizada: copiar todos os registros para um único armazenamento de análise. Federada: executar as análises dentro do sistema de cada clínica e compartilhar só os resultados. No dispositivo ou na borda: calcular as estatísticas no ponto de atendimento. A centralização é a mais simples, mas concentra o risco. A federação mantém os dados brutos no local, mas complica a análise. Antes de comparar, ela escreve os critérios: exposição dos dados, capacidade de análise, custo, complexidade operacional e capacidade de atender aos pedidos de eliminação em todo o sistema. Cada critério recebe nota de um a três antes de qualquer discussão de projeto.
26.2 Tecnologias de aprimoramento da privacidade
Zara levanta as tecnologias de aprimoramento da privacidade (PETs). A privacidade diferencial acrescenta ruído calibrado às saídas, seguindo Dwork e colegas (2006). A computação segura multipartes permite que as partes calculem resultados conjuntos sem revelar suas entradas. Os dados sintéticos podem substituir registros reais no desenvolvimento. Cada uma tem limites: a privacidade diferencial reduz a acurácia, sobretudo para grupos pequenos; a computação multipartes é complexa e lenta; os dados sintéticos podem vazar informação se forem gerados sem cuidado a partir de registros reais. A NIST SP 800-188 discute várias dessas abordagens para publicações de dados governamentais, e Zara as considera transferíveis para estatísticas de saúde. Os dados sintéticos servem bem para testes.
26.3 Pontuação
Zara pontua cada arquitetura segundo seus critérios, junto com a equipe. A federação com saídas agregadas protegidas por privacidade diferencial tem a melhor nota em exposição e em eliminação, nota adequada em análise e nota pior em complexidade. A centralização tem a melhor nota em análise e a pior em exposição. Ela apresenta as notas com o raciocínio, ressaltando que os pesos refletem as prioridades da Pellmore, que a direção precisa confirmar. As diretrizes do EDPB sobre proteção de dados desde a concepção listam o estado da técnica e o custo de implementação como fatores, o que respalda tornar esses trade-offs explícitos para quem decide.
26.4 Decisão
O comitê de arquitetura da Pellmore escolhe a federação com saídas agregadas para as comparações entre clínicas e um pequeno conjunto de dados centralizado e pseudonimizado para as auditorias de segurança clínica que precisam de dados no nível do registro, com acesso estrito. Zara registra a decisão, as alternativas rejeitadas e as condições para revisitá-la. Ela observa que a resposta híbrida é comum na prática: nenhuma arquitetura serve a todas as finalidades, e documentar qual finalidade usa qual arquitetura ajuda auditores e futuros engenheiros a entender o sistema e a resistir à pressão de centralizar tudo por conveniência. O registro da decisão nomeia os responsáveis.
Exemplo resolvido
Zara compara as arquiteturas centralizada, federada e de borda com critérios definidos antes, levanta as tecnologias de aprimoramento da privacidade e registra uma decisão híbrida: federação para as comparações e um conjunto restrito e pseudonimizado para as auditorias de segurança.
Caso sintético. As arquiteturas e as notas são sintéticas; Dwork et al. (2006), a NIST SP 800-188 e as Diretrizes 4/2019 do EDPB são reais.
Erros e limites
As notas dependem dos pesos; mostre a sensibilidade a pesos diferentes.
Exercícios
- EX076 — Trade-off da centralização. Qual é o principal trade-off da centralização? Rubrica: 3 = análise mais fácil, mas exposição concentrada;; 2 = menciona risco;; 1 = diz que é a melhor em tudo;; 0 = nenhuma.
- EX077 — Limites das PETs. Cite um limite de cada uma de duas tecnologias de aprimoramento da privacidade. Rubrica: 3 = por exemplo, a privacidade diferencial perde acurácia em grupos pequenos; a computação multipartes é complexa e lenta;; 2 = uma;; 1 = vago;; 0 = nenhuma.
- EX078 — Decisão híbrida. O que o comitê de arquitetura decidiu? Rubrica: 3 = federação para as comparações, mais um conjunto restrito e pseudonimizado para as auditorias de segurança;; 2 = uma parte;; 1 = centralizar;; 0 = nenhuma.
Síntese
O capítulo 26 escolhe arquiteturas. O capítulo 27 projeta controles.
Continue estudando — aula 26 (capítulo 26 de 50)
← Capítulo 25 · Índice das aulas · Capítulo 27 →
Continue para a próxima aula já escrita.