Capítulo 33 — Privacidade e proteção de dados: segurança operacional e resiliência
Mapa da aula
Aula 33 publicada. Mapa, exemplo, EX097.
flowchart TD
N0["33.1 Requisitos de resiliência"]
N1["33.2 Violações como incidentes"]
N2["33.3 Privacidade durante a recuperação"]
N3["33.4 Degradação controlada"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX097"]
Desenho lógico
flowchart LR
N0["33.1 Requisitos de resiliência"]
N1["33.2 Violações como incidentes"]
N2["33.3 Privacidade durante a recuperação"]
N3["33.4 Degradação controlada"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX097"]
[33.1 Requisitos de resiliência]
|
v
[33.2 Violações como incidentes]
|
v
[33.3 Privacidade durante a recuperação]
|
v
[33.4 Degradação controlada]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX097]
Objetivos de aprendizagem
Você vai (1) planejar para incidentes que afetem dados pessoais; (2) projetar uma resiliência que preserve a privacidade; (3) equilibrar disponibilidade e confidencialidade.
33.1 Requisitos de resiliência
O artigo 32 exige a capacidade de restabelecer a disponibilidade e o acesso aos dados pessoais em tempo hábil depois de um incidente. Na telemedicina, a indisponibilidade dos prontuários durante as consultas pode prejudicar os pacientes. Zara define objetivos de recuperação com os médicos: prontuários clínicos restabelecidos em até quatro horas, serviço de vídeo em até uma hora. Ela projeta backups e failover para cumpri-los e garante que as cópias de backup sejam cifradas e tenham acesso controlado. A resiliência, explica, é um requisito de privacidade além de operacional, porque perder o acesso aos dados prejudica os pacientes tanto quanto a divulgação indevida.
33.2 Violações como incidentes
O GDPR define a violação de dados pessoais de forma ampla, incluindo a perda de disponibilidade. Se um ransomware cifrar os prontuários e eles não puderem ser restabelecidos rapidamente, isso é uma violação mesmo que nenhum dado saia da Pellmore; a Resolução CD/ANPD nº 15/2024 também trata a disponibilidade entre os aspectos de um incidente de segurança. Zara trabalha com a equipe de segurança para alinhar a resposta a incidentes aos procedimentos de violação: todo incidente de segurança é avaliado quanto ao impacto sobre dados pessoais, e o encarregado é envolvido cedo. As Diretrizes 9/2022 do EDPB descrevem as violações de disponibilidade e a avaliação do risco, e ela as usa para treinar a equipe de incidentes.
33.3 Privacidade durante a recuperação
A recuperação pode criar riscos à privacidade. Restaurar um backup antigo poderia reintroduzir dados que os pacientes tinham pedido para eliminar ou que já tinham passado do prazo de retenção. Por isso, o runbook de recuperação de Zara reaplica o log de eliminações e a tabela de retenção depois de qualquer restauração, antes que o sistema volte ao serviço. Ela também limita quem pode acessar os backups durante a recuperação, já que as emergências tentam as equipes a compartilhar acessos amplamente. Ela testa o runbook em um exercício simulado e descobre que reaplicar as eliminações leva quarenta minutos, tempo que inclui no objetivo de tempo de recuperação.
33.4 Degradação controlada
Quando partes da plataforma falham, Zara quer que o sistema se degrade com segurança. Se o serviço de consentimento estiver fora do ar, os sistemas devem tratar o consentimento como ausente, em vez de supor que existe. Se o serviço de verificação de acesso estiver fora do ar, os médicos em consulta recebem acesso de emergência com registro reforçado e revisão posterior, em vez de ficarem sem acesso. Ela documenta essas regras de falha segura e de acesso de emergência (break-glass) e as combina com os médicos e com o encarregado. Projetar o comportamento em falha com antecedência evita decisões improvisadas durante uma queda.
Exemplo resolvido
Zara define objetivos de recuperação com os médicos, trata a perda de disponibilidade como possível violação, reaplica as eliminações depois das restaurações (quarenta minutos) e define o consentimento com falha segura e o acesso de emergência.
Caso sintético. Os objetivos e os exercícios são sintéticos; o artigo 32 do GDPR, as Diretrizes 9/2022 do EDPB e a Resolução CD/ANPD nº 15/2024 são reais.
Erros e limites
O acesso de emergência pode ser abusado; revise prontamente cada uso.
Exercícios
- EX097 — Violação de disponibilidade. Um ransomware sem exfiltração pode ser uma violação de dados pessoais? Rubrica: 3 = sim; a perda de disponibilidade é uma violação;; 2 = sim, sem justificativa;; 1 = não;; 0 = nenhuma.
- EX098 — Risco da restauração. Que risco à privacidade a restauração de um backup cria, e como é tratado? Rubrica: 3 = dados eliminados ou vencidos voltam; reaplicar o log de eliminações e a retenção antes do serviço;; 2 = uma parte;; 1 = vago;; 0 = nenhuma.
- EX099 — Consentimento com falha segura. Como os sistemas devem se comportar se o serviço de consentimento cair? Rubrica: 3 = tratar o consentimento como ausente;; 2 = menciona cautela;; 1 = supor que existe;; 0 = nenhuma.
Síntese
O capítulo 33 constrói resiliência. O capítulo 34 integra a plataforma.
Continue estudando — aula 33 (capítulo 33 de 50)
← Capítulo 32 · Índice das aulas · Capítulo 34 →
Continue para a próxima aula já escrita.