Capítulo 50 — Defesa final

Capítulo 50 — Defesa final

Mapa da aula

Aula 50 publicada. Mapa, exemplo, EX148.

flowchart TD
  N0["50.1 Preparação"]
  N1["50.2 A defesa"]
  N2["50.3 Desenvolvimento profissional"]
  N3["50.4 Olhar para trás"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX148"]

Desenho lógico

flowchart LR
  N0["50.1 Preparação"]
  N1["50.2 A defesa"]
  N2["50.3 Desenvolvimento profissional"]
  N3["50.4 Olhar para trás"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX148"]

[50.1 Preparação]
    |
    v
[50.2 A defesa]
    |
    v
[50.3 Desenvolvimento profissional]
    |
    v
[50.4 Olhar para trás]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX148]

Objetivos de aprendizagem

Você vai (1) defender uma tese de engenharia; (2) responder a perguntas sobre lei, projeto e verificação; (3) planejar o desenvolvimento profissional.

50.1 Preparação

Zara se prepara para a defesa final listando as perguntas prováveis em três grupos: jurídicas (por que a base legal para a pesquisa é adequada?), de projeto (por que modelos de consulta em vez de uma linguagem de consulta?) e de verificação (como você sabe que o gerador de ruído está correto?). Ela ensaia respostas concisas com referências às evidências. O Prof. Holm conduz uma defesa simulada e a pressiona sobre os limites dos testes sintéticos. Ela pratica dizer o que faria em seguida para tratar cada limite, em vez de defender o próprio limite. Os ensaios são gravados para revisão posterior.

50.2 A defesa

Na defesa, os examinadores perguntam sobre a constatação do momento das recusas feita na revisão de projeto. Zara explica o problema do cache e a decisão de reexecutar os estudos sem cache. Eles perguntam se as garantias de privacidade diferencial se mantêm quando os modelos mudam. Ela explica que cada novo modelo exige análise de sensibilidade e revisão, como determina o processo de governança. Eles perguntam sobre a dependência do fornecedor, e ela cita o exercício de violação e a nova cláusula de aviso em doze horas. Os examinadores aprovam a tese e elogiam o dossiê de evidências. Os examinadores não pedem nenhuma alteração.

50.3 Desenvolvimento profissional

Depois da defesa, Zara escreve um plano de desenvolvimento. Ela quer aprofundar o conhecimento em contabilização formal da privacidade, ganhar experiência nas interações com autoridades de controle e aprender mais sobre o direito da saúde além do GDPR e da LGPD. Ela observa que as auditorias de certificação na ISO/IEC 27701:2025 lhe dariam experiência prática com sistemas de gestão. Também planeja orientar alunos do primeiro ano em testes unitários de privacidade, fechando o ciclo que começou com o seu próprio primeiro trabalho de programação, cinco anos antes. A Pellmore lhe oferece um cargo em engenharia de privacidade, que ela aceita depois da defesa.

50.4 Olhar para trás

Zara olha para os cinco anos. Os fundamentos, do cálculo à criptografia, deram a ela, cada um, ferramentas para os problemas de privacidade. Os anos intermediários lhe ensinaram a transformar a lei em requisitos e os requisitos em sistemas testados. Os anos finais lhe ensinaram a trabalhar com pessoas, evidências e limites. Ela conclui que a engenharia de privacidade não é uma especialidade acrescentada no fim, mas um jeito de construir sistemas com responsabilidade desde o início. A Pellmore lhe oferece um cargo em sua equipe de engenharia de privacidade, que ela aceita com entusiasmo.

Exemplo resolvido

Zara defende o momento das recusas, a sensibilidade dos modelos e a dependência do fornecedor, é aprovada com elogio ao dossiê e planeja seu desenvolvimento em contabilização formal, trabalho regulatório e mentoria.

Caso sintético. A defesa e a oferta de emprego são sintéticas; a ISO/IEC 27701:2025 é real.

Erros e limites

Uma defesa aprovada não é o fim do aprendizado; a prática vai expor novas lacunas.

Exercícios

• EX148 — Garantia dos modelos. Como as garantias se mantêm quando os modelos mudam? Rubrica: 3 = cada novo modelo exige análise de sensibilidade e revisão;; 2 = menciona revisão;; 1 = automático;; 0 = nenhuma.
• EX149 — Resposta sobre o fornecedor. Que evidência Zara citou sobre a dependência do fornecedor? Rubrica: 3 = o exercício de violação e a cláusula de aviso em doze horas;; 2 = uma;; 1 = vago;; 0 = nenhuma.
• EX150 — Conclusão do curso. O que Zara conclui sobre a engenharia de privacidade? Rubrica: 3 = é um jeito de construir sistemas com responsabilidade desde o início, e não um complemento;; 2 = menciona projeto;; 1 = especialidade;; 0 = nenhuma.

Síntese

O capítulo 50 conclui o percurso de engenharia. Seguem-se as resoluções e, depois, as referências.

Continue estudando — aula 50 (capítulo 50 de 50)

← Capítulo 49 · Índice das aulas · Próximo curso pelo índice →

O índice aponta para o próximo curso do percurso de estudos.

Resoluções

Respostas-modelo para EX001–EX150. Zara Mbeki, o Prof. Anders Holm, a Corwen Polytechnic, a Pellmore Telehealth e todos os números são sintéticos. As respostas dos laboratórios citam as saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. Com a eliminação após um prazo fixo, a entrada iguala a saída, e os dados armazenados se estabilizam.

EX002. Ela se transforma no valor de uma única pessoa, então publicá-la divulga os dados dessa pessoa.

EX003. O risco para os indivíduos não pode ser trocado livremente por utilidade, e as exigências legais funcionam como restrições.

EX004. Há muito mais combinações possíveis do que pacientes, então a maioria das combinações abriga no máximo uma pessoa.

EX005. Em uma prestadora de telemedicina, quase qualquer dado pessoal, até os horários de agendamento, indica atendimento de saúde; na LGPD, é dado pessoal sensível (art. 5º, II).

EX006. Um fluxo de dados não documentado que ninguém está gerenciando.

EX007. O sistema de arquivos descarta sua referência, mas os estados armazenados persistem até serem sobrescritos.

EX008. Todas as cópias são cifradas sob uma única chave; destruir a chave as torna ilegíveis.

EX009. O horário e a duração revelam que um paciente consultou um profissional de saúde, mesmo que o conteúdo esteja protegido.

EX010. Os logs costumam persistir e ser menos protegidos, então identificadores neles criam exposição evitável.

EX011. Minimização de dados: os dados devem ser adequados, pertinentes e limitados ao necessário; na LGPD, o princípio da necessidade (art. 6º, III).

EX012. Ele varre a saída dos logs e falha se alguma linha contiver uma data de nascimento.

EX013. Concisa, transparente, inteligível e de fácil acesso, em linguagem clara e simples.

EX014. As pessoas decidem dentro de um contexto, então explicações no momento do uso são mais eficazes do que um único aviso longo.

EX015. Responsabilidade: conseguir demonstrar a conformidade; na LGPD, responsabilização e prestação de contas (art. 6º, X).

EX016. Mede a exposição acumulada: os dados de quantos pacientes foram guardados e por quanto tempo.

EX017. Um diagnóstico antigo ainda pode causar dano, então a sensibilidade não decai com a idade.

EX018. Pequenas perdas por publicação se somam, então publicações repetidas acumulam uma perda sem limite.

EX019. Qualquer sim pode ter sido produzido pela segunda moeda, então é plausivelmente negável.

EX020. (0,344 − 0,25) / 0,5 ≈ 0,189.

EX021. Cerca de 0,021 contra 0,009, mais que o dobro.

EX022. A área de troca (swap) e os despejos de falha; caches e memória também podem guardar fragmentos.

EX023. Os vídeos de cada mês compartilham uma chave; destruí-la elimina aquele mês, e a operação de chave é fácil de verificar.

EX024. As medições rebatem alegações sem fundamento de que a proteção custa caro demais.

EX025. Permite que cada serviço acesse apenas a parte de que precisa, limitando a exposição desde a concepção.

EX026. Verificações por finalidade limitam a leitura a usos legítimos e criam um registro que permite a prestação de contas.

EX027. Uma exportação de conveniência que juntava as duas tabelas, permitindo que prontuários completos saíssem.

EX028. Prevenir danos previsíveis aos pacientes, quer um regulador perceba ou não.

EX029. Leva a informação de cuidado para um contexto de marketing, violando as expectativas das pacientes e arriscando dano.

EX030. O papel independente do encarregado inclui aconselhar e monitorar a conformidade, o que o torna o canal adequado; no Brasil, sua atuação é regulamentada pela Resolução CD/ANPD nº 18/2024.

EX031. As URLs são registradas em muitos logs, então identificadores nelas vazam mesmo em conexões cifradas.

EX032. Preserva o uso de segurança de curto prazo e limita o rastreamento duradouro de onde os pacientes se conectaram.

EX033. Um acordo vinculante de tratamento de dados com cada operador; na LGPD, o operador segue as instruções do controlador (art. 39).

EX034. As exportações iam para um diretório que qualquer conta podia ler.

EX035. Usar arquivos temporários seguros com permissões restritivas, limpar na inicialização e apagar tudo o que tiver mais de um dia.

EX036. Fornece evidência de que as medidas de segurança são mantidas e avaliadas.

EX037. Os dados pessoais não devem ser mantidos de forma identificável por mais tempo do que o necessário para as finalidades.

EX038. As gravações de vídeo, com 96 de 101 além do limite de trinta dias.

EX039. Os backups são protegidos, expiram em prazo definido, e toda restauração reaplica a tabela de retenção antes do uso.

EX040. Como paciente, quero que minhas gravações de vídeo sejam eliminadas depois de trinta dias, a menos que eu peça o contrário.

EX041. Uma mudança que teria enviado nomes de pacientes a um serviço de relatórios de falhas.

EX042. Os sistemas de teste são mais frágeis, então dados sintéticos realistas evitam colocar ali dados de saúde reais.

EX043. A segurança protege os dados, mas a privacidade também trata de quanto se coleta e para quais finalidades.

EX044. Ver prontuários e mudar dados de contato, porque são alvos de alto valor.

EX045. Sim; a definição abrange a divulgação acidental, e não só a ilícita.

EX046. Se algum componente ignorar uma propriedade como a retenção, o sistema como um todo não a tem.

EX047. O sistema de análise não tinha requisito de retenção.

EX048. O contrato do fornecedor de vídeo permitia retenção de noventa dias, contra a regra de trinta dias da Pellmore.

EX049. Sem medir os registros vencidos, nada disparava a correção.

EX050. Visualizações de prontuários por membros da equipe sem consulta agendada com aquele paciente.

EX051. Um segundo sinal acompanha as mudanças de categoria, que exigem aprovação.

EX052. Restringe o movimento lateral dos atacantes e impede que tarefas mal configuradas alcancem os dados clínicos.

EX053. Permissões ligadas a finalidades garantem que os dados sejam usados só para essas finalidades.

EX054. As anotações clínicas só aparecem quando o paciente concede acesso temporário durante o atendimento.

EX055. O espaço de números é pequeno, então calcular o hash de cada valor o reverte; é preciso uma chave secreta.

EX056. Impedem que destinatários diferentes vinculem seus conjuntos de dados.

EX057. Informações adicionais ou os atributos restantes podem reidentificar pessoas, então o GDPR os trata como dados pessoais.

EX058. O artigo 9 do GDPR e o art. 11 da LGPD.

EX059. Um operador, porque trata as gravações seguindo as instruções da Pellmore.

EX060. As obrigações só se tornam reais quando os sistemas as implementam, e são os engenheiros que constroem esses sistemas.

EX061. Cada campo é marcado com as finalidades permitidas, e os serviços só podem ler os campos marcados para a sua própria finalidade.

EX062. O paciente consegue baixar todos os dados pessoais mantidos em até um minuto, em formato legível por máquina.

EX063. Faltava à Pellmore uma exportação estruturada e legível por máquina, necessária para a portabilidade.

EX064. Três de sete; o SDK de análise falha nas três regras.

EX065. Os advogados escolhem o mecanismo; os engenheiros informam que dados circulam, quanto, com que frequência e por quê.

EX066. A implantação fica bloqueada até que o novo fluxo tenha finalidade, base e mecanismo de transferência revisados.

EX067. O desconhecimento e a não conformidade podem surgir só do projeto, assim como a vinculabilidade.

EX068. Os sistemas do fornecedor são invisíveis para a Pellmore, então são necessárias confirmações e direitos de auditoria.

EX069. O monitoramento é ele próprio tratamento de dados dos empregados e precisa ser proporcional e transparente.

EX070. A telemedicina trata dados de saúde em grande escala de pacientes potencialmente vulneráveis, atendendo a vários critérios.

EX071. O vazamento no fornecedor (6), pois a Pellmore só pode influenciar, e não controlar, a segurança do fornecedor.

EX072. Sem as medidas planejadas, como a remoção do SDK de análise, o risco alto continuaria.

EX073. A triagem no aparelho é a que menos coleta, mas as atualizações e o suporte aos aparelhos são mais difíceis.

EX074. O resultado é uma orientação, e os pacientes sempre podem falar com um profissional de saúde.

EX075. Por meio de retorno opcional e de testes clínicos periódicos com casos sintéticos.

EX076. Simplifica a análise, mas concentra o risco em um único armazenamento.

EX077. A privacidade diferencial reduz a acurácia para grupos pequenos; a computação multipartes é complexa e lenta.

EX078. Análise federada com saídas agregadas, mais um pequeno conjunto pseudonimizado e restrito para as auditorias de segurança.

EX079. As verificações de acesso previnem, os sinais de anomalia detectam, e os procedimentos disciplinares e de comunicação corrigem.

EX080. Livre, específico, informado e inequívoco, com revogação tão fácil quanto a concessão.

EX081. Uma cópia noturna para um servidor de relatórios legado que nenhum requisito justificava.

EX082. Os avisos revelam lacunas sem causar quedas; o bloqueio vem depois que as lacunas são corrigidas.

EX083. Revogações perdidas pela plataforma de e-mail durante uma queda de rede.

EX084. Os registros gerados mudam quando a configuração muda, mantendo a documentação exata.

EX085. 8 de 18 campos, 44%.

EX086. Os responsáveis poderiam alegar que todo campo é necessário, então uma verificação independente mantém a medida honesta.

EX087. Os dados coletados para monitorar a privacidade devem ser minimizados e protegidos como quaisquer outros dados pessoais.

EX088. Fixar as expectativas antes impede que os resultados sejam interpretados conforme o que se espera.

EX089. O armazenamento de análise manteve os eventos sob o pseudônimo.

EX090. "A eliminação funciona" é uma alegação; um log datado de um teste que exclui de todos os armazenamentos é uma evidência.

EX091. Inclui os dados fornecidos pelos pacientes, como o histórico de consultas e os sintomas, mas não as anotações dos médicos.

EX092. O artigo 28, que exige que os operadores auxiliem o controlador no atendimento aos direitos dos titulares.

EX093. Contagens muito pequenas podem revelar o comportamento de pacientes individuais.

EX094. Todos os armazenamentos precisam ter sucesso, então a probabilidade geral é o produto das de cada um.

EX095. De cerca de 175 para 13 por 1.000 pedidos.

EX096. Porque o paciente acredita, equivocadamente, que seus dados foram eliminados.

EX097. Sim, a violação de dados pessoais inclui a perda de disponibilidade dos dados pessoais.

EX098. Backups antigos podem reintroduzir dados eliminados, então as eliminações e a retenção são reaplicadas antes de voltar ao ar.

EX099. Devem se comportar como se o consentimento estivesse ausente.

EX100. Elimina a inconsistência, mas faz muitos serviços dependerem dela.

EX101. Ele decide por que e como trata os dados em seus próprios exames.

EX102. Uma comparação de esquemas aponta campos novos e dispara uma revisão de privacidade.

EX103. As anotações foram compartilhadas em um contexto confidencial, então só circulam por escolha explícita do paciente.

EX104. Perguntas reservadas e discretas no login e médicos perguntando sobre o compartilhamento.

EX105. Apenas o paciente ou um representante autorizado e verificado.

EX106. Um erro absoluto médio de cerca de 121,7 por contagem.

EX107. Limita a sensibilidade a um, de acordo com a calibração do ruído.

EX108. Não; o pós-processamento de uma saída com privacidade diferencial mantém a garantia.

EX109. 97% em até trinta dias.

EX110. Pela política disciplinar, com registro e avaliação como possível violação de dados pessoais.

EX111. Um ciclo de monitoramento, análise crítica e melhoria, como esperam as normas de sistema de gestão.

EX112. Verificação: o sistema atende aos requisitos? Validação: os requisitos atendem às necessidades reais?

EX113. Os pacientes esperavam que os prontuários fossem eliminados; a tela precisava explicar melhor os limites legais.

EX114. As anotações de sintomas feitas pelo paciente que integram o prontuário precisam ser guardadas.

EX115. Atalhos que enfraquecem a privacidade, como cópias temporárias, verificações desativadas ou fluxos não documentados.

EX116. Uma mudança da biblioteca de mensageria nas novas tentativas que teria prejudicado a confiabilidade da eliminação.

EX117. Sem controles compreensíveis, a organização não consegue demonstrar que está em conformidade.

EX118. A inferência de diagnósticos de uma clínica rural, a partir de relatórios antigos publicados antes da privacidade diferencial.

EX119. Quando uma proteção for introduzida, encontrar e revisar as saídas produzidas pela abordagem anterior.

EX120. Testadores independentes trazem outras premissas e encontraram o vazamento no preenchimento automático que a turma deixou passar.

EX121. Ela substituiu os três caches por um único serviço de nomes que só responde a chamadores autorizados.

EX122. Depois do acordo dos médicos, a retenção passou a seis meses, com os logs relevantes guardados no prontuário.

EX123. Caiu de onze para seis.

EX124. Pelo menos oitenta por cento de respostas corretas sobre o que o cuidador pode ver.

EX125. 71% com a tela atual e 90% com a pré-visualização.

EX126. A amostra era pequena, e os voluntários podem ter mais segurança com aplicativos que os pacientes típicos.

EX127. Com o fornecimento de agregados regionais com privacidade diferencial, em vez de dados por clínica.

EX128. Ela confirmou a finalidade da reclamação, recuperou só os registros pertinentes e registrou o acesso.

EX129. O artigo 38 protege o encarregado, então as preocupações de privacidade não podiam simplesmente ser derrubadas por interesses comerciais.

EX130. Um escopo estreito permite concluir e verificar adequadamente.

EX131. Cada estudo recebe um orçamento de privacidade fixo, o que limita o quanto se aprende combinando saídas.

EX132. Definir os testes primeiro protege contra um sistema que parece bom, mas falha no uso real.

EX133. Resultados intermediários guardados em cache antes de uma recusa ainda poderiam incluir aquele paciente.

EX134. As consultas podem revelar o que os pesquisadores estão investigando, o que é sensível.

EX135. Agregando em nível nacional e por períodos mais longos.

EX136. Estudos expirados ainda podiam rodar por causa de um erro de formato de data com fuso horário.

EX137. Nada sobre nenhuma pessoa; o ruído e o orçamento o impediram.

EX138. Restritiva, mas viável, com o pedido de um modelo adicional.

EX139. Às 15h de 7 de março, 72 horas depois de tomar conhecimento, às 15h de 4 de março.

EX140. O fornecedor levou 35,5 horas para avisar a Pellmore depois da detecção.

EX141. Descrição clara da violação, consequências prováveis, medidas tomadas e um ponto de contato.

EX142. erasure_test.log.

EX143. Prova que o arquivo difere da versão aprovada, mas não quem o mudou nem por quê.

EX144. As evidências precisam ser versionadas com novas entradas datadas, em vez de sobrescritas.

EX145. Uma organização, um tipo de análise, dados de teste sintéticos e uma pequena avaliação com pesquisadores.

EX146. Elas demonstram que a verificação funciona, porque pega problemas reais.

EX147. Os valores adequados dependem de fatores locais, então prescrevê-los seria generalizar demais.

EX148. Cada novo modelo exige análise de sensibilidade e revisão de governança.

EX149. O exercício de violação e a nova exigência de aviso do fornecedor em doze horas.

EX150. É um jeito de construir sistemas com responsabilidade desde o início, e não um complemento.