Capítulo 4 — Risco e ética avançados

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["4.1 Risco latente e irreversível"]
  N1["4.2 Falsificação posterior e risco sistêmico"]
  N2["4.3 Obrigações para com os titulares dos dados"]
  N3["4.4 Uso dual e divulgação"]
  N4["4.5 Aceitação do risco residual"]
  N5["4.6 Caso resolvido"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["4.1 Risco latente e irreversível"]
  N1["4.2 Falsificação posterior e risco sistêmico"]
  N2["4.3 Obrigações para com os titulares dos dados"]
  N3["4.4 Uso dual e divulgação"]
  N4["4.5 Aceitação do risco residual"]
  N5["4.6 Caso resolvido"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX016"]

[4.1 Risco latente e irreversível]
    |
    v
[4.2 Falsificação posterior e risco sistêmico]
    |
    v
[4.3 Obrigações para com os titulares dos dados]
    |
    v
[4.4 Uso dual e divulgação]
    |
    v
[4.5 Aceitação do risco residual]
    |
    v
[4.6 Caso resolvido]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) quantificar o risco quântico com medidas de exposição baseadas em cenários; (2) tratar os riscos com longa latência e dano irreversível; (3) analisar as obrigações éticas para com os titulares dos dados cujo dano ultrapassa o horizonte da organização; (4) lidar com as questões de uso dual e de divulgação no nível especializado; e (5) documentar adequadamente a aceitação do risco residual.

4.1 Risco latente e irreversível

O risco do harvest-now-decrypt-later (HNDL) é latente: o evento de perda (a coleta) pode já ter acontecido, e o dano (a decifração) acontece depois e não pode ser desfeito. Os registros de riscos padrão, construídos para eventos com detecção e recuperação imediatas, o representam mal. Represente o HNDL como exposição acumulada por ano: o volume de dados de vida longa que atravessa enlaces interceptáveis sob troca de chaves clássica a cada ano, ponderado pelo dano, em cada cenário de cronograma. Cada ano de atraso acrescenta um ano de exposição que nenhuma migração posterior remove.

Na NRHT, o enlace da genômica mostra o padrão: 20.000 registros por ano o atravessam sob troca de chaves clássica, e cada ano soma ao que um interceptador pode já ter. Relate essa exposição por ano e por cenário no registro de riscos, e diga claramente que a exposição passada não pode ser reduzida por uma migração posterior.

4.2 Falsificação posterior e risco sistêmico

O risco de falsificação posterior depende das âncoras de confiança e dos canais de atualização. Uma chave de assinatura de código falsificada de um dispositivo médico amplamente implantado poderia afetar a segurança dos pacientes em muitos hospitais ao mesmo tempo; o risco é sistêmico, e não local. Os especialistas devem identificar as âncoras de confiança cujo comprometimento tem efeitos correlacionados e priorizar a sua migração ou controles compensatórios, como assinaturas múltiplas ou chaves de verificação vinculadas ao hardware que possam ser rotacionadas.

Na NRHT, a frota de bombas de infusão é o exemplo mais claro: o seu firmware é verificado com uma assinatura RSA por uma ROM de boot que não pode mudar. Uma assinatura falsificada afetaria todas as bombas ao mesmo tempo. Liste essas âncoras de confiança separadamente no registro, com o número de dispositivos e de locais que dependem de cada uma.

4.3 Obrigações para com os titulares dos dados

Os dados genômicos de um paciente revelam informações sobre os seus parentes e continuam sensíveis por gerações. O horizonte de planejamento da organização (ciclos orçamentários, contratos) é mais curto que o horizonte do dano. Eticamente, as pessoas que carregam o risco — os pacientes — não são parte da decisão, o que reforça o dever de cuidado. Os especialistas devem insistir para que os horizontes do dano, e não os calendários de retenção da organização, definam o x desses dados, e para que a minimização (Capítulo 5) seja considerada antes dos controles criptográficos.

Para os dados genômicos, isso significa definir x em torno de 50 anos, mesmo que o calendário de retenção seja mais curto, porque as cópias mantidas por outros não seguem o calendário da NRHT. Registre esse raciocínio no relatório de impacto à privacidade. Sempre que possível, envolva representantes dos pacientes nas decisões sobre dados que afetam parentes.

4.4 Uso dual e divulgação

Os inventários em escala organizacional são mapas de fraquezas. Restrinja o acesso, publique apenas agregados e trate os relatos de vulnerabilidades dos fornecedores sob divulgação coordenada. Os testes ativos de negociação, de downgrade ou de comportamento sob falhas pertencem a ambientes de teste isolados e autorizados; um especialista que dirige outras pessoas é responsável por garantir que esses limites estejam escritos.

Escreva quem pode ver o inventário completo e quem recebe apenas agregados, e revise a lista todo ano. Os testes em ambientes isolados devem ser aprovados por escrito, com um responsável nomeado e uma data de término. O relato de uma fraqueza por um fornecedor é tratado sob a divulgação acordada, com o fornecedor avisado antes de qualquer publicação.

4.5 Aceitação do risco residual

Quando um risco não pode ser reduzido a tempo — uma modalidade de imagem legada que não pode ser atualizada —, o executivo responsável o aceita formalmente: escopo, justificativa, controles compensatórios, data de expiração e gatilho de revisão. A aceitação sem expiração se torna permanente por padrão.

Registre cada aceitação no registro de riscos residuais com o nome do executivo responsável e a data. Revise-a antes da expiração; se o risco ainda não puder ser reduzido, o executivo precisa aceitá-lo de novo, com uma nova data. Na revisão do segundo ano da NRHT, seis aceitações haviam passado da expiração sem revisão, o que levou ao escalonamento automático.

4.6 Caso resolvido

O serviço de genômica da NRHT envia 20.000 registros por ano a um parceiro de pesquisa externo por um enlace TLS com troca de chaves clássica. Enquadramento da exposição: cada ano acrescenta 20.000 registros sensíveis por toda a vida ao que um interceptador poderia ter. Enquadramento ético: o horizonte do dano é de ~50 anos e inclui os parentes. Decisão: migrar esse enlace para a troca de chaves híbrida em até três meses, reduzir os dados enviados levando a análise para um ambiente de pesquisa confiável, e registrar que as transferências dos anos anteriores continuam expostas — um risco residual que o conselho aceita formalmente, com uma nota no relatório de impacto à privacidade.

4.7 Erros comuns e limites

• Pontuar o HNDL como um incidente comum com impacto imediato.
• Deixar os calendários de retenção definirem os horizontes do dano.
• Aceitações de risco sem expiração.

Cada erro tem uma salvaguarda. Represente o harvest-now-decrypt-later como exposição anual que não pode ser removida depois. Defina o x de cada conjunto de dados a partir do horizonte do dano, e não da retenção. Dê a toda aceitação uma data de expiração e um revisor nomeado, e escalone automaticamente quando uma delas passar. Na NRHT, o enlace da genômica foi registrado como exposição anual com um horizonte de 50 anos, e a aceitação das transferências anteriores foi anotada no relatório de impacto à privacidade com uma data de revisão. Use esse registro como modelo para os demais.

Exercícios

• EX016 — Acúmulo da exposição. Se a migração do enlace da genômica atrasar 18 meses, quantos registros adicionais ficam expostos? Rubrica: 3 = 30.000, com raciocínio.
• EX017 — Âncora sistêmica. Identifique duas âncoras de confiança da NRHT com efeitos de falha correlacionados. Rubrica: 3 = duas âncoras plausíveis, com explicação.
• EX018 — Formulário de aceitação. Escreva uma aceitação de risco residual para um aparelho de ressonância magnética legado com verificação de firmware apenas RSA. Rubrica: 3 = escopo, justificativa, controles compensatórios, expiração, gatilho.
• EX019 — Argumento ético. Argumente, em cinco frases, por que o horizonte do dano aos pacientes deve definir x. Rubrica: 3 = quem carrega o risco não é parte, irreversibilidade, dever de cuidado.
• EX020 — Controle de acesso ao inventário. Defina quem pode ver a CBOM completa e por quê. Rubrica: 3 = menor privilégio, relatórios agregados, auditoria.

Síntese

O risco quântico é latente, irreversível e às vezes sistêmico. Os especialistas o expressam como exposição acumulada, definem os horizontes pelo dano aos titulares dos dados, protegem os inventários como informação sensível e tornam a aceitação do risco residual explícita e limitada no tempo.