Capítulo 7 — Privacidade e proteção de dados: controles e verificação

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["7.1 Selecionar controles"]
  N1["7.2 Testar os controles"]
  N2["7.3 Operação ao longo do tempo"]
  N3["7.4 Registrar os resultados"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["7.1 Selecionar controles"]
  N1["7.2 Testar os controles"]
  N2["7.3 Operação ao longo do tempo"]
  N3["7.4 Registrar os resultados"]
  N0 --> N1 --> N2 --> N3 --> Q["EX031"]

[7.1 Selecionar controles]
    |
    v
[7.2 Testar os controles]
    |
    v
[7.3 Operação ao longo do tempo]
    |
    v
[7.4 Registrar os resultados]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) selecionar controles para os riscos do recrutamento; (2) verificar se os controles operam; (3) registrar os resultados da verificação.

7.1 Selecionar controles

A partir dos achados, Marta propõe seis controles: autenticação multifator para todos os consultores, bloqueio do envio de currículos para domínios de e-mail pessoal, aceite registrado do candidato antes de cada apresentação a um cliente, a rotina automática de exclusão de currículos, o registro central de pedidos de acesso e o armazenamento separado dos dados de diversidade. Cada controle é ligado a um risco e a um princípio. O bloqueio do e-mail pessoal atende à confidencialidade, e o aceite registrado atende à transparência e à lealdade, porque o candidato deve saber para onde vai o currículo antes do envio.

7.2 Testar os controles

Marta testa cada controle com dados sintéticos e contas de teste. Ela tenta enviar um currículo sintético para um endereço pessoal e confirma que o bloqueio aparece, com uma mensagem clara. Confere que o sistema de recrutamento recusa uma apresentação ao cliente quando o campo do aceite está vazio. Confirma que a rotina de exclusão, em modo somente relatório, lista o número esperado de perfis vencidos. Um teste falha: os dados de diversidade ainda são copiados para o sistema principal por um script antigo de importação, que o prestador de TI então remove, e Marta repete o teste até ele passar.

7.3 Operação ao longo do tempo

Testar uma vez mostra que um controle consegue funcionar; verificar ao longo do tempo mostra que ele continua funcionando. Marta define uma rotina trimestral: conferir a cobertura da autenticação multifator no relatório de identidades, examinar dez apresentações a clientes em busca do aceite registrado, confirmar as mensagens de sucesso da rotina de exclusão e revisar o registro de pedidos de acesso em busca de casos vencidos. Cada verificação tem responsável e resultado esperado. Ela explica que os controles em empresas pequenas costumam se deteriorar quando quem os montou vai embora, e as verificações de rotina protegem contra essa perda de atenção.

7.4 Registrar os resultados

Os resultados ficam num registro de verificação, revisto todo trimestre, com a data, o controle, o método de teste, o resultado e o acompanhamento. O primeiro trimestre mostra cobertura completa da autenticação multifator, dez de dez apresentações com aceite registrado e nenhum pedido vencido. O registro dá ao diretor-geral um retrato factual dos controles e dá à responsável pela proteção de dados evidências de responsabilização pelo artigo 5(2) do GDPR e pelo art. 6º, X, da LGPD. A Sra. Lin aconselha Marta a registrar as falhas com a mesma clareza dos sucessos, porque ninguém acredita num registro que nunca mostra problemas.

Exemplo resolvido

Marta seleciona seis controles ligados a riscos, testa-os com dados sintéticos, encontra um script antigo de importação que copiava dados de diversidade, define uma verificação trimestral e registra os resultados.

Caso sintético. Os controles e os resultados são sintéticos; o artigo 5(2) do GDPR e o art. 6º, X, da LGPD são reais.

Erros e limites

Um teste aprovado pode esconder lacunas se for estreito demais; varie os casos de teste.

Exercícios

• EX031 — Controle do aceite. Que princípio o aceite registrado apoia?
  Mostrar critérios de avaliação

  Rubrica: 3 = transparência e lealdade;; 2 = um;; 1 = vago;; 0 = nenhuma.
• EX032 — Teste que falhou. Que teste falhou?
  Mostrar critérios de avaliação

  Rubrica: 3 = dados de diversidade copiados por um script antigo de importação;; 2 = parcialmente correta;; 1 = vago;; 0 = nenhuma.
• EX033 — Verificações trimestrais. Cite duas verificações trimestrais.
  Mostrar critérios de avaliação

  Rubrica: 3 = cobertura da autenticação multifator, amostra de apresentações, sucesso da exclusão, pedidos vencidos;; 2 = duas;; 1 = uma;; 0 = nenhuma.
• EX034 — Resultado da amostra. Quantas apresentações da amostra tinham aceite registrado?
  Mostrar critérios de avaliação

  Rubrica: 3 = 10 de 10;; 2 = parcialmente correta;; 1 = errada;; 0 = nenhuma.
• EX035 — Registrar as falhas. Por que registrar as falhas com clareza?
  Mostrar critérios de avaliação

  Rubrica: 3 = ninguém acredita num registro sem problemas;; 2 = menciona credibilidade;; 1 = vago;; 0 = nenhuma.