Capítulo 3 — Prática autorizada e manuseio de evidências

Capítulo 3 — Prática autorizada e manuseio de evidências

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX011.

flowchart TD
  N0["3.1 Autorização primeiro"]
  N1["3.2 Manusear evidências"]
  N2["3.3 Proteger os dados pessoais"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX011"]

Desenho lógico

flowchart LR
  N0["3.1 Autorização primeiro"]
  N1["3.2 Manusear evidências"]
  N2["3.3 Proteger os dados pessoais"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX011"]

[3.1 Autorização primeiro]
    |
    v
[3.2 Manusear evidências]
    |
    v
[3.3 Proteger os dados pessoais]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX011]

Objetivos de aprendizagem

Você vai (1) obter autorização antes do trabalho de segurança; (2) manusear evidências com cuidado; (3) proteger os dados pessoais durante as revisões.

3.1 Autorização primeiro

Owen quer revisar o acesso ao sistema de gestão de casos. Ines insiste em que ele obtenha primeiro uma autorização por escrito do responsável pelo sistema e do chefe de TI, Kwame Asante, dizendo o que ele pode examinar, quando e por quê. Mesmo um funcionário interno pode causar dano ou violar uma política ao examinar sistemas sem permissão, especialmente sistemas que guardam anotações de proteção. A autorização também protege Owen se mais tarde surgirem perguntas sobre por que ele acessou registros sensíveis. Ele a guarda com seus papéis de trabalho.

3.2 Manusear evidências

Durante a revisão, Owen exporta as listas de usuários e de papéis, em vez de navegar pelas fichas dos inquilinos. Ele registra o que exportou, quando e de qual sistema, e guarda os arquivos numa pasta restrita. Ele calcula um checksum de cada exportação para poder mostrar depois que ela não foi alterada. Se os achados dele levarem a uma ação disciplinar, as evidências precisam resistir a contestação. O manuseio cuidadoso também significa apagar as cópias quando o trabalho terminar, conforme acordado na autorização, em vez de guardá-las indefinidamente.

3.3 Proteger os dados pessoais

A revisão de Owen precisa dos nomes dos funcionários com acesso, mas não dos dados dos inquilinos. Quando um relatório de papéis inclui por engano nomes de inquilinos, ele para, informa o responsável pelo sistema e apaga os dados excedentes. Ele redige seus achados usando nomes de papéis e contagens, mencionando pessoas apenas quando necessário. A ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) espera que o manuseio de informações siga regras acordadas, e a legislação de proteção de dados limita o uso à finalidade acordada. Minimizar os dados pessoais numa revisão reduz o dano caso os arquivos da revisão venham a ser expostos.

Exemplo resolvido

Owen obtém autorização por escrito, exporta as listas de papéis e calcula seus checksums, guarda-as com segurança e apaga os dados de inquilinos incluídos por engano.

Caso sintético. Os sistemas e os eventos são sintéticos; a ISO/IEC 27001:2022 (no Brasil, ABNT NBR ISO/IEC 27001:2022) é real.

Erros e limites

As autorizações podem ser vagas. Os checksums provam a integridade, e não a completude.

Exercícios

• EX011 — Quem autorizou. Quem autorizou a revisão de Owen? Rubrica: 3 = o responsável pelo sistema e Kwame Asante, chefe de TI;; 2 = os dois;; 1 = vago;; 0 = nenhuma.

• EX012 — Propósito do checksum. Por que calcular um checksum de cada exportação? Rubrica: 3 = para mostrar depois que ela não foi alterada;; 2 = integridade;; 1 = sigilo;; 0 = nenhuma.

• EX013 — Dados por engano. O que Owen fez quando apareceram nomes de inquilinos? Rubrica: 3 = parou, informou o responsável e apagou os dados excedentes;; 2 = parar;; 1 = continuou;; 0 = nenhuma.

• EX014 — Exclusão. Quando as cópias de trabalho são apagadas? Rubrica: 3 = quando o trabalho termina, conforme acordado;; 2 = fim do trabalho;; 1 = nunca;; 0 = nenhuma.

• EX015 — Exportar, não navegar. Por que exportar as listas de papéis em vez de navegar pelos registros? Rubrica: 3 = para evitar ver dados de inquilinos desnecessários à revisão;; 2 = minimizar;; 1 = rapidez;; 0 = nenhuma.

Síntese

Trabalho autorizado, tratamento cuidadoso das evidências e o mínimo de dados pessoais protegem tanto a organização quanto o profissional.

Continue estudando — aula 03 (capítulo 03 de 12)

← Capítulo 02 · Índice das aulas · Capítulo 04 →

Continue para a próxima aula já escrita.