Capítulo 8 — Privacidade e proteção de dados: modos de falha
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX029.
flowchart TD
N0["8.1 Como os controles falham"]
N1["8.2 Classificar as falhas"]
N2["8.3 Desenho da detecção"]
N3["8.4 O caso do lembrete"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX029"]
Desenho lógico
flowchart LR
N0["8.1 Como os controles falham"]
N1["8.2 Classificar as falhas"]
N2["8.3 Desenho da detecção"]
N3["8.4 O caso do lembrete"]
N0 --> N1 --> N2 --> N3 --> Q["EX029"]
[8.1 Como os controles falham]
|
v
[8.2 Classificar as falhas]
|
v
[8.3 Desenho da detecção]
|
v
[8.4 O caso do lembrete]
|
v
[Exemplo resolvido] --> [Exercício EX029]
Objetivos de aprendizagem
Você vai (1) identificar como os controles de privacidade falham; (2) classificar as falhas; (3) desenhar a detecção de cada uma.
8.1 Como os controles falham
Leila lista as formas como os controles de privacidade podem falhar na Marlow: um lembrete por SMS enviado a um número antigo, agora de outra pessoa; uma carta de encaminhamento enviada por e-mail à clínica errada; uma radiografia exportada para um pendrive e perdida; a conta de um ex-substituto ainda ativa; e uma rotina automática de exclusão que para de rodar. Ela observa que a maioria das falhas não são ataques, mas erros comuns ou panes silenciosas, e que cada uma pode expor informações de saúde de um paciente a alguém que não deveria vê-las.
8.2 Classificar as falhas
Leila classifica as falhas em quatro tipos. As de destinatário errado enviam dados à pessoa errada. As de retenção excessiva guardam dados por tempo demais. As de acesso excessivo deixam as pessoas verem mais do que precisam. As falhas silenciosas acontecem quando uma rotina ou configuração de proteção para de funcionar sem que ninguém perceba. A classificação orienta os controles: destinatário errado pede conferência antes do envio; retenção excessiva, rotinas de exclusão; acesso excessivo, desenho de perfis; e falhas silenciosas, um monitoramento que alguém de fato leia. Nos incidentes passados da Marlow, o destinatário errado é o tipo mais comum.
8.3 Desenho da detecção
Para cada tipo de falha, Leila desenha uma forma de percebê-la. Os e-mails ao destinatário errado são detectados pelas comunicações da equipe e por um aviso automático para endereços externos. A retenção excessiva é detectada por uma consulta mensal dos registros mais antigos. O acesso excessivo é detectado pela revisão dos logs de auditoria em busca de visualizações fora da clínica do funcionário. As falhas silenciosas são detectadas por rotinas que informam o sucesso todo dia, de modo que a falta de um relatório dispara um alerta. Ela observa que um controle sem detecção pode falhar por meses antes de alguém notar.
8.4 O caso do lembrete
Leila estuda em detalhe o caso do número antigo. Um paciente trocou de número sem avisar a clínica, e o novo dono do número recebeu lembretes com o nome do paciente e da clínica. Leila recomenda que os lembretes tragam só o nome da clínica e o horário, sem o nome completo do paciente nem o tipo de tratamento, e que a recepção confirme o telefone em cada visita. O encarregado trata o evento original como uma violação de dados pessoais e o registra, mesmo com o risco avaliado como baixo, porque o artigo 33(5) do GDPR exige documentar todas as violações.
Exemplo resolvido
Leila lista as falhas, classifica-as em destinatário errado, retenção excessiva, acesso excessivo e falha silenciosa, desenha a detecção de cada uma e reduz o conteúdo dos lembretes depois de um caso de número errado.
Caso sintético. As falhas são sintéticas; o registro de violações do artigo 33 do GDPR é real.
Erros e limites
A detecção depende de pessoas agirem diante dos alertas; atribua responsáveis.
Exercícios
- EX029 — Quatro tipos. Cite os quatro tipos de falha. Rubrica: 3 = destinatário errado, retenção excessiva, acesso excessivo, falha silenciosa;; 2 = todos;; 1 = dois;; 0 = nenhuma.
- EX030 — Detectar o silêncio. Como as falhas silenciosas são detectadas? Rubrica: 3 = rotinas informam o sucesso todo dia; a falta do relatório gera alerta;; 2 = menciona diário;; 1 = vago;; 0 = nenhuma.
- EX031 — Conteúdo do lembrete. O que os lembretes devem conter agora? Rubrica: 3 = só o nome da clínica e o horário;; 2 = parcialmente correta;; 1 = todos os detalhes;; 0 = nenhuma.
- EX032 — Registro da violação. Por que o caso do número errado foi registrado? Rubrica: 3 = era uma violação de dados pessoais, mesmo de baixo risco;; 2 = menciona violação;; 1 = vago;; 0 = nenhuma.
Continue estudando — aula 08 (capítulo 08 de 18)
← Capítulo 07 · Índice das aulas · Capítulo 09 →
Continue para a próxima aula já escrita.