Capítulo 18 — Privacidade e proteção de dados: controles
Mapa da aula
Aula 18 publicada. Mapa, exemplo, EX052.
flowchart TD
N0["18.1 Selecionar controles"]
N1["18.2 Mapeamento"]
N2["18.3 Normas"]
N3["18.4 Acompanhamento"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX052"]
Desenho lógico
flowchart LR
N0["18.1 Selecionar controles"]
N1["18.2 Mapeamento"]
N2["18.3 Normas"]
N3["18.4 Acompanhamento"]
N0 --> N1 --> N2 --> N3 --> Q["EX052"]
[18.1 Selecionar controles]
|
v
[18.2 Mapeamento]
|
v
[18.3 Normas]
|
v
[18.4 Acompanhamento]
|
v
[Exemplo resolvido] --> [Exercício EX052]
Objetivos de aprendizagem
Você vai (1) selecionar controles para os riscos da Quayside; (2) mapear os controles para os princípios; (3) acompanhar a implementação.
18.1 Selecionar controles
Aisha lista seis controles: revisão de SDKs, lista de verificação dos pedidos de acesso, verificação da exclusão do CFTV, varredura de arquivos, autenticação multifator e exclusão de contas inativas. Ela escolhe controles que respondem aos achados dos capítulos anteriores, em vez de copiar uma lista genérica. Cada controle enfrenta uma falha real: o SDK de anúncios, a resposta de acesso incompleta, o firmware do CFTV, os arquivos esquecidos, os logins fracos dos gerentes e as contas guardadas para sempre. Isso torna o conjunto fácil de explicar, porque cada item tem uma história de que a equipe se lembra; controles genéricos sem história ficam para depois.
18.2 Mapeamento
Aisha mapeia cada controle para os princípios. A revisão de SDKs apoia a licitude, a transparência e a limitação da finalidade, porque impede fluxos para novas finalidades. A verificação da exclusão do CFTV apoia a limitação da conservação. A autenticação multifator apoia a integridade e a confidencialidade. A lista dos pedidos de acesso apoia a transparência e o direito de acesso. A varredura de arquivos apoia a limitação da conservação e a confidencialidade. A exclusão de contas inativas apoia a limitação da conservação e a minimização. O mapa mostra que a exatidão não tem controle próprio, então ela acrescenta um lembrete anual para os alunos conferirem seus dados.
18.3 Normas
Aisha observa que a ISO/IEC 27701 oferece controles de privacidade que estendem um sistema de gestão da segurança da informação, e que o NIST Privacy Framework organiza resultados de privacidade. A Quayside os usa como referência. Ela não tenta a certificação; usa os documentos como listas de verificação para encontrar áreas faltantes. As funções do NIST Privacy Framework, como Identify-P e Control-P, ajudam a agrupar as atividades, e as listas de controles da ISO/IEC 27701 lembram o treinamento e a gestão de fornecedores. Ela registra quais itens a Quayside já atende e quais estão planejados, para mostrar o progresso à liderança.
18.4 Acompanhamento
Cada controle tem responsável, situação e evidência, numa tabela simples compartilhada com os responsáveis. As situações possíveis são planejado, em andamento, operando e testado. Um controle só conta como testado quando uma evidência mostra que funcionou, como um log de vídeos excluídos ou um teste de pedido de acesso concluído. Aisha revisa a tabela todo mês e pede aos responsáveis que atualizem os links das evidências, e não só as palavras de situação; quem não tem evidência continua em andamento, porque a situação sozinha não prova nada. O Sr. Reilly observa que o mapeamento revela as lacunas de cobertura.
Exemplo resolvido
Aisha lista seis controles, mapeia-os para os princípios do GDPR, usa como referência a ISO/IEC 27701 e o NIST Privacy Framework e acompanha responsáveis e evidências.
Caso sintético. Os controles são sintéticos; a ISO/IEC 27701 e o NIST Privacy Framework são reais.
Erros e limites
Um controle mapeado não é necessariamente eficaz.
Exercícios
- EX052 — Princípio do CFTV. Que princípio a exclusão do CFTV apoia? Rubrica: 3 = limitação da conservação;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.
- EX053 — Norma de referência. Cite uma norma usada como referência. Rubrica: 3 = ISO/IEC 27701 ou NIST Privacy Framework;; 2 = uma;; 1 = vago;; 0 = nenhuma.
- EX054 — Benefício do mapeamento. Por que mapear os controles para os princípios? Rubrica: 3 = revela lacunas de cobertura;; 2 = menciona lacunas;; 1 = vago;; 0 = nenhuma.
Continue estudando — aula 18 (capítulo 18 de 30)
← Capítulo 17 · Índice das aulas · Capítulo 19 →
Continue para a próxima aula já escrita.