Capítulo 5 — Letramento em segurança

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 Ameaças"]
  N1["5.2 Orientação para a equipe"]
  N2["5.3 Reconhecer violações"]
  N3["5.4 Comunicação de incidentes"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 Ameaças"]
  N1["5.2 Orientação para a equipe"]
  N2["5.3 Reconhecer violações"]
  N3["5.4 Comunicação de incidentes"]
  N0 --> N1 --> N2 --> N3 --> Q["EX013"]

[5.1 Ameaças]
    |
    v
[5.2 Orientação para a equipe]
    |
    v
[5.3 Reconhecer violações]
    |
    v
[5.4 Comunicação de incidentes]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) reconhecer as ameaças aos dados dos alunos; (2) explicar as proteções básicas à equipe das unidades; (3) reconhecer violações de dados pessoais.

5.1 Ameaças

Aisha lista as ameaças à Quayside: e-mails de phishing para os gerentes das unidades, senhas fracas nas telas de reserva, tablets da recepção perdidos e funcionários compartilhando listas de alunos em celulares pessoais. Ela observa que a maioria dos incidentes em negócios parecidos envolve erros comuns, e não ataques sofisticados. Agrupa as ameaças por onde começam: o phishing no e-mail, as senhas fracas na tela, os tablets perdidos na recepção e as fotos compartilhadas nos hábitos da equipe. Para cada grupo, escreve um exemplo realista, como um gerente que clica num falso link de fatura numa segunda-feira movimentada.

5.2 Orientação para a equipe

Aisha escreve um guia de uma página para a equipe das unidades: usar o gerenciador de senhas, bloquear as telas da recepção, nunca fotografar listas de alunos, comunicar imediatamente a perda de dispositivos e conferir os destinatários dos e-mails. Ela o testa com dois gerentes e simplifica a redação. O primeiro rascunho usava um vocabulário de segurança que os confundiu: perguntaram o que era um gerenciador de senhas e por que bloquear a tela se estavam ao lado dela. Aisha reescreve cada regra como uma ação curta com uma razão, por exemplo: bloqueie a tela sempre que se afastar, porque os alunos fazem fila bem ao lado.

5.3 Reconhecer violações

Aisha explica que uma violação de dados pessoais inclui perdas ou divulgações acidentais, e não só ataques. Um tablet perdido com reservas ou um e-mail enviado ao aluno errado podem ser violações. A Quayside precisa avaliar cada uma e, pelo artigo 33 do GDPR, notificar a autoridade de controle em até 72 horas, salvo se a violação não for suscetível de gerar risco; no Brasil, a Resolução CD/ANPD nº 15/2024 fixa um relógio próprio de três dias úteis para comunicar a ANPD. Ela prepara três exemplos para o treinamento: um tablet esquecido num ônibus, uma lista de turma enviada ao instrutor errado e um log da catraca exposto por um link mal configurado.

5.4 Comunicação de incidentes

Aisha cria um formulário simples para a equipe comunicar incidentes. Explica que a rapidez importa porque o prazo começa a contar quando a Quayside toma conhecimento. O Sr. Reilly acrescenta que funcionários com medo de serem culpados atrasam as comunicações, por isso o guia agradece a quem comunica depressa. O formulário pergunta só o que aconteceu, quando foi percebido, em que unidade e que dados podem estar envolvidos. Ele não pede à equipe que julgue a gravidade, porque essa decisão cabe ao encarregado. No primeiro mês, o formulário recebe seis comunicações, quatro delas de e-mails enviados ao destinatário errado.

Exemplo resolvido

Aisha lista as ameaças do dia a dia, escreve um guia de uma página para a equipe, explica que perdas acidentais são violações e cria um formulário rápido de comunicação.

Caso sintético. As ameaças e as orientações são sintéticas; o artigo 33 do GDPR e a Resolução CD/ANPD nº 15/2024 são reais.

Erros e limites

Os guias precisam ser atualizados à medida que as ameaças mudam.

Exercícios

• EX013 — Tablet perdido. Um tablet da recepção perdido com reservas é uma possível violação?
  Mostrar critérios de avaliação

  Rubrica: 3 = sim; perda acidental de dados pessoais;; 2 = sim;; 1 = não;; 0 = nenhuma.
• EX014 — Rapidez da comunicação. Por que a equipe precisa comunicar depressa?
  Mostrar critérios de avaliação

  Rubrica: 3 = o prazo de 72 horas começa quando a Quayside toma conhecimento;; 2 = menciona prazo;; 1 = vago;; 0 = nenhuma.
• EX015 — Fotografar listas. Que hábito arriscado o guia proíbe?
  Mostrar critérios de avaliação

  Rubrica: 3 = fotografar listas de alunos com celulares pessoais;; 2 = menciona celulares;; 1 = vago;; 0 = nenhuma.