Capítulo 12 — Governança, riscos e compliance de segurança: fluxos de dados
Mapa da aula
Aula 12 publicada. Mapa, exemplo, EX034.
flowchart TD
N0["12.1 Mapear os fluxos"]
N1["12.2 Terceiros"]
N2["12.3 Riscos dos fluxos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX034"]
Desenho lógico
flowchart LR
N0["12.1 Mapear os fluxos"]
N1["12.2 Terceiros"]
N2["12.3 Riscos dos fluxos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX034"]
[12.1 Mapear os fluxos]
|
v
[12.2 Terceiros]
|
v
[12.3 Riscos dos fluxos]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX034]
Objetivos de aprendizagem
Você vai (1) mapear os fluxos de dados dos pacientes; (2) identificar os terceiros que recebem dados; (3) avaliar os riscos de cada fluxo.
12.1 Mapear os fluxos
Priya mapeia como os dados dos pacientes circulam: dos pacientes, pelo site de agendamento, para o sistema do consultório; das clínicas para o arquivo de imagens; dos dentistas para os laboratórios; da recepção para as operadoras e seguradoras, nos pedidos de reembolso; e do sistema do consultório para os backups. Para cada fluxo, registra os dados envolvidos, o meio e o destinatário. O mapa mostra onze fluxos, três dos quais envolvem partes externas além do provedor do sistema do consultório. Os três fluxos externos, para os laboratórios, as seguradoras e o provedor do site de agendamento, são examinados na seção seguinte.
12.2 Terceiros
Os laboratórios, as seguradoras e o provedor do site de agendamento recebem dados de pacientes. Priya verifica se cada um tem contrato com cláusulas de proteção de dados. Dois laboratórios não têm acordo escrito. Ela recomenda cláusulas padrão cobrindo sigilo, segurança e notificação de violações. Aprende que os terceiros são muitas vezes o elo mais fraco dos fluxos de dados, porque as organizações supõem, sem verificar, que os fornecedores protegem os dados. Cláusulas padrão para os dois laboratórios sem acordo também dariam à Riverton o direito contratual de ser avisada das violações. Ela ainda pede ao provedor do site de agendamento que confirme suas próprias cláusulas de notificação.
12.3 Riscos dos fluxos
Para cada fluxo, Priya anota os riscos: e-mails a laboratórios enviados ao destinatário errado, seguradoras recebendo mais dados do que o necessário e o site de agendamento coletando histórico médico de que não precisa. Ela recomenda reduzir os dados em cada etapa, usar mensagens seguras e revisar o que o formulário de agendamento pergunta. Aprende que a análise dos fluxos de dados revela riscos invisíveis numa lista de ativos, já que o dano muitas vezes ocorre enquanto os dados passam entre sistemas e organizações. O formulário que coleta histórico médico desnecessário, por exemplo, pode ser corrigido simplesmente removendo campos.
Exemplo resolvido
Priya mapeia onze fluxos de dados de pacientes, encontra dois laboratórios sem acordo e recomenda reduzir os dados em cada etapa.
Caso sintético. Os fluxos e as partes são sintéticos.
Erros e limites
Os mapas deixam escapar fluxos informais, como fotos tiradas no celular. Os contratos não garantem a prática.
Exercícios
- EX034 — Contagem de fluxos. Quantos fluxos de dados Priya mapeou? Rubrica: 3 = onze;; 2 = 11;; 1 = vago;; 0 = nenhuma.
- EX035 — Acordos ausentes. Que partes não tinham acordo escrito? Rubrica: 3 = dois laboratórios;; 2 = laboratórios;; 1 = seguradoras;; 0 = nenhuma.
- EX036 — Problema do agendamento. O que havia de errado com o site de agendamento? Rubrica: 3 = coletava histórico médico de que não precisava;; 2 = dados em excesso;; 1 = vago;; 0 = nenhuma.
Síntese
Mapas de fluxo de dados revelam riscos de terceiros e de minimização que as listas de ativos não percebem.
Continue estudando — aula 12 (capítulo 12 de 30)
← Capítulo 11 · Índice das aulas · Capítulo 13 →
Continue para a próxima aula já escrita.