Capítulo 8
Cibersegurança e proteção da informação
Segurança, minimização e resposta a incidentes em sistemas que tratam dados pessoais.
8.1 Dados e finalidades
Os processos individuais dos trabalhadores podem reunir informação identificativa, económica e especialmente sensível. Deve identificar-se de que dados necessita cada processo e evitar recolher informação apenas porque está disponível. A minimização reduz tanto os riscos de utilização indevida como os custos de proteção.
A base jurídica, a informação prestada às pessoas e os prazos de conservação devem ser analisados em função da finalidade. No emprego, o desequilíbrio entre as partes pode afetar a validade do consentimento. Não se deve utilizar uma caixa de seleção genérica como substituto dessa análise [R2].
8.2 Acesso e separação de funções
O controlo de acesso deve aplicar o princípio do privilégio mínimo. A autenticação multifator acrescenta proteção, mas não elimina a necessidade de rever permissões, dispositivos e procedimentos. Uma conta corretamente autenticada pode ser utilizada indevidamente ou dispor de autorizações excessivas.
As operações relevantes exigem rastreabilidade e revisão. Sempre que possível, devem separar-se tarefas incompatíveis, como modificar um dado e aprovar o seu efeito económico. As revisões periódicas ajudam a detetar permissões herdadas que já não correspondem a uma função legítima.
8.3 Ameaças específicas da IA
Um assistente pode revelar informação se combinar fontes sem respeitar as permissões. Também pode seguir instruções maliciosas presentes num documento ou gerar uma resposta que pareça oficial sem o ser. Os controlos devem aplicar-se ao acesso aos dados e às ações disponíveis, não apenas ao texto visível.
Os testes devem incluir documentos manipulados, consultas destinadas a extrair informação e pedidos fora do âmbito. A informação confidencial não deve ser enviada para serviços externos sem garantias e autorização adequadas. Os registos de utilização também necessitam de limites para não conservarem dados desnecessários.
8.4 Incidentes e continuidade
A resposta a incidentes exige responsáveis, canais de aviso e procedimentos ensaiados. Deve dar-se prioridade a conter o problema, preservar evidência e avaliar as suas consequências. As obrigações de comunicação ou notificação são analisadas em função do incidente e da legislação aplicável.
As cópias de segurança devem ser testadas através de operações de restauro. Uma cópia não verificada oferece uma segurança aparente. A continuidade exige também alternativas de trabalho quando uma plataforma está indisponível, especialmente em processos com efeitos sobre salários ou direitos.
8.5 Conservação e revisão
Os prazos de conservação devem responder a finalidades e obrigações identificadas. Guardar indefinidamente pode aumentar a exposição sem acrescentar valor. A eliminação deve contemplar sistemas ativos, exportações e o ciclo das cópias de segurança.
A proteção de dados é uma prática contínua. As alterações de utilização, fornecedores ou integrações exigem a revisão dos controlos. Quando aplicável, uma avaliação de impacto permite estudar riscos antes do tratamento e documentar medidas, limites e decisões pendentes [R2].
Questionários
Compreensão do capítulo & Dilemas de Recursos Humanos
Os dilemas não recebem uma pontuação moral nem são utilizados para avaliar candidaturas.