Runink FACE · Conformidade e registros de auditoria
Este é um cenário do Runink FACE. As conferências descritas aqui leem os registros que o FACE guarda dos seus embarques e dos seus relatórios, e fazem parte do próprio FACE.
Em Resumo
- Os dados pessoais não chegam aos logs. Endereços de e-mail, telefones, números de cartão, números de identificação nacional e endereços IP são retirados do que vai para os logs e para os diagnósticos antes de ser escrito, então o rastro que um sistema deixa ao rodar não se torna uma segunda cópia dos dados.
- Está embutido na plataforma, não é um relatório que você roda. A remoção acontece no caminho de escrita por baixo de cada serviço, em todo lugar em que um serviço escreve uma linha.
- Cada conferência guarda a própria conta. O que foi lido, contra que regra, o que foi achado e quem olhou ficam no registro, e uma conferência que não pôde rodar fica escrita exatamente assim.
Um Rastro Que Ninguém Tem Tempo De Conferir.
Os dados pessoais viajam com cada registro, e cada sistema que toca um registro deixa um rastro para trás. Responder por esse rastro obriga a juntar sistemas à mão.
Onde Isso Dá Errado
O nome e o endereço do cliente são necessários para entregar a encomenda. Não são necessários no painel de uma transportadora, num relatório enviado a um parceiro, nem na cópia do arquivo que alguém baixou para uma reunião. Mas o campo viaja junto com o registro, e segue viajando.
Ninguém planeja isso. Acontece porque o caminho mais curto para responder a uma pergunta é exportar o que você tem, e o que você tem ainda traz os dados pessoais dentro.
Você não consegue proteger o que não vê saindo.
Para Quem É Isto
Três mesas, e a mesma pergunta por baixo: você consegue mostrar a sua conta?
- O encarregado de proteção de dados, e conformidade e riscos. O que chega hoje é o nome e o endereço de um cliente, que foram necessários uma vez para entregar uma encomenda e viajam com o registro desde então — para uma exportação, um relatório de parceiro, um arquivo de log que ninguém lê até algo dar errado. O que muda é onde o rastro para. Os dados pessoais são retirados dos logs e dos diagnósticos antes de serem escritos, no caminho por baixo de cada serviço e não num relatório que alguém lembra de rodar.
- TI e segurança da informação. O que chega hoje é uma pergunta que só se responde contando: quais dos seus serviços escrevem logs de aplicação, e quais deles passam o que escrevem por alguma remoção antes de guardar ou enviar. O que muda é que a resposta é uma propriedade de como o software foi construído, descrita em frases comuns que você pode confrontar numa revisão de código — então a conversa de segurança vira uma descrição, e não uma negociação.
- Auditoria interna, e quem responde pelo relatório. O que chega hoje é um pedido para explicar por que um número é o que é, meses depois de quem o montou ter saído. O que muda é que o registro guarda a própria conta, e que uma conferência que não pôde rodar fica escrita como entrada própria em vez de passar caladamente por um resultado limpo.
O Que Acontece No Lugar
Todo serviço escreve os seus logs e diagnósticos por meio de uma etapa de remoção compartilhada, que tira do texto os endereços de e-mail, os telefones, os números de cartão, os números de identificação nacional e os endereços IP e de hardware antes de o texto cair em algum lugar, junto com campos nomeados — senhas, tokens, segredos, chaves de licença, URLs de webhook — onde quer que apareçam num conteúdo estruturado. O ponto é que operar um sistema não cria em silêncio uma segunda cópia dos dados pessoais que estão dentro dele: o lugar onde vazamentos são descobertos tarde, e o lugar onde ninguém pensa em olhar.
Cada conferência guarda registro do próprio trabalho. Quando um auditor pergunta por que um achado é aquele, ou quando um órgão regulador pergunta quem viu o endereço de um cliente, a resposta vem do registro, e não da memória de quem montou a planilha.
O registro também mantém separadas as duas respostas que as pessoas costumam misturar. “Conferimos isso e não achamos nada” e “não conseguimos ler isso, então nunca foi conferido” ficam anotadas como coisas diferentes. A segunda é o achado que uma auditoria de fato procura, e é a que um visto verde normalmente engole.
Como Você Vai Saber Que Funcionou
Todo número abaixo é seu, não nosso. Anote onde você está hoje, porque a linha de base se perde para sempre no momento em que as coisas melhoram.
- Onde os dados pessoais de fato estão. Pegue uma amostra dos relatórios e das telas que os seus parceiros e transportadoras veem. Conte quantos trazem um nome, um telefone ou um endereço. A maior parte das equipes nunca contou isso.
- Quanto dos seus próprios logs passa por alguma remoção. Conte os serviços que escrevem logs de aplicação, e depois conte aqueles cuja saída passa por alguma etapa de remoção antes de ser guardada ou enviada a um provedor de logs. Essa é a linha de base de que a metade de privacidade desta página fala, e é a que a maior parte das equipes consegue levantar numa tarde e preferiria não levantar.
Traga uma amostra das telas que os parceiros veem e a lista dos serviços que escrevem logs.
As exposições acima são desenhadas para mostrar a forma do trabalho. Não são o relato de um trabalho com cliente, e nada nesta página é resultado medido.
O software acha o registro, mostra a regra contra a qual ele foi lido e entrega os dois à pessoa responsável. Se você cumpre uma obrigação é um julgamento que fica com o seu responsável por conformidade, o seu encarregado de proteção de dados e o seu auditor.
O Que Um Responsável Por Conformidade Pergunta Primeiro
O que a parte de privacidade faz, o que o registro guarda e quem decide.