Perguntas frequentes
Quem pode ver cada informação na Innguma?
Na Innguma quem decide é a sua organização: as pessoas decidem o que se vigia, o que se publica e a quem chega. O acesso se apoia no Active Directory, com login corporativo e inclusões e exclusões centralizadas, e a difusão é feita por boletins enviados a partir da Biblioteca a quem a equipe escolhe. Como se organizam os acessos de cada equipe é definido com cada organização na implantação.
Que princípios de segurança se aplicam ao acesso à informação?
- Mínimo privilégio. O NIST o define como o princípio pelo qual cada entidade recebe apenas os recursos e as autorizações de que precisa para sua função[1].
- Controle de acesso baseado em papéis. Cada usuário recebe um ou vários papéis, e cada papel, determinados privilégios. O modelo do NIST foi adotado como norma norte-americana ANSI/INCITS 359 em 2004 e revisado em 2012[2].
- Necessidade de conhecer. Pertencer à organização não significa que a pessoa deva ler todas as vigilâncias.
O que exigem a legislação espanhola e a europeia?
O Real Decreto 311/2022, que regula o Esquema Nacional de Seguridad, exige que o acesso aos sistemas seja controlado e limitado a usuários, processos ou sistemas devidamente autorizados (artigo 17), e que os sistemas sejam configurados concedendo os mínimos privilégios necessários (artigo 20)[3]. O Regulamento Geral sobre a Proteção de Dados exige proteção de dados desde a concepção e por padrão (artigo 25), o que inclui que, por padrão, os dados pessoais não sejam acessíveis a um número indeterminado de pessoas, e medidas técnicas e organizativas adequadas ao risco (artigo 32)[4]. A AEPD desenvolve como levar isso à prática em seu guia de privacidade desde a concepção[5].
Que informação de vigilância é sensível?
Mais do que parece. Uma notícia pública deixa de ser inofensiva quando se combina com o critério da organização:
- O que se vigia. Uma vigilância sobre uma tecnologia concreta revela uma linha de P&D; uma sobre uma empresa, talvez uma operação societária.
- Comentários internos. As avaliações que a equipe acrescenta a um sinal expressam posições e planos próprios.
- Dados pessoais. Nomes de diretores, pesquisadores ou contatos que aparecem nos sinais, e as listas de destinatários.
Como se controla o acesso em cada camada da Innguma
| Camada | Pergunta de controle | Como se resolve na Innguma |
|---|---|---|
| Identidade | Quem é e continua na organização? | Integração com o Active Directory: login corporativo e inclusões e exclusões centralizadas |
| Trabalho | Quem processa e valida os sinais? | O Factory, o espaço em que a Innguma processa e estrutura os sinais, é o ambiente de trabalho do analista |
| Difusão | A quem chega cada conteúdo? | Os boletins são enviados a partir da Biblioteca às pessoas que a equipe decide |
| IA conectada | O que um assistente externo pode fazer? | Via MCP, compatível com ChatGPT, Claude, Microsoft Copilot e Gemini, o assistente trabalha com as capacidades que a Innguma disponibiliza a cada integração e que a sua organização habilita |
| Infraestrutura | Os sistemas estão protegidos? | ENS categoria MEDIA para os sistemas que dão suporte aos serviços de vigilância gerenciada (certificado 34/5704/24/05039, OCA Global, válido até junho de 2028)[6], e tratamento de dados conforme o RGPD |
Perguntas a resolver na implantação
- Quem precisa trabalhar a informação e quem apenas a recebe?
- Quais vigilâncias tratam informação sensível, como projetos próprios, clientes ou operações, e quem deve recebê-la?
- Como são comunicadas as inclusões, exclusões e mudanças de área, para que o acesso seja ajustado a tempo?
- Com que frequência são revisados os destinatários de cada boletim?
- Quais capacidades são habilitadas na integração com um assistente de IA, e quem revisa o que é publicado?
Fontes e referências
- [1] NIST, Computer Security Resource Center. Glossary: least privilege
- [2] NIST. Role Based Access Control
- [3] Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE
- [4] Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados. EUR-Lex, 2016
- [5] AEPD. Guia de privacidade desde a concepção. Outubro de 2019
- [6] Certificado ENS da Innguma (PDF)