Acesso a sistema e rastreabilidade de consulta indevida
Um analista consulta, em horário fora do expediente, uma base de dados de inteligência sobre um conhecido de sua família. O sistema registra a consulta, mas não bloqueia o acesso porque o perfil do analista tem permissão ampla herdada de função anterior. No dia seguinte, o analista comenta com um colega que 'checou uma situação pessoal'. O colega informa o supervisor, que precisa decidir entre abrir apuração imediata ou apenas advertir verbalmente para evitar 'clima ruim' na equipe. A base contém dados de terceiros não envolvidos, e não há política escrita sobre uso de bases para fins pessoais.
1. A consulta configura irregularidade? Que elementos devem ser considerados na decisão do supervisor?
Read the worked answer
Sim. O acesso a base de inteligência deve ter finalidade institucional, necessidade e vínculo com atividade autorizada; consulta motivada por interesse pessoal, ainda que o sistema permita tecnicamente, desvia a finalidade e viola deveres de sigilo e de impessoalidade. O fato de o sistema não bloquear não legitima a conduta: a permissão técnica não equivale a autorização funcional. O supervisor deve considerar a gravidade, a existência de dolo, o volume de dados acessados, a divulgação a terceiros e o histórico do servidor. A ausência de política escrita é falha da organização, mas não elimina o dever de cautela. A simples advertência verbal tende a ser insuficiente diante de acesso indevido e comentário a colega; recomenda-se apuração formal, com preservação dos logs e garantia de defesa, e revisão das permissões do perfil.
2. Que medidas de controle devem ser adotadas para reduzir reincidência, sem paralisar a atividade de inteligência?
Read the worked answer
Devem ser adotadas medidas proporcionais: revisão periódica de perfis e aplicação do princípio do menor privilégio, com segregação de funções e expiração automática de permissões herdadas; registro de auditoria com alerta para consultas fora de horário, a bases não vinculadas à atividade do analista ou a titulares com vínculo pessoal declarado; declaração periódica de conflitos de interesse; política escrita de uso aceitável das bases, com exemplos e sanções; e treinamento recorrente. Para não paralisar a atividade, o controle deve ser automatizado e focado em anomalias, e não em autorização caso a caso para toda consulta. Também é útil criar canal de consulta prévia para dúvidas e definir que acessos excepcionais sejam justificados e registrados. A meta é rastreabilidade com fluxo ágil, não burocracia que empurre o analista a contornar o sistema.