Segurança da informação e rastreabilidade em atendimento
Durante um atendimento, um cidadão pede ao servidor que consulte o benefício de um familiar. O servidor acessa o sistema com sua credencial pessoal e localiza os dados, mas percebe que o titular não está presente e não há procuração. O cidadão alega que o familiar está hospitalizado e que precisa apenas confirmar a data de pagamento. No mesmo dia, o servidor recebe um e-mail externo com um link que simula a página do INSS e solicita login e senha para “atualização cadastral”. O setor tem uma política de senhas que exige troca a cada 90 dias e proíbe compartilhamento.
1. Como o servidor deve proceder diante do pedido de informação do familiar?
Read the worked answer
O servidor não deve fornecer dados do benefício a terceiro sem autorização legal ou procuração, ainda que o pedido pareça simples. A credencial pessoal é intransferível e o acesso deve ocorrer apenas para finalidade legítima. Se o titular está hospitalizado, o servidor deve orientar o cidadão sobre os canais formais, como procuração, representação legal ou atendimento ao próprio titular quando possível. A confirmação de data de pagamento também é dado pessoal e deve seguir a mesma regra. O servidor deve registrar a solicitação e a orientação dada, evitando consultas sem fundamento. A resposta correta prioriza a proteção de dados, a finalidade e a necessidade, sem ignorar a situação humanitária, mas sem flexibilizar indevidamente o sigilo.
2. Qual deve ser a conduta em relação ao e-mail suspeito e à política de senhas?
Read the worked answer
O servidor não deve clicar no link nem fornecer login e senha. Deve reportar o e-mail ao setor de segurança da informação ou ao canal interno competente, preservando o conteúdo para análise. A mensagem apresenta sinais típicos de phishing: remetente externo, urgência e solicitação de credenciais. Quanto à política de senhas, o servidor deve cumprir a troca a cada 90 dias e nunca compartilhar a senha. Se houver suspeita de comprometimento, deve alterar a senha imediatamente e comunicar o incidente. A resposta correta articula prevenção, comunicação e registro, sem responder ao e-mail nem reutilizar senhas antigas.
3. Como conciliar agilidade no atendimento e proteção de dados?
Read the worked answer
A agilidade não autoriza acesso indiscriminado. O servidor deve identificar a demanda, verificar a legitimidade do solicitante e usar apenas os dados necessários. Quando não houver autorização, deve orientar o caminho formal e registrar o atendimento. A proteção de dados exige finalidade, necessidade e segurança, mas não impede atendimento eficiente: impede acesso sem base legal. O servidor pode consultar o sistema para o titular ou para representante legal, sempre com registro. A conciliação está em padronizar procedimentos, usar canais seguros e orientar o cidadão com clareza, evitando tanto a recusa genérica quanto o acesso irregular.