Este documento apresenta um roadmap para desenvolvedores na área de proteção de dados, cobrindo conceitos jurídicos, de negócios e técnicos. Ele descreve as principais áreas de conhecimento, como privacidade, segurança, governança e ciência de dados. Também discute novas atividades para desenvolvedores, como testes de privacidade, minimização de dados e prestação de contas. Por fim, fornece uma trilha recomendada de conhecimento, incluindo certificações, normas e ferramentas.

1. Data Protection Full Stack
Um Roadmap para o Desenvolvedor na
Área de Proteção de Dados
DÉBORA MODESTO & DOUGLAS SIVIOTTI
Porto Alegre, Dezembro de 2020

2. Sobre
DOUGLAS SIVIOTTI
DÉBORA MODESTO
Analista de sistemas com especialização em
engenharia de software pela Universidade Federal
do Rio Grande do Sul.
Atua com desenvolvimento há mais de 20 anos e é
arquiteto e software do SERPRO desde 2005.
Nos últimos anos atua especialmente com
arquitetura, qualidade de software, segurança e
proteção de dados (LGPD), sendo um dos criadores
do "guia de desenvolvimento confiável" do SERPRO.
Autor do blog ArteSoftware.com.br
Mestre em Informática pela Universidade
Federal do Estado do Rio de Janeiro.
Atua desde 2010 no Serviço Federal de
Processamento de Dados (SERPRO).
Gerente de projetos, vivenciando todas as dores
e alegrias de uma equipe de desenvolvimento
no contexto da empresa pública e agora, lidando
com a proteção de dados em seus projetos.
Autora do blog ArteSoftware.com.br
Desenvolvedor
Dev
Implementação
Arquitetura
& Design
Requisitos
DevOps

3. Escopo: P&PD* no Desenvolvimento
*Privacidade e Proteção de Dados
Parte 1
Áreas de conhecimento
estruturantes para
proteção de dados
Parte 2
Foco em novas atividades para o desenvolvedor
Destaque para atividades já conhecidas
Parte 3
Um Roadmap com os
principais conceitos
(amostragem)

4. Áreas de Conhecimento em
P&PD

5. Computação
Negócio
Eixos de Conhecimento
Software Tradicional
Computação
- Programação
- Redes/Infra
- Banco de Dados
- Segurança
Negócio
- Parte Específica
- Usuário/Titular
- Sistemas e Softwares
Software
Tradicional

6. Computação Estatística
Negócio
Eixos de Conhecimento
Ciência de Dados
Ciência
de
Dados
Pesquisa
Tradicional
Software
Tradicional
Aprendizado
de Máquina

7. Segurança
& TI / Infra
Negócio
& Sistemas / UX
Eixos de Conhecimento
Segurança/TI Tradicional
Segurança
- ISO 27001, padrões
- Redes, Nuvem, Infra
- DAST, SAST, Ameaças
- Superfície de Ataque
Negócio
- Continuidade, Resposta
- Autenticação / Autorização
- Segregação, Perfis de acesso
Risco &
Resposta

8. Três Eixos da
Proteção de Dados
Jurídico
- LGPD, GDPR etc
- Marco Civil da Internet
- Legislação Específica
- Direitos do Titular
Negócio
- Contratos e Responsabilidades
- Controlador ou Operador
- Interesses Legítimos
Segurança
& TI / Infra
Jurídico
Negócio
& Sistemas / UX
Proteção
de Dados
Pessoais
Privacidade
Risco &
Resposta
Compliance

9. Segurança
& TI / Infra
Jurídico
Negócio
& Sistemas / UX
Quarta Área
Governança / Processos
Proteção
de Dados
Pessoais
- Privacidade By Design
- Processos de Desenv.
- Processos de Segurança
- Governança de Dados
- Políticas Corporativas
- Capacitação/Sensibilização
- Relacionamento com
- Titulares
- Entes Regulatórios
Privacidade
Risco &
Resposta
Compliance
Governança
Processos

10. Eixos
(Práticas)
Quarta Área
Práticas x Políticas
Governança
(Políticas)
DAST / SAST Quando executar? Quem?
Resposta ao Titular Prazo, Responsáveis, Formato
Gestão de Riscos Papéis envolvidos, formato, divulgação

11. Segurança
Áreas de Conhecimento
Do Desenvolvedor
Governança
(Políticas)
Desenvolvedor
Jurídico Negócio

12. Atividades além do
DevSecOps

13. DevOps
Etapas

14. DevSecOps
DevOps + Segurança
https://www.primecontrol.com.br/engenharia-de-qualidade-devops/

15. DevSecOps
Atividades de Segurança
https://www.linkedin.com/pulse/devsecops-primer-101-dhaval-shrimankar/
Static
Analysis Threat
Model
Policies
Code
Review
Penetration
Testing
Compliace
Validation
Response
Detect
Monitor
Threat
Intelligence
Log Audit
Recover

16. DevSecOps + Privacidade
Atividades Expandidas
https://www.linkedin.com/pulse/devsecops-primer-101-dhaval-shrimankar/
Static
Analysis Threat
Model
Policies
Code
Review
Penetration
Testing
Compliace
Validation Recover
Response
Detect
Monitor
Threat
Intelligence
Log Audit
Atividade expandida
para privacidade
(e.g. ISO 27.701)
Legenda
Atividade
compartilhada entre
Seg. e Privacidade

17. DevSecOps + Privacidade
Expandidas + Específicas
https://www.linkedin.com/pulse/devsecops-primer-101-dhaval-shrimankar/
Static
Analysis Threat
Model
Policies
Code
Review
Penetration
Testing
Compliace
Validation Recover
Response
Detect
Monitor
Threat
Intelligence
Log Audit
Atividade expandida
para privacidade
(e.g. ISO 27.701)
Teste de
Privacidade
Embasamento
Prestação de
Contas
(Direitos do Titular)
Adequação
Metamodelagem
Anonimização
Minimização
Assessmenent
Descontinuidade
Legenda
Atividades de
Específicas de
Privacidade/PD

18. DevSecOps + Privacidade
Atividades de Privacidade/PD
Teste de
Privacidade
Embasamento
Prestação de
Contas
(Direitos do Titular)
Validação de
Conformidade
Modelagem
de Ameaças
Log
Auditoria
Adequação
Metamodelagem
Anonimização
Minimização
Assessmenent
Descontinuidade
Políticas

19. Embasamento
Finalidades e Bases Legais
Embasamento
Requisitos
Negócio

20. Bases Legais
Embasamento
Requisitos
Negócio
Dados
Pessoais
Art. 7
Dados P.
Sensíveis
Art. 11
Poder
Público
Art. 23
Marco Civil
da Internet
Outras
Legislações
LAI
Lei de Acesso
a Informação
Hipóteses Legais LGPD
Base Legal
Empresa
Pública
Provedor de
Internet
Órgão Público
Empresa
Privada
Base legal não é um
conceito da LGPD

21. Avaliação do Processo de Negócio
Assessment
Tratamento 1
Tratamento 2
Tratamento 3
Registro de
Atividades de
Tratamentos
(RoPA*)
Análise dos Processos de
Negócio (PN) da Organização
Assessment
RIPD (DPIA)
Multidisciplinar
PN

22. Avaliação do Processo de Negócio
Assessment
Multidisciplinar
Tratamento
Origem
Forma de Entrada
Período
Prorrogação Embasamento
Utilização
Derivação
Ampliação
Subconjunto
Destinos
Jurisdição
Motivação Estratégia
Auditoria

23. Avaliação do Processo de Negócio
Assessment
Requisitos
Design
Negócio
Operador
Controlador
Ambientes
de Nuvem
Decisões
Bancos
de Dados
Bancos
de Dados
- Toma decisões
- Define a finalidade
- Define a base legal
- Define meios essenciais
- Define os dados pessoais
- Define retenção e exclusão
- Define compartilhamento
- É um papel opcional
- Não precisa de contrato formal (GDPR sim)
- Mantém registros de tratamentos (art. 37)
- Realiza tratamento sob instruções
- Pode ser responsabilizado
- Define meios não essenciais
(tecnologia, ferramentas, linguagens, seg. etc)
Log

24. Classificação de Metadados
Metamodelagem
Requisitos
Dados Pessoais
Sensíveis
Dados Pessoais de
Crianças e Adolescentes
Dados
Pessoais
Dados
não pessoais
Dados
Anonimizados
Dados
Pseudonimizados

25. Dados Viram Não Pessoais
Anonimização
Requisitos
Implementação
2
1
3 4
Pseudonimização Anonimização
Subconjunto (dados ainda pessoais)

26. Usando Somente o Necessário
Minimização
Cliente
Solicita
Dev
Software
Implementa
Requisitos
Negócio
Requisito
Dados
Minimização
Dados Dados
Jurídico
Banco
de Dados
AD/DBA
Projeta
Administra
Feedback
Minimização
Feedback
Mundo Real:
Software em Produção

27. Teste de Software e de Requisitos
Teste de Privacidade
Testes
Testador
Software
Teste Registro
Defeito
(não é Bug)
Testador
Teste Registro
Inadequação
(não é defeito)
Requisitos Guia / Plano
Requisitos
Software
LGPD
GDPR
etc
Guia / Plano

28. “Correção” das Inadequações
Adequação
A. Requisito Implementador
Adequação
Testador
Teste Registro
Inadequação
(não é defeito)
Requisitos
Software
LGPD
GDPR
etc
Guia / Plano
Implementação
Requisitos

29. Accountability
Prestação de Contas
DevOps
1 – Confirmação de existência
2 – Acesso aos dados
3 – Correção dos dados
4 – Decisão sobre desconformidades*
5 – Portabilidade
6 – Eliminação se consentido
7 – Info. sobre compartilhamentos
8 – Consequências de não consentir
9 – Revogar consentimento
Registro de
Atividades de
Tratamentos
(RoPA*)
Gestão de
Consentimento
Relacionamento
com Titular
Solução de Acesso
às Informações
(Automatização)
* Registy of Processing Activities (GDPR)

30. Limpeza criteriosa
Descontinuidade
DevOps
Software
Banco
de Dados
- É necessário reter os dados por questões legais?
- Os dados podem ser reusados em outro software?
- Posso anonimizar e gerar outra base de conhecimento?
- Responsáveis definidos (a equipe pode não existir mais)
- Custo, backup e continuidade foram previstos?

31. Novas práticas e necessidades
DevOps
Atividades Expandidas
Validação de
Conformidade
Modelagem
de Ameaças
Log Auditoria
Políticas
Casos de Abuso
de Privacidade
Registro de Tratamentos
Prestação de Contas
Conformidade com
LGPD, GDPR etc
Pol. de Privacidade
Termos de Uso

32. Um possível
Roadmap

33. Segurança
Proteção de Dados
Trilha de Conhecimento Recomendada
Governança
(Políticas)
Desenvolvedor
Jurídico
Negócio

34. Segurança
Proteção de Dados
Trilha de Conhecimento Recomendada
Governança
(Políticas)
Desenvolvedor
Jurídico
Negócio
Certificações DPO

35. f
Finalidades
Bases Legais
Tratamentos
Metamodelagem
Minimização
Anonimização
Ciclo de Vida
...
Relacionamento
com Titular
UX / Cookies
Privacidade
By Design
LGPD
GDPR
ISO 27.701
Governança
de Dados
Plataformas
e Ferramentas
Gestão de Risco
Marco Civil
OWASP
Log e Auditoria
Criptografia
TLS, SSH, etc
Segurança
Jurídico Negócio Governança
Normas Técnicas

36. Nossos Contatos
DÉBORA MODESTO DOUGLAS SIVIOTTI
/modestodebora
deb.modesto@gmail.com
/douglas-siviotti
douglas.siviotti@gmail.com
facebook.com/
artesoftware.com.br
artesoftware.com.br
instagram.com/
artesoftware