Vetting de Pessoas e Need-to-know

Nota da pasta de CI Defensiva (Deter e Detectar) do Capítulo 13 que trata da proteção contra o adversário que
ataca por dentro: vetting de pessoas para posições sensíveis e need-to-know como segregação de informação.
Correlaciona-se com a nota de Ameaça Interna (13/05) e entrega um modelo de política de acesso.

1. Contexto e Posicionamento na Biblioteca

As salvaguardas técnicas da biblioteca enfrentam o adversário que chega pela rede, mas a doutrina de
contra-inteligência alerta que a porta mais usada por coletas sofisticadas é a pessoa: o funcionário recrutado, o
contratado infiltrado, o candidato avaliado por outros e o terceiro com acesso de longa duração. Esta nota trata as
duas salvaguardas humanas de base da CI defensiva: o vetting, que filtra quem entra e quem permanece em posições
sensíveis, e o need-to-know, que limita o que cada pessoa pode alcançar mesmo sendo confiável. Juntas, elas reduzem
a superfície de coleta humana que a nota de contraespionagem mostrou ser alvo preferencial.

O posicionamento na biblioteca é duplo. No capítulo 13, a nota é a barreira humana da pasta de CI Defensiva,
antecedendo a análise de ameaça interna da pasta 05, que lida com a detecção de desvios depois que a pessoa já está
dentro. Na seção 15, o CTI.10 aplica o mesmo princípio de need-to-know ao acervo do próprio programa de CTI, e o
leitor verá que a lógica é idêntica, mudando apenas o objeto protegido: ali, a inteligência da organização contra
vazamento; aqui, a informação do negócio contra coleta adversária.

2. Vetting: Investigação de Antecedentes e Confiabilidade

Vetting é a investigação estruturada de antecedentes, vínculos e conduta de uma pessoa para julgar sua
confiabilidade no exercício de uma posição específica. Na tradição de CI, ele antecede a concessão de acesso a
informação sensível e não é um evento único: é um ciclo com reavaliação periódica, proporcional à sensibilidade da
posição. A lógica do vetting é reconhecer que a motivação adversária mais eficaz não é invadir, é cooptar ou
instalar, e que o custo de filtrar na entrada é ordens de magnitude menor que o custo de apurar um insider ativo
dois anos depois.

No ambiente corporativo, o vetting operacionaliza-se em camadas proporcionais, respeitando legislação trabalhista e
de proteção de dados. A tabela abaixo organiza as camadas usuais e seus componentes.

Duas regras de conformidade são inegociáveis no contexto brasileiro. Primeira, o vetting usa dados pessoais e,
portanto, exige base legal definida, finalidade declarada, minimização e transparência compatíveis com a LGPD, com
jurídico desenhando o processo, não apenas auditando. Segunda, resultado de vetting é need-to-know em si mesmo:
quem acessa o resultado é pouquíssima gente, e o vazamento de uma checagem destrói o programa e a pessoa. O vetting
também não substitui gestão: ele informa risco na admissão, mas confiança se mantém com gestão de desempenho, clima
e canais de reporte, tema que a nota de ameaça interna desenvolve.

3. Need-to-know como Princípio de Segregação de Informação

Need-to-know é o princípio de que o acesso a informação sensível não decorre de confiança, cargo ou necessidade
geral, mas da necessidade concreta, verificável e atual de conhecê-la para executar uma função. Ele complementa o
controle de acesso por função: o RBAC define o que a função pode acessar em abstrato, e o need-to-know define quem,
dentro da função, precisa de quê agora. A diferença fica clara no exemplo clássico: dez engenheiros têm a mesma
função, mas apenas três precisam da especificação do projeto confidencial; conceder a todos é confortável e é
exatamente o que a coleta adversária explora.

O princípio se aplica em três eixos que a política deve regular. No eixo de tempo, o acesso é temporário quando a
necessidade é temporária, com expiração automática e revisão periódica, porque o need-to-know de ontem não
justifica o de hoje. No eixo de granularidade, a segregação acontece no nível do objeto certo: projeto, documento,
registro ou campo, e não apenas no nível de pasta ou de aplicação. No eixo de evidência, a concessão exige
justificativa registrada e aprovada por dono do dado, o que constrói a trilha auditável que sustenta investigações
futuras. O efeito de CI direto é mensurável: quanto menor o círculo de quem sabe, menor a probabilidade de coleta
ter sucesso e maior a chance de localizar a origem quando ela acontece.

4. Correlação com Ameaça Interna

Vetting e need-to-know são a metade preventiva do espectro de ameaça interna, e a nota de ameaça interna da pasta
05 deste capítulo é a metade detectiva. A correlação é estrutural: o vetting reduz a probabilidade de entrada de
pessoa incompatível com posições sensíveis, o need-to-know reduz o dano máximo que qualquer pessoa, confiável ou
não, pode causar, e a vigilância comportamental da nota de insider detecta o desvio que escapa às duas barreiras.
Um programa que só faz vigilância comportamental sem as duas barreiras preventivas coleta mais casos e mais cedo,
mas com volume de dano maior; um programa que só faz barreiras sem vigilância descobre os desvios tarde, geralmente
pela consequência.

O insider também muda de natureza com o tempo, e as barreiras precisam acompanhá-lo. O colaborador vetted na
admissão pode, dois anos depois, estar endividado, ressentido ou abordado por recrutador adversário, e é por isso
que a reavaliação periódica do vetting e os canais de reporte de abordagens são parte da mesma salvaguarda. O
need-to-know, por sua vez, é a medida que limita o dano do insider que nenhuma triagem teria detectado, porque ele
nasce confiável e desvia tarde. A lição de CI é que as três camadas são um sistema, como a metáfora imunológica da
nota 03 deste capítulo já indicava: barreira, reconhecimento e resposta coordenadas.

5. Sinais de Recrutamento Adversário

A coleta dirigida de informação por operador humano começa quase sempre com uma abordagem, e o programa de CI
defensiva treina a organização para reconhecê-la e reportá-la. Os sinais abaixo, combinados, merecem atenção e
reporte ao canal de CI.

• Proposta de consultoria paga com questionários técnicos que pedem detalhe além do razoável para o valor
  oferecido, especialmente sobre arquitetura, roadmap, preço e clientes.
• Interesse recorrente de contato externo em documentos internos de áreas sensíveis, com pedidos que migram de tema
  lícito para tema restrito de forma incremental.
• Oportunidade de emprego generosa que exige troca de informação confidencial como prova de conhecimento, antes
  mesmo de contrato formal.
• Contato que cultiva relacionamento com persistência desproporcional ao contexto: conferências, grupos técnicos,
  redes profissionais, sempre puxando para o que a organização faz e como.
• Perguntas que mapeiam estrutura: quem decide, quais sistemas usam, quem está insatisfeito, quando há auditoria,
  padrão clássico de preparação de coleta ou de infiltração.

O tratamento desses sinais é uma decisão de CI, e a regra de ouro é proteger o reportante: quem reporta abordagem
não deve ser punido por ter sido alvo, sob pena de o canal secar e a organização perder a visibilidade mais barata
que tem sobre campanhas de coleta em curso. O reporte alimenta a avaliação de contraespionagem descrita na nota 04
da pasta 01, e o funcionário abordado passa a ser tratado como alvo consciente, com orientação sobre como conduzir
a interação, e não como suspeito.

6. Exemplo de Política de Acesso por Need-to-know

O exemplo abaixo é um extrato ilustrativo de política de need-to-know para uma área de desenvolvimento de produto
com propriedade intelectual sensível, em formato de configuração aplicável a ferramenta de acesso e revisível por
auditoria.

politica_need_to_know_produto:
  escopo: repositorios de especificacao, roadmap e dados de clientes-chave
  classificacao:
    interno: documentacao de uso e APIs publicas
    confidencial: especificacao de produto em desenvolvimento
    critico: roadmap, precificacao, dados de clientes-chave, PI nucleo
  regras:
    concessao:
      - acesso por projeto, nunca por area ou por funcao generica
      - justificativa textual obrigatoria vinculada a tarefa ou caso
      - aprovacao do dono do dado registrada com data e versao
    duracao:
      - acesso critico com expiracao automatica em 30 dias
      - renovacao exige rejustificativa, sem carência automática
    segregacao:
      - dados de clientes-chave em compartimento separado do roadmap
      - porções anonimizadas disponíveis para o círculo amplo de engenharia
    auditoria:
      - todo acesso registrado com identidade, objeto e finalidade
      - revisão trimestral de acessos com exclusão de sem uso em 60 dias
      - canary token em cada versão critica de documento
  excessoes: aprovadas somente pelo comitê de CI com prazo definido

A política ilustra os três eixos da seção 3 em operação: tempo, com expiração e rejustificativa; granularidade, com
segregação por compartimento e versões anonimizadas; evidência, com justificativa, aprovação e auditoria. O canary
token fecha o desenho com o anticorpo do sistema imunológico: se a versão crítica vazar, a marca única identifica a
cópia e, com ela, o canal da coleta, transformando need-to-know de princípio em instrumento de investigação.

7. Erros Comuns e Pontos de Atenção

• Confundir confiança com need-to-know: pessoas confiáveis recebem tudo por cortesia, e o círculo amplo vira
  superfície de coleta; a correção é acesso por projeto com justificativa, inclusive para gente de confiança.
• Vetting como evento único: checagem na admissão sem reavaliação perde valor com o tempo, porque risco de pessoa
  muda; a correção é periodicidade proporcional à sensibilidade da posição.
• Vetting que viola a LGPD: coleta excessiva de dados pessoais sem base legal vira passivo jurídico e desgasta o
  programa; a correção é desenho com jurídico, minimização e finalidade declarada.
• Need-to-know que estrangula o negócio: segregação sem alternativas de trabalho empurra o compartilhamento para
  canais informais; a correção é prover versões anonimizadas e fluxos de consulta aprovados.
• Punir quem reporta abordagem: o custo de secar o canal de reporte é perder visibilidade de campanhas inteiras; a
  correção é proteção formal do reportante e feedback do caso ao quem reportou.
• Política sem dono do dado: concessão aprovada por gestor genérico não é need-to-know; a correção é mapear donos
  de dados e dar a eles papel formal na aprovação e na revisão.

8. Integração com o Restante da Biblioteca

Dentro do capítulo 13, esta nota alimenta diretamente a nota de ameaça interna da pasta 05, que recebe daqui as
barreiras preventivas e os sinais de abordagem, e dialoga com a nota de contraespionagem da pasta 01, que define o
que fazer quando a abordagem é confirmada como campanha. Com a pasta de CI Defensiva, need-to-know é também
condição de operação das iscas, porque a existência de honeypots e dangles é informação de need-to-know estrito. Na
seção 15, o CTI.10 aplica o princípio ao acervo de CTI com RBAC e TLP, e os grupos GOV e DAT fornecem a governança
de acesso e a trilha de auditoria que a política exige. Nas seções 02 e 12 da biblioteca, a nota de privacidade e
considerações legais complementa o desenho do vetting no contexto brasileiro.