Ética (Legalidade, Necessidade, Proporcionalidade)

Nota do capítulo "13 - Contra-Inteligência (CI)", pasta "07 - Liderança e Governança".
Estabelece os três pilares éticos que governam decisões de coleta, engano e monitoramento na CI corporativa.
Aplica os limites da nota de Marcos Legais e prepara o terreno para o Oversight, com exemplos de dilemas e de decisão documentada.

1. Contexto e Posicionamento na Biblioteca

A contra-inteligência corporativa manipula informação, engana adversários e observa pessoas, e cada uma dessas capacidades pode ser exercida de forma legítima ou degradante, muitas vezes com o mesmo código e o mesmo orçamento. Esta nota define os três pilares éticos que separam essas duas trajetórias: legalidade, que fixa o piso, necessidade, que justifica a coleta, e proporcionalidade, que dimensiona a resposta. O desenvolvimento cobre dilemas práticos frequentes, um código de conduta para analistas, o processo de revisão ética de operações e um exemplo de decisão ética documentada, no formato que o comitê pode adotar como padrão.

O posicionamento na pasta segue a lógica de governança em camadas. A nota de Marcos Legais estabelece o que é juridicamente possível, e esta nota responde à pergunta seguinte, que nenhum texto de lei responde: entre o possível, o que é correto fazer, para quem e com que intensidade. A nota de Oversight fecha o ciclo verificando se o executado corresponde ao decidido. Uma organização que executa CI sem essa camada intermediária depende de julgamento individual não estruturado, e julgamento não estruturado sob pressão é a receita clássica do abuso.

2. Por que Ética é Pilar Estrutural de CI

A primeira razão é de poder. Operações de CI criam assimetria de informação sobre pessoas: o dossiê de investigação sabe mais sobre um funcionário do que o próprio círculo de confiança dele. Poder assimétrico sem freio estruturado tende a crescer, e a história da vigilância estatal mostra que o crescimento acontece por acúmulo de decisões pequenas, cada uma defensável isoladamente, nenhuma aprovada em conjunto. Os pilares éticos funcionam como contrapeso permanente dessa tendência, exigindo justificativa a cada ampliação.

A segunda razão é de efetividade. Operação de CI que viola expectativas legítimas das pessoas perde a colaboração que a sustenta: denúncias caem, testemunhas recusam-se a falar e a telemetria passa a ser contornada por quem a alimenta. O engano corporativo mal calibrado, como honeypots que capturam dados de clientes reais, gera crise regulatória que consome mais do que a operação protegia. Ética, aqui, não é ornamento de discurso, é condição de durabilidade do programa.

A terceira razão é de defesa. Quando uma operação é questionada, em auditoria, em litígio ou em imprensa, a organização precisa demonstrar que a decisão passou por critérios declarados e registrados, e não por impulso de gestor sob pressão. O registro ético, com raciocínio documentado por pilar, é o que converte uma decisão polêmica em decisão defensável. A ausência do registro transforma qualquer resultado ruim em negligência institucional, mesmo quando a decisão em si era razoável.

3. Os Três Pilares: Legalidade, Necessidade, Proporcionalidade

Legalidade é o pilar de piso: nenhuma operação pode violar lei, contrato ou política declarada, e a dúvida jurídica relevante deve ser resolvida antes, com parecer, e não depois, com defesa. Necessidade é o pilar de justificativa: só se coleta o que é indispensável para responder a uma pergunta de segurança declarada, e a pergunta precisa existir antes da coleta, pois coleta sem pergunta não é inteligência, é acúmulo. Proporcionalidade é o pilar de medida: o grau de intrusão da operação deve ser o menor capaz de produzir o benefício esperado, e o benefício deve ser maior que o dano causado a terceiros e à confiança interna.

A tabela abaixo converte cada pilar em perguntas de teste aplicáveis a qualquer operação, com exemplo de aplicação concreta, no formato recomendado para o formulário de revisão ética.

Os pilares são sequenciais em rigor e não substituíveis entre si. Operação legal e desproporcional não é aceitável, pois legalidade permite o máximo e ética exige o suficiente; operação necessária e ilegal não é aceitável, pois fim legítimo não cria meio permitido. A prática recomendada é exigir resposta escrita aos três testes em qualquer solicitação de operação sensível, com assinatura do proponente e do revisor, e recusar a triagem de solicitações sem as três respostas.

4. Dilemas Práticos de CI

Três dilemas concentram quase toda a tensão ética do dia a dia de CI corporativa. O primeiro é o engano: operações de decepção contra adversários, como fake targets e canários, são legítimas quando dirigidas ao atacante e contidas ao ambiente controlado, e degradam quando colhem dados de pessoas não envolvidas ou contaminam processos de negócio. O segundo é a isca com dados falsos: honeypots e credenciais falsas funcionam como instrumento quando o conteúdo é fabricado, e viram armadilha para inocentes quando usam dados reais de clientes, funcionários ou parceiros. O terceiro é o monitoramento de funcionários: telemetria de segurança sobre pessoas precisa de aviso, base e escopo, e a fronteira entre proteção e vigilância clandestina é exatamente o que o processo de revisão deve manter visível.

A tabela organiza esses e outros dilemas recorrentes, o risco ético central de cada um e a salvaguarda recomendada, que pode ser adotada como política de programa.

Um padrão atravessa a tabela: quase todo dilema nasce de uma operação válida que extrapolou fronteira invisível no momento da execução. Por isso as salvaguardas são técnicas e organizacionais ao mesmo tempo, e por isso a revisão ética da próxima seção existe: ela transforma fronteira invisível em critério visível antes do incidente, e não depois dele.

5. Código de Conduta do Analista de CI

O analista de CI manuseia informação sobre pessoas e sobre a organização com poder de dano real, e a formalização do compromisso profissional ajuda a converter valores em comportamento verificável. O código abaixo pode ser incorporado ao manual do cargo, ao termo de confidencialidade e ao treinamento de admissão da função.

CODIGO DE CONDUTA DO ANALISTA DE CONTRA-INTELIGENCIA

1. Coletar somente o necessário para a pergunta de segurança declarada,
   registrando a pergunta antes da coleta.
2. Respeitar base legal, aviso e escopo aprovados; ampliar apenas com
   nova autorização documentada.
3. Proteger dossiês com controle de acesso, trilha de auditoria e
   retenção definida, sem cópias pessoais.
4. Tratar pessoas investigadas como titulares de direitos, e não como
   objetos; nenhuma conclusão sobre pessoa sem revisão independente.
5. Não fabricar, alterar ou suprimir evidência; registrar incerteza e
   alternativas não investigadas.
6. Recusar fontes de origem ilícita e reportar ofertas recebidas ao
   revisor de ética.
7. Não usar produto de CI para vantagem pessoal, comercial paralela ou
   disputa interna.
8. Comunicar imediatamente desvios de escopo, acessos indevidos ou
   riscos a terceiros identificados em operação.
9. Manter segredo sobre operações mesmo após desligamento, nos termos
   do contrato e da lei.
10. Denunciar retaliação sofrida por aplicação deste código ao canal
    de denúncia independente.

O código precisa de mecanismo para sobreviver à pressão, e dois dispositivos fazem essa função. O primeiro é a referência explícita ao canal de denúncia independente, que dá rota de fuga ao analista pressionado por gestor. O segundo é a exigência de registro de incerteza, que protege o analista de cobrança por certeza que o material não permite e protege o decisor de conclusões aparentemente firmes construídas sobre inferência frágil.

6. Revisão Ética de Operações

A revisão ética é um processo leve e obrigatório, e não um comitê de filosofia. O desenho recomendado tem quatro elementos: um formulário único de solicitação com as perguntas de teste dos três pilares, um revisor com poder de vetar ou condicionar, um registro central de decisões e gatilhos objetivos que determinam quando a revisão é exigida. A cadência natural é que solicitações rotineiras, como um feed novo de inteligência, sejam resolvidas em horas, e operações sensíveis, como decepção e monitoramento de pessoas, sigam trilha completa com jurídico e, quando couber, RH e DPO.

Os gatilhos objetivos evitam a discussão subjetiva sobre o que é "sensível". A tabela lista os gatilhos padrão e a exigência de revisão associada a cada um.

O registro de decisões é o elemento que torna o processo auditável: cada decisão mantém proponente, revisor, data, raciocínio por pilar, condições impostas e data de reavaliação. Operações condicionais precisam de prazo de encerramento e de verificação de cumprimento das condições, e operações recusadas precisam da razão registrada, pois a recusa documentada é a melhor evidência de que o processo tem substância e não é carimbo.

7. Exemplo Prático: Decisão Ética Documentada

O registro abaixo documenta uma decisão real de programa, no formato que serve de gabarito para a organização. A situação é recorrente em maturidade intermediária: a equipe propõe honeypot com credenciais de executivo para atrair uso indevido, e a revisão ética ajusta a proposta aos pilares.

REGISTRO DE DECISAO ETICA - CI-ET-2025-006

Proposta original: criar credencial com nome de executivo sênior e
  repositório falso com arquivos plausíveis, para identificar uso
  indevido interno e externo.

Avaliação por pilar:
  Legalidade: credencial com nome real de executivo vincula pessoa
    real a evento sem base; risco de dano reputacional e de
    responsabilização injusta. Parecer jurídico: substituir nome real
    por identidade sintética.
  Necessidade: a pergunta de segurança é "quem acessa repositório de
    M&A antes da divulgação". Isca de repositório responde; credencial
    de executivo não acrescenta valor analítico.
  Proporcionalidade: dano potencial a pessoa real é desproporcional ao
    ganho marginal; alternativa sintética atinge o mesmo objetivo.

Decisão: aprovar honeypot de repositório com identidade sintética,
  conteúdo fabricado e sem dados de terceiros; reprovar credencial
  com nome de executivo real.
Condições: inventário das iscas registrado, alerta em canal isolado,
  revisão semestral do conteúdo e encerramento no fechamento do
  processo de M&A.
Assinaturas: proponente (CI), revisor (jurídico), ciência (CISO).
Data de reavaliação: semestral.

O exemplo mostra a função real da revisão: a operação foi aprovada com ajuste, e não vetada, e o ajuste preservou integralmente o valor analítico. Esse é o padrão de sucesso que vale comunicar na capacitação dos proponentes, pois mostra que o processo existe para melhorar operações, e não para bloquear a função de CI.

8. Erros Comuns e Pontos de Atenção

• Tratar legalidade como suficiente: operação legal pode ser desnecessária ou desproporcional, e é exatamente essa faixa que gera dano sem benefício; os três pilares precisam ser respondidos sempre.
• Deixar a ética para o comitê anual: dilema não agendado é dilema decidido sob pressão; os gatilhos objetivos precisam acionar revisão no momento da proposta, e não em calendário.
• Usar dados reais em iscas: a verossimilhança necessária para atrair adversário se obtém com dados sintéticos; dado real de cliente ou funcionário em honeypot é risco regulatório gratuito.
• Aplicar o código só aos subordinados: gestores que pedem exceção informal destroem o código mais rápido que qualquer analista; a adesão executiva precisa ser visível e registrada.
• Registrar apenas aprovações: arquivo só com casos aprovados sugere comitê de carimbo; recusas e condicionantes documentadas são o que prova que o processo decide.
• Confundir confidencialidade com sigilo do abuso: o segredo protege a operação, não o desvio; o canal de denúncia precisa ser acessível sem passar pelo gestor questionado.
• Deixar iscas sem inventário: honeypot esquecido vira vetorial de risco e não se sabe mais quem autorizou; inventário com dono e prazo é parte da operação, e não burocracia.

9. Integração com o Restante da Biblioteca

Esta nota aplica, no nível da decisão, os limites que a nota de Marcos Legais define no nível da regra, e entrega ao oversight da nota seguinte o registro que ele precisa verificar. Os dilemas de engano e de iscas se conectam às notas de CI Ofensiva da pasta "02 - Taxonomia de CI" e aos honeypots do capítulo 02, que ganham aí seus guardrails de execução. O código de conduta do analista complementa a matriz de competências do grupo GOV do Framework CTH e deve constar do desenho de cargo tratado nas notas de construção de equipe do capítulo 12.

Na dimensão de execução, o formulário de três pilares e o registro de decisão alimentam a evidência de conformidade exigida pelas auditorias e pelo modelo de oversight corporativo, e o caso documentado da seção 7 pode integrar treinamento de onboarding de toda função de CI e resposta a incidentes. O resultado esperado do conjunto é pragmático: nenhuma operação sensível executada sem resposta registrada a três perguntas simples, se é legal, se é necessária e se é proporcional, e nenhum analista sem rota clara de denúncia quando a resposta for forçada.