O que aconteceu de importante para a segurança neste computador: quem entrou, quem errou a senha, bloqueios, mudanças de senha e de perfil, backups, exportações de dados e o que o servidor
recusou. O registro fica só aqui (nunca vai para a nuvem), é guardado por 180 dias e nunca guarda senha, sessão, foto, documento nem o que foi pesquisado.
Depois da senha, o login pede um código de 6 dígitos que muda a cada 30 segundos e só existe no seu celular (Google Authenticator, Microsoft Authenticator, Authy…). Quem descobrir a sua senha
não entra sem o celular. É opcional e vale por computador/servidor: ligue no servidor da VM e em cada computador em que você entra. O segredo fica cifrado e nunca vai para a nuvem.
1. No celular, abra o aplicativo autenticador e escolha «ler QR code» (ou «digitar chave»). 2. Digite abaixo o código de 6 dígitos que o aplicativo mostrar agora.
Sem câmera? Digite esta chave no aplicativo:
Guarde estes 8 códigos de recuperação agora (papel ou cofre de senhas). Eles não aparecem de novo. Cada um entra uma vez no lugar do código do aplicativo, se você perder o celular.
Quem tem a verificação ligada neste computador
Se alguém perdeu o celular e não tem os códigos de recuperação, redefina: ele volta a entrar só com a senha e liga de novo. Fica registrado.
Quem consultou dado pessoal neste computador e no aplicativo: abrir a ficha, ver ou baixar a foto, PDF, busca de pessoa, histórico, log de acessos, lista negra e câmera.
O registro mostra quem, quando, o quê e o número do alvo — nunca o que foi consultado (nome, documento, o texto da busca). Fica só aqui (não vai para a nuvem) e é guardado
por 365 dias. Para saber quem viu uma pessoa, escolha «Pessoa» em Alvo e digite o número interno dela.
Sessões abertas neste computador
Cada navegador logado é uma sessão. O administrador pode encerrar uma sessão (a pessoa volta à tela de login no próximo clique) ou todas as outras de uma vez — por exemplo, se um computador foi esquecido logado.
Política de sessão vale só para este computador
Saúde da segurança deste computador
Só leitura. O Contrô confere o que consegue enxergar daqui: se o disco onde ficam o banco e as fotos está protegido (BitLocker no Windows), o espaço livre e os picos de login recusado. «Não confirmado» nunca significa «protegido». Alertas com o Contrô fechado são da VM, não desta tela.
Relógios
Carregando…
Caminho em claro até os faciais
O facial só fala HTTP (sem TLS). Quando este computador o alcança por um endereço de internet (DDNS ou IP público), a senha e a foto atravessam a internet sem cifra. «Avisar» (padrão) só mostra o alerta; «Recusar» faz ESTE computador deixar de usar endereço de internet — o facial que só tem DDNS fica fora do ar AQUI (é o caso do servidor da VM: ligue só depois de ter VPN ou a porta restrita ao IP da VM).
Configuração de privacidade deste cliente
Só informa o que ainda falta na ficha de privacidade e no livro de incidentes (ficha completa, aviso publicado, prazos de retenção, canal do titular, contato do encarregado, incidentes). Recomendado, não bloqueia: nada deixa de funcionar por causa disto. Rascunho — confirme com o advogado antes de operar com dados reais.
O Contrô abre sozinho um incidente quando vê um padrão de risco (muitos logins errados, login bloqueado, o mesmo login entrando de vários lugares, código de recuperação das duas etapas usado, pedidos de outro site recusados, operador pedindo unidade que não é dele, chave com rotação vencida, facial por endereço de internet). Aqui você acompanha, registra a categoria dos dados, as medidas e a decisão sobre comunicar ou não à ANPD (art. 48 da LGPD — o Contrô não decide por você; só não deixa encerrar um alerta sem essa decisão). Não escreva CPF, telefone, e-mail nem endereço de internet nos textos. Este livro fica só neste computador.
Calendário de dias úteis e prazos (rascunho — confirmar com o advogado)
Incidente
Aqui você anota quando cada chave foi trocada pela última vez e o Contrô avisa quando passa do prazo. Nunca escreva o valor de uma chave (a nota recusa uma chave colada): quem gera a chave nova é você, no seu cofre de senhas; o passo a passo de cada uma está em «PROCEDIMENTO_ROTACAO_DE_CHAVES_27-10.md». Só a «Nova chave» do Gateway é trocada de dentro do Contrô — e ela anota a data sozinha.
Cada computador que sincroniza com a nuvem pode ter uma credencial própria emitida pelo Contrô na internet: ele não recebe a senha do banco nem a chave das fotos, e você pode bloquear ou revogar só aquele computador, sem trocar a chave de todos. Para registrar: gere o código aqui (as duas etapas são pedidas de novo), abra o Contrô no computador, vá em Configurações → Nuvem → «Registrar este computador» e digite o endereço do Contrô na internet, o código e o nome. O código aparece uma só vez, vale por poucos minutos e nunca fica guardado no navegador. Computadores que ainda usam a chave antiga continuam funcionando enquanto você não os registrar.
«Declarado pelo computador» quer dizer que foi o próprio computador que informou o que apagou: serve de registro, não de prova independente.
Código (aparece uma vez):
Segunda aprovação de «Apagar dados deste computador»
O segundo administrador decide aqui, na própria sessão, com o código das duas etapas dele: nenhuma senha de outra pessoa é digitada na tela de quem pediu. A ordem só vai ao Contrô na internet depois da aprovação; pedido negado, cancelado ou vencido nunca vai.
Apagar os dados de «»
A ordem vai para o Contrô na internet e o computador a cumpre sozinho na próxima vez que falar com ela. Ele apaga tudo o que é dele: pessoas, cadastros, histórico de acessos, fotos, avisos, operadores (senha e CPF), configurações, equipamentos (com a senha dos faciais), blocos e unidades, registros de consulta e de segurança e os backups da pasta de backup configurada; depois, e só depois de o Contrô na internet aceitar o recibo, apaga a credencial da nuvem (o token) e a chave dos segredos. O programa volta ao estado de instalação nova (pede para criar o primeiro administrador) e para de sincronizar até ser registrado de novo. Não apaga nada que está no Contrô na internet, nem backups guardados fora da pasta configurada, nem o livro de eliminações. No modo normal o computador antes envia a fila (no máximo 10 minutos; se não esvaziar, não apaga e avisa) e espera o administrador gerar, baixar e confirmar, NO PRÓPRIO COMPUTADOR, dois arquivos cifrados de exportação (um com os livros — incidentes, pedidos do titular e aceites do termo — e outro com as trilhas — consultas e eventos de segurança —, cada um com o seu prazo de guarda; contêm dado pessoal e devem ser guardados fora do computador e do Drive; para abri-los é preciso o usuário e a senha): sem a baixa dos dois confirmada a ordem fica esperando e nada é apagado. No modo emergência apaga assim que falar com o Contrô na internet, sem exportar (o computador registra «exportação não feita»), sem enviar nada e sem tocar nos faciais. O recibo é uma declaração do próprio computador, não uma prova independente; só sai «tudo feito» se nada restou nas categorias acima (conferido por leitura); se algo ficou (por exemplo, os rostos nos faciais) sai «feito em parte» e o computador mostra o que ficou. Computador roubado que nunca se conectar mantém os dados (a proteção real é o BitLocker).
Registre o incidente no Contrô na internet antes de apagar: na emergência este computador apaga sem exportar e perde a trilha e o livro de incidentes. Abrir o Contrô na internet
O código das duas etapas seu (campo acima, «Código das duas etapas») é pedido de novo ao confirmar. Se a segunda aprovação for exigida, o pedido fica aguardando outro administrador (vale alguns minutos) e só então a ordem vai ao Contrô na internet.
Política de conteúdo da interface do facial
A página do próprio facial (aberta pelo botão «Interface») roda dentro do Contrô. Esta política limita o que ela pode carregar e para onde pode falar, para uma página de equipamento comprometida não alcançar o resto do programa.
Em relatório (padrão) nada é bloqueado: o navegador só avisa o que uma política completa bloquearia, e os avisos aparecem abaixo. Passe para bloquear só depois de ver que a interface do facial segue funcionando sem avisos novos.
