definir a direção, monitorar o desempenho e a conformidade com a direção e os objetivos estabelecidos pela alta direção.

atender às necessidades das partes interessadas.

planejar, desenvolver, executar e monitorar as atividades em consonância com a direção definida pelo órgão de governança, a fim de atingir os objetivos corporativos.

definir um conjunto de habilitadores para apoiar a implementação de um sistema abrangente de governança de tecnologia da informação da organização.

criar valor para suas partes interessadas, mantendo o equilíbrio entre a realização de benefícios e a otimização do risco e uso dos recursos.

O controlador e o operador não podem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando com base no legítimo interesse.

O controlador, ou o operador, que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

A identidade e as informações de contato do encarregado não podem ser divulgadas publicamente.

O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados, independentemente se a culpa for exclusiva do titular do dado.

Entre as atividades do controlador, consta orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas quanto à proteção de dados pessoais.

Os dados serão tratados exclusivamente dentro do órgão, e estritamente para a finalidade de realização de estudos e pesquisas, e mantidos em ambiente controlado e seguro, sendo que, nesse caso, são dispensadas a anonimização ou a pseudonimização dos dados.

A divulgação dos resultados ou de qualquer excerto de estudos ou pesquisas apenas poderá revelar dados pessoais na comunidade científica.

A transferência dos dados a terceiro somente é permitida quando realizada a órgão de natureza científica.

Os dados serão tratados estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, de preferência anonimizados e, nesse caso, permitido compartilhamento com outras instituições de pesquisa, dentro dos preceitos éticos.

Os dados serão tratados exclusivamente dentro do órgão, e estritamente para a finalidade de realização de estudos e pesquisas, e mantidos em ambiente controlado e seguro conforme práticas de segurança que incluam, na medida do possível, a anonimização ou a pseudonimização dos dados e considerem os devidos padrões éticos relacionados a estudos e pesquisas.

comunique um evento de segurança caso uma tentativa potencial ou uma violação bem-sucedida de entrada no sistema (log-on) seja detectada.

registre tentativas de acesso ao sistema somente no caso daquelas sem sucesso.

mantenha as sessões abertas, mesmo que inativas após um período definido de inatividade, para diminuir os procedimentos de entrada no sistema, o que aumentaria a probabilidade de tentativas de intrusão.

forneça mensagens de ajuda durante o procedimento de entrada (log-on).

restrinja as tentativas de conexão, aumentando o tempo de conexão, o que visa fornecer segurança adicional nas aplicações de alto risco e reduzir a janela de oportunidade para acesso não autorizado.

sejam considerados os controles de acesso físico e lógico separadamente.

a segregação do controle de acesso seja tratada à parte.

o controle de acesso à rede sem fio seja sempre distinto do controle de acesso à rede cabeada.

o controle de acesso a sistemas seja tratado de modo isolado, no qual cada sistema tenha a própria forma de controle e que, por ocasião de invasão, seja comprometido apenas um sistema.

a política de controle de acesso seja norteada pelos princípios “necessidade de conhecer” e “necessidade de uso”.

inventário de ativos, proprietário dos ativos e tratamento dos ativos.

inventário de ativos e tratamento dos ativos e das mídias.

responsabilidade pelos ativos, uso aceitável dos ativos e classificação da informação.

responsabilidade pelos ativos, classificação da Informação e gerenciamento das mídias.

responsabilidade pelos ativos, classificação da Informação e tratamento das mídias.

A PSI de uma empresa não pode proibir o acesso remoto utilizando equipamentos particulares.

A organização pode e deve definir quais softwares não podem ser instalados nas máquinas dos usuários.

A PSI pode definir diretrizes de acesso para o acesso remoto utilizando equipamentos particulares diferentes do acesso com equipamentos de propriedade da organização.

A PSI não pode estabelecer critérios de segurança física dos ambientes remotos.

Por questões legais, uma PSI não pode estabelecer regras quanto ao acesso de familiares ao equipamento ou à informação.

Cada controle apresenta uma declaração de escopo e informações adicionais.

As diretrizes de implementação devem ser definidas de forma que atendam por completo o objetivo de controle da organização.

A descrição de um controle é dada pelo escopo e pelo objetivo do controle.

Para se alcançar um objetivo de controle, podem ser aplicados um ou mais controles.

As diretrizes de implementação são definidas pela declaração específica do controle e pelo objetivo do controle.

No tratamento do risco, é possível admitir mais de uma opção de tratamento para um risco.

Para cada risco há uma forma de tratamento, não admitindo que um tratamento sirva a mais de um risco.

Na retenção do risco, convém que ele seja gerenciado pela inclusão, exclusão ou alteração dos controles, para que o risco seja considerado aceitável.

Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, pode-se modificar o risco.

Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, deve-se reter o risco e modificá-lo.

serviços de chat não são suportados em sistemas sip.

depende da instalação do protocolo h.323 para garantir a sinalização.

não há controle para chamadas de vídeo, sendo necessário instalar aplicações terceiras para moderar reuniões.

permite a comunicação através de áudio ou vídeo para qualquer tipo de mídia compatível.

necessitam de mcu (multipoint control unit) para operação.

Recomenda-se sempre utilizar filtros de palavras para evitar conteúdo malicioso.

Filtros de IP garantem que conteúdo malicioso, vindo de determinado endereço, não adentrem o sistema, liberando o tráfego comum desse endereço.

A única forma de acertar todas as regras possíveis de anti-spam é o uso de machine learning.

Existem serviços, servidores ou contas de assinatura conhecida previamente incluídos em todas as aplicações de anti-spam.

Filtros de links identificam URLs maliciosas, evitando o redirecionamento para sites que possam roubar informações ou realizar o download de malware.

Virtualizadores abstraem toda operação entre hospedeiro e convidado, permitindo que esse último seja utilizado sem dependências.

Embora se utilizem de sistemas virtualizados, os serviços oferecidos em Cloud precisam administrar toda a infraestrutura e ter acesso a todos os dados hospedados para garantir resiliência.

Serviços virtualizados somente podem ser utilizados em infraestrutura local, e qualquer outro tipo de serviço externo é considerado serviço em Cloud.

Serviços chamados de PaaS (plataforma como serviço) fornecem apenas rack, conexões elétricas e conexões de rede como plataforma de sustentação.

Toda aplicação instalada em sistemas convidados (virtualizados) precisam contar com libs específicas do seu hypervisor (virtualizador).

Toda conexão de VPN é segura, já que o tráfego pode ser visto de forma aberta pelo provedor, permitindo análise de código malicioso.

O uso de VPN é ilegal, segundo a legislação brasileira, pois mascara o tráfego do serviço.

Existem diversos protocolos de VPN como OpenVPN, IPSec/L2TP, PPTP e IKEv2/IPsec.

O uso de VPN em redes wi-fi pública expõe os dados trafegados junto ao provedor de VPN.

Pacotes trafegados via VPN têm alteração de conteúdo, mudando também a veracidade das informações trafegadas.

todos os provedores dependem da utilização de Vmware, uma vez que todos os seus serviços são prestados de forma virtualizada.

permitem prestação de serviço de computação sem servidor (serverless), em uma arquitetura orientada a eventos.

seu modelo de autenticação utiliza software open-source, facilitando a integração com sistemas on premise.

dados armazenados em Cloud passam a ser de domínio do provedor, logo, é uma boa prática hospedar somente as aplicações em Cloud e as bases de dados on premise.

backups de serviços somente podem ser realizados em estruturas IaaS.

Routing IP Persistent (RIP).

Port Address Translation (PAT).

Network IP Interchange (NII).

Process IP Destination (PID).

Network Address Translation (NAT).

um deadlock, em que dois ou mais processos são impedidos de serem executados.

uma cadeia de processos evitando consumo excessivo de processador.

um indicativo de necessidade de ampliação de CPU.

um processo fundamentado em CPUs virtualizadas.

um processo com alto consumo de cache, podendo ser necessário aumentá-lo a qualquer momento.

Verificar se a URL é registrada em domínio público.

Verificar se as assinaturas foram verificadas com sucesso ao longo da cadeia de certificação.

Analisar se o site utiliza somente certificados autoassinados.

Verificar se o certificado possui validade máxima de cinco anos.

Garantir que o site utiliza certificados gerados via Let's Encrypt.

criar uma nova conta, em outro Active Directory, que faça parte da mesma floresta para utilizar como conta de instalação.

fazer login usando uma conta que tenha direitos de operador de servidor.

reinstalar o Windows Server 2008 e selecionar as permissões de instalação de aplicações não nativas.

fazer login usando uma conta que tenha direitos de administrador corporativo e os direitos apropriados para instalação.

alterar o nível funcional da floresta para Windows Server 2008 R2.

controles de entradas de dados em serviços de e-mail por meio de phishing ou spam.

bloqueio de aplicações diretamente no EDR.

aplicação de regras de acordo com o conteúdo trafegado.

autorização de pacotes autenticados no Active Directory.

reconhecimento das assinaturas de malware a partir do certificado digital.

Multimidia Control Unit (MCU), Gatekeeper, Gateway e Terminal.

Multipoint Control Unit (MCU), Proxy, Gateway e Ponto de Acesso.

Media Center Unified (MCU), Proxy, Gateway e Terminal.

Multipoint Control Unit (MCU), Gatekeeper, Gateway e Terminal.

Multipoint Control Unit (MCU), Proxy, Gateway e Softphone.