devem ser realizadas antes da elaboração do Documento de Oficialização da Demanda.

fazem parte da análise comparativa de custos e deverão considerar as soluções técnicas e funcionalmente viáveis.

fazem parte do Estudo Técnico Preliminar.

devem constar no Documento de Oficialização da Demanda.

cabem à Equipe de Planejamento da contratação durante a fase de Seleção do Fornecedor.

Estudo Técnico Preliminar, Planejamento da Contratação e Seleção do Fornecedor.

Estudo Técnico Preliminar, Elaboração do Termo de Referência e Seleção do Fornecedor.

Instituição da Equipe de Contratação, Elaboração do Termo de Referência e Seleção do Fornecedor.

Instituição da Equipe de Contratação, Elaboração do Termo de Referência, Seleção do Fornecedor e Nomeação do Gestor e dos Fiscais do Contrato.

Planejamento da Contratação, Seleção do Fornecedor e Gestão do Contrato.

Incidente.

Problema.

Evento.

Mudança.

Continuidade de Serviço.

direta e indiretamente para a “Agilidade da TI”.

diretamente para o “Alinhamento da estratégia de TI e de negócios”.

diretamente para a “Transparência dos custos, benefícios e riscos de TI”.

diretamente para “Gerenciar inovação”.

indiretamente para “Garantir a transparência às partes interessadas”.

definir a direção, monitorar o desempenho e a conformidade com a direção e os objetivos estabelecidos pela alta direção.

atender às necessidades das partes interessadas.

planejar, desenvolver, executar e monitorar as atividades em consonância com a direção definida pelo órgão de governança, a fim de atingir os objetivos corporativos.

definir um conjunto de habilitadores para apoiar a implementação de um sistema abrangente de governança de tecnologia da informação da organização.

criar valor para suas partes interessadas, mantendo o equilíbrio entre a realização de benefícios e a otimização do risco e uso dos recursos.

O controlador e o operador não podem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando com base no legítimo interesse.

O controlador, ou o operador, que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

A identidade e as informações de contato do encarregado não podem ser divulgadas publicamente.

O operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados, independentemente se a culpa for exclusiva do titular do dado.

Entre as atividades do controlador, consta orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas quanto à proteção de dados pessoais.

Os dados serão tratados exclusivamente dentro do órgão, e estritamente para a finalidade de realização de estudos e pesquisas, e mantidos em ambiente controlado e seguro, sendo que, nesse caso, são dispensadas a anonimização ou a pseudonimização dos dados.

A divulgação dos resultados ou de qualquer excerto de estudos ou pesquisas apenas poderá revelar dados pessoais na comunidade científica.

A transferência dos dados a terceiro somente é permitida quando realizada a órgão de natureza científica.

Os dados serão tratados estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, de preferência anonimizados e, nesse caso, permitido compartilhamento com outras instituições de pesquisa, dentro dos preceitos éticos.

Os dados serão tratados exclusivamente dentro do órgão, e estritamente para a finalidade de realização de estudos e pesquisas, e mantidos em ambiente controlado e seguro conforme práticas de segurança que incluam, na medida do possível, a anonimização ou a pseudonimização dos dados e considerem os devidos padrões éticos relacionados a estudos e pesquisas.

comunique um evento de segurança caso uma tentativa potencial ou uma violação bem-sucedida de entrada no sistema (log-on) seja detectada.

registre tentativas de acesso ao sistema somente no caso daquelas sem sucesso.

mantenha as sessões abertas, mesmo que inativas após um período definido de inatividade, para diminuir os procedimentos de entrada no sistema, o que aumentaria a probabilidade de tentativas de intrusão.

forneça mensagens de ajuda durante o procedimento de entrada (log-on).

restrinja as tentativas de conexão, aumentando o tempo de conexão, o que visa fornecer segurança adicional nas aplicações de alto risco e reduzir a janela de oportunidade para acesso não autorizado.

sejam considerados os controles de acesso físico e lógico separadamente.

a segregação do controle de acesso seja tratada à parte.

o controle de acesso à rede sem fio seja sempre distinto do controle de acesso à rede cabeada.

o controle de acesso a sistemas seja tratado de modo isolado, no qual cada sistema tenha a própria forma de controle e que, por ocasião de invasão, seja comprometido apenas um sistema.

a política de controle de acesso seja norteada pelos princípios “necessidade de conhecer” e “necessidade de uso”.

inventário de ativos, proprietário dos ativos e tratamento dos ativos.

inventário de ativos e tratamento dos ativos e das mídias.

responsabilidade pelos ativos, uso aceitável dos ativos e classificação da informação.

responsabilidade pelos ativos, classificação da Informação e gerenciamento das mídias.

responsabilidade pelos ativos, classificação da Informação e tratamento das mídias.

A PSI de uma empresa não pode proibir o acesso remoto utilizando equipamentos particulares.

A organização pode e deve definir quais softwares não podem ser instalados nas máquinas dos usuários.

A PSI pode definir diretrizes de acesso para o acesso remoto utilizando equipamentos particulares diferentes do acesso com equipamentos de propriedade da organização.

A PSI não pode estabelecer critérios de segurança física dos ambientes remotos.

Por questões legais, uma PSI não pode estabelecer regras quanto ao acesso de familiares ao equipamento ou à informação.

Cada controle apresenta uma declaração de escopo e informações adicionais.

As diretrizes de implementação devem ser definidas de forma que atendam por completo o objetivo de controle da organização.

A descrição de um controle é dada pelo escopo e pelo objetivo do controle.

Para se alcançar um objetivo de controle, podem ser aplicados um ou mais controles.

As diretrizes de implementação são definidas pela declaração específica do controle e pelo objetivo do controle.

No tratamento do risco, é possível admitir mais de uma opção de tratamento para um risco.

Para cada risco há uma forma de tratamento, não admitindo que um tratamento sirva a mais de um risco.

Na retenção do risco, convém que ele seja gerenciado pela inclusão, exclusão ou alteração dos controles, para que o risco seja considerado aceitável.

Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, pode-se modificar o risco.

Quando os riscos são considerados elevados e os custos da implementação do tratamento do risco excederem os benefícios, deve-se reter o risco e modificá-lo.

serviços de chat não são suportados em sistemas sip.

depende da instalação do protocolo h.323 para garantir a sinalização.

não há controle para chamadas de vídeo, sendo necessário instalar aplicações terceiras para moderar reuniões.

permite a comunicação através de áudio ou vídeo para qualquer tipo de mídia compatível.

necessitam de mcu (multipoint control unit) para operação.

Recomenda-se sempre utilizar filtros de palavras para evitar conteúdo malicioso.

Filtros de IP garantem que conteúdo malicioso, vindo de determinado endereço, não adentrem o sistema, liberando o tráfego comum desse endereço.

A única forma de acertar todas as regras possíveis de anti-spam é o uso de machine learning.

Existem serviços, servidores ou contas de assinatura conhecida previamente incluídos em todas as aplicações de anti-spam.

Filtros de links identificam URLs maliciosas, evitando o redirecionamento para sites que possam roubar informações ou realizar o download de malware.

Virtualizadores abstraem toda operação entre hospedeiro e convidado, permitindo que esse último seja utilizado sem dependências.

Embora se utilizem de sistemas virtualizados, os serviços oferecidos em Cloud precisam administrar toda a infraestrutura e ter acesso a todos os dados hospedados para garantir resiliência.

Serviços virtualizados somente podem ser utilizados em infraestrutura local, e qualquer outro tipo de serviço externo é considerado serviço em Cloud.

Serviços chamados de PaaS (plataforma como serviço) fornecem apenas rack, conexões elétricas e conexões de rede como plataforma de sustentação.

Toda aplicação instalada em sistemas convidados (virtualizados) precisam contar com libs específicas do seu hypervisor (virtualizador).

Toda conexão de VPN é segura, já que o tráfego pode ser visto de forma aberta pelo provedor, permitindo análise de código malicioso.

O uso de VPN é ilegal, segundo a legislação brasileira, pois mascara o tráfego do serviço.

Existem diversos protocolos de VPN como OpenVPN, IPSec/L2TP, PPTP e IKEv2/IPsec.

O uso de VPN em redes wi-fi pública expõe os dados trafegados junto ao provedor de VPN.

Pacotes trafegados via VPN têm alteração de conteúdo, mudando também a veracidade das informações trafegadas.