assegurar que o controle de acesso de usuários a sistemas seja realizado como uma política corporativa geral, sem o envolvimento de proprietários de dados ou sistemas.

assegurar a identificação de todos os usuários e suas atividades nos sistemas de modo exclusivo, definindo os seus direitos de acesso aos sistemas e dados, em conformidade com as necessidades dos negócios e com os requisitos da função.

definir e comunicar claramente os riscos potenciais de segurança de cada papel de usuário para que possam ser criadas políticas corporativas adequadas de acesso à informação.

definir as tecnologias que serão utilizadas para identificar usuários, em cada um dos sistemas e, separadamente, na infraestrutura, designando onde serão utilizados recursos, como senhas ou identificação biométrica.

identificar os usuários dos sistemas e da infraestrutura das áreas de negócio e TI de modo individual, gerenciando separadamente os que dispõem de acesso privilegiado, como administradores, para garantia da segurança corporativa.

o escopo de uma análise/avaliação de riscos deve ser, obrigatoriamente, toda a organização, pois essa é a única forma de garantir a segurança de forma integral.

o processo de avaliar os riscos de segurança da informação e selecionar os controles deve ser realizado apenas uma vez, preferencialmente antes da implantação de qualquer sistema, de forma antecipada, para que se possam evitar situações inesperadas.

as análises/avaliações de riscos são muito peculiares e específicas, por isso não podem ser realizadas de forma metódica nem são capazes de gerar resultados que podem ser comparados ou reproduzidos.

convém que a análise/avaliação de riscos de segurança da informação tenha um escopo claramente definido para ser eficaz e que inclua relacionamentos com as análises/avaliações de riscos em outras áreas, se necessário.

convém que as análises/avaliações de riscos identifiquem, quantifiquem e priorizem os riscos com base em critérios para a aceitação dos riscos e dos objetivos relevantes não apenas para a organização e sim para toda a comunidade de atuação e seu mercado.

eliminar todos os riscos identificados e prover 100% de segurança.

eliminar alguns riscos identificados e prover entre 60% e 80% de segurança.

eliminar alguns riscos identificados e prover, no máximo, 50% de segurança.

reduzir os riscos identificados a um nível aceitável.

impedir todo e qualquer acesso ao ativo.

documento pelo qual a empresa identifica marcos e métricas importantes para o processo de desenvolvimento das atividades de entrega de um produto, serviço ou resultado.

produto necessário para o cumprimento dos compromissos de entrega entre as gerências internas e externas da empresa.

processo de definir e documentar as funções e funcionalidades do projeto e do produto necessárias para atender às necessidades e expectativas das partes interessadas.

processo de desenvolvimento de uma descrição detalhada do projeto e do produto.

trabalho que precisa ser realizado para entregar um produto, serviço ou resultado com as características especificadas pelos interessados.

tecnológica, organizacional e humana

tecnológica, humana e organizacional

organizacional, tecnológica e humana

organizacional, humana e tecnológica

humana, organizacional e tecnológica

garantem a manutenção do fluxo existente de informações em uma empresa.

facilitam o processo de treinamento, pois utilizam o conhecimento tácito dos funcionários.

reduzem, consideravelmente, os prazos para implantação de sistemas.

representam uma redução significativa dos custos de implantação de sistemas de informação.

otimizam os processos operacionais nas empresas.

aprendizado com os erros das fases iniciais, que pode melhorar a implementação das fases subsequentes.

mudança contínua dos processos de TI, a qual se estende por um período longo de tempo.

complexidade da implementação de cenários de retorno (fallback), caso sejam necessários.

possibilidade de permitir que cada setor da empresa realize o processo de mudança de acordo com sua conveniência.

concentração dos esforços empresariais em um único período de tempo, com uma data de implementação conhecida e igual para todos.

ameaças e as fraquezas são consideradas análises do ambiente externo.

forças e as fraquezas são consideradas análises do ambiente interno.

oportunidades e as forças são consideradas análises do ambiente externo.

oportunidades e as ameaças são consideradas análises do ambiente interno.

oportunidades, as forças, as ameaças e as fraquezas são consideradas análises do ambiente interno.

o cliente não é envolvido nesse processo, que é executado internamente.

o desenho das metas de serviços é um fator chave nesse processo.

a qualidade do portfólio de serviços está desvinculada desse processo.

a satisfação dos clientes é inversamente proporcional ao atingimento dos níveis de serviço.

as reuniões de revisões de serviços devem ser mensais.

teve origem no mercado de petróleo mundial.

foi impulsionada pela crescente manipulação de preços na comercialização de commodities.

gera um aumento de risco para os investidores da empresa.

é uma forma de atrair capital.

está relacionada com a redução de rentabilidade das empresas.