A prática para proteção de dados pessoais

Deve-se conhecer os objetivos de controle, controles e diretrizes para implementar controles, para atender aos requisitos identificados por uma avaliação de risco e impacto relacionada à proteção de dados pessoais (DP). Em particular, especifica diretrizes baseadas na NBR ISO/IEC 27002, considerando os requisitos para o tratamento de DP que podem ser aplicáveis no contexto do (s) ambiente (s) de risco de segurança da informação de uma organização.

A NBR ISO/IEC 29151 de 11/2020 – Tecnologia da informação – Técnicas de segurança – Código de prática para proteção de dados pessoais estabelece objetivos de controle, controles e diretrizes para implementar controles, para atender aos requisitos identificados por uma avaliação de risco e impacto relacionada à proteção de dados pessoais (DP). Em particular, especifica diretrizes baseadas na NBR ISO/IEC 27002, considerando os requisitos para o tratamento de DP que podem ser aplicáveis no contexto do (s) ambiente (s) de risco de segurança da informação de uma organização. Aplica-se a todos os tipos e tamanhos de organizações que atuam como controladores de DP (conforme estabelecido na NBR ISO/IEC 29100), incluindo empresas públicas e privadas, entidades governamentais e organizações sem fins lucrativos que tratam DP.

O número de organizações tratando dados pessoais (DP) está crescendo, assim como o volume de DP com que essas organizações lidam. Ao mesmo tempo, as expectativas da sociedade em relação à proteção de DP e à segurança de dados relacionados a indivíduos também estão aumentando. Vários países estão incrementando suas leis para lidar com o aumento do número de significativas violações de dados.

Confira algumas perguntas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Qual é a consideração do ciclo de vida do DP?

Quais devem ser as políticas para segurança da informação em DP?

Quais são as diretrizes de implementação para a proteção de DP?

Qual deve ser a política para uso de dispositivo móvel?

O que se deve fazer em relação à conscientização, educação e treinamento em segurança da informação?

À medida que o número de violações de DP aumenta, as organizações que coletam ou tratam DP precisarão cada vez mais de orientações sobre como convém protegê-los, a fim de reduzir o risco de ocorrência de violações de privacidade e o impacto de violações na organização e às pessoas envolvidas. Este documento fornece essas orientações.

Este documento oferece orientações aos controladores de DP em uma ampla variedade de controles de segurança da informação e de proteção de DP que são comumente aplicados em diferentes organizações que lidam com a proteção de DP. As demais partes da família de normas ISO/IEC fornecem orientações ou requisitos sobre outros aspectos do processo geral de proteção de DP. A NBR ISO/IEC 27001 especifica um processo de gestão de segurança da informação e os requisitos associados, os quais podem ser usados como base para a proteção de DP. A NBR ISO/IEC 27002 fornece diretrizes para os padrões organizacionais de segurança da informação e práticas de gestão da segurança da informação, incluindo a seleção, implementação e gestão de controles, considerando o (s) ambiente (s) de risco (s) de segurança da informação da organização.

A ISO/IEC 27009 especifica os requisitos para o uso da NBR ISO/IEC 27001 em qualquer setor específico (campo, área de aplicação ou setor de mercado). Explica como incluir os requisitos adicionais aos da NBR ISO/IEC 27001, como refinar qualquer um dos requisitos da NBR ISO/IEC 27001 e como incluir controles ou conjuntos de controles além do Anexo A da NBR ISO/IEC 27001. A NBR ISO/IEC 27018 oferece orientações para organizações que atuam como operadores de DP ao oferecer recursos de tratamento por meio de serviços em nuvem.

A NBR ISO/IEC 29134 fornece diretrizes para identificar, analisar e avaliar riscos de privacidade, enquanto a NBR ISO/IEC 27001, juntamente com a NBR ISO/IEC 27005, fornece uma metodologia para identificar, analisar e avaliar riscos de segurança. Dessa forma, os controles devem ser escolhidos com base nos riscos identificados como resultado de uma análise de risco para desenvolver um sistema abrangente e consistente de controles. Convém que os controles sejam adaptados ao contexto do tratamento específico de DP.

Este documento contém duas partes: o corpo principal que consiste nas seções 1 a 18 e um anexo normativo. Esta estrutura reflete a prática normal para o desenvolvimento de extensões setoriais da NBR ISO/IEC 27002. A estrutura do corpo principal deste documento, incluindo os títulos das seções, reflete o corpo principal da NBR ISO/IEC 27002. A introdução e as seções 1 a 4 fornecem informações sobre o uso deste documento.

Os títulos das seções 5 a 18 refletem os da NBR ISO/IEC 27002, refletindo o fato de que este documento se baseia nas diretrizes da NBR ISO/IEC 27002, adicionando novos controles específicos para a proteção de DP. Muitos dos controles da NBR ISO/IEC 27002 não precisam de extensão no contexto dos controladores de DP. No entanto, em alguns casos, são necessárias diretrizes adicionais de implementação, que são fornecidas no cabeçalho apropriado (e no número da seção) da NBR ISO/IEC 27002.

O anexo normativo contém um conjunto estendido de controles específicos de proteção de DP que suplementam os dados na NBR ISO/IEC 27002. Esses novos controles de proteção de DP, com suas diretrizes associadas, são divididos em 12 categorias, correspondentes à política de privacidade e aos 11 princípios de privacidade da NBR ISO/IEC 29100: consentimento e escolha; especificação e legitimidade de objetivo; limitação de coleta; minimização de dados; limitação de uso, retenção e divulgação; precisão e qualidade; abertura, transparência e notificação; acesso e participação individual; responsabilização; segurança da informação; e compliance com a privacidade. A figura abaixo descreve o relacionamento entre este documento e a família de normas ISO/IEC.

Este documento inclui diretrizes baseadas na NBR ISO/IEC 27002 e as adapta conforme necessário para atender aos requisitos de proteção à privacidade que surgem do tratamento de DP. Em domínios diferentes de tratamento, como: serviços públicos de nuvem; aplicativos de redes sociais; dispositivos conectados à internet de uso doméstico; pesquisa, análise; segmentação de DP para publicidade e propósitos semelhantes; programas de big data analytics; tratamento nas relações trabalhistas; gestão de negócios em vendas e serviços (planejamento de recursos empresariais, gestão de relacionamento com clientes).

Em diferentes locais, como em uma plataforma de processamento pessoal fornecida a um indivíduo (por exemplo, cartões inteligentes, smartphones e seus aplicativos, medidores inteligentes, dispositivos wearables); nas redes de transporte e coleta de dados (por exemplo, onde os dados de localização do celular são criados operacionalmente pelo processamento da rede, que podem ser considerados DP em algumas jurisdições); dentro da própria infraestrutura de tratamento de uma organização; na plataforma de tratamento de terceiros. Para as características de coleta, como coleta única de dados (por exemplo, ao se registrar em um serviço); coleta de dados contínua (por exemplo, monitoramento frequente de parâmetros de saúde por sensores no corpo ou no indivíduo, várias coletas de dados usando cartões de pagamento sem contato para pagamento, sistemas de coleta de dados de medidores inteligentes, etc.).

A coleta de dados contínua pode conter ou produzir tipos de DP comportamentais, locais e outros. Nesses casos, o uso de controles de proteção de DP que permitam gerenciar o acesso e a coleta com base no consentimento e que permitem que o titular de DP exerça controle apropriado sobre esse acesso e coleta, precisa ser considerado. Este documento fornece um conjunto de controles para proteção de DP.

O objetivo da proteção de DP é permitir que as organizações implementem um conjunto de controles como parte de seu programa geral de proteção de DP. Estes controles podem ser usados em uma estrutura para manter e melhorar o compliance com leis e regulamentos relacionados à privacidade, gestão de riscos de privacidade e para atender às expectativas de titulares de DP, reguladores ou clientes de DP, de acordo com os princípios de privacidade descritos na NBR ISO/IEC 29100.

A organização precisa identificar os seus requisitos de proteção de DP. Os princípios de privacidade da NBR ISO/IEC 29100 se aplicam à identificação de requisitos. Existem três fontes principais de requisitos de proteção de DP: requisitos legais, estatutários, regulamentares e contratuais relacionados à proteção de DP, incluindo, por exemplo, requisitos de DP que uma organização, seus parceiros comerciais, contratados e prestadores de serviços precisam cumprir; avaliação de riscos (ou seja, riscos de segurança e riscos de privacidade) para a organização e o titular de DP, considerando a estratégia e os objetivos gerais de negócios da organização, por meio de uma avaliação de riscos; políticas corporativas: uma organização também pode optar voluntariamente por ir além dos critérios derivados de requisitos anteriores.

Também convém que as organizações considerem os princípios (ou seja, princípios de privacidade estabelecidos na NBR ISO/IEC 29100), objetivos e requisitos de negócios para o tratamento de DP que foram desenvolvidos para apoiar suas operações. Convém que os controles de proteção de DP (incluindo controles de segurança) sejam selecionados com base em uma avaliação de risco. Os resultados de uma avaliação de impacto de privacidade (privacy impact assessments – PIA), por exemplo, conforme especificado na NBR ISO/IEC 29134, ajudam a orientar e determinar as ações e prioridades de tratamento apropriadas para gerenciar riscos à proteção de DP e para implementar controles selecionados para proteção contra estes riscos.

Um documento de PIA, como a NBR ISO/IEC 29134, pode fornecer orientações para a PIA, incluindo recomendações sobre avaliação de riscos, plano de tratamento de riscos, aceitação de risco e análise crítica de risco. Uma avaliação de risco de privacidade pode ajudar as organizações a identificarem os riscos específicos de violações de privacidade resultantes de atividades de tratamento não autorizadas por lei ou de desconsideração de direitos do titular de DP envolvido em uma operação prevista.

Convém que as organizações identifiquem e implementem controles para tratar os riscos identificados pelo processo de impacto de risco. Convém que os controles e tratamentos então sejam documentados, idealmente separadamente em um registro de riscos. Certos tipos de tratamento de DP podem assegurar controles específicos para os quais a necessidade só se torna aparente uma vez que uma operação prevista tenha sido cuidadosamente analisada.

Os controles podem ser selecionados a partir deste documento (que inclui por referência os controles da NBR ISO/IEC 27002, criando um conjunto de controles de referência combinados). Se necessário, os controles também podem ser selecionados de outros conjuntos de controles ou novos controles podem ser projetados para atender a necessidades específicas, conforme apropriado. A seleção dos controles depende de decisões organizacionais com base nos critérios para opções de tratamento de riscos e na abordagem geral de gestão de riscos aplicada à organização e, por meio de acordos contratuais, a seus clientes e fornecedores, e convém que também esteja sujeita a todas às legislações e aos regulamentos nacionais e internacionais aplicáveis.

A seleção e a implementação de controles também dependem da função da organização no fornecimento de infraestrutura ou serviços. Muitas organizações diferentes podem estar envolvidas no fornecimento de infraestrutura ou serviços. Em algumas circunstâncias, os controles selecionados podem ser exclusivos para uma organização específica. Em outros casos, pode haver funções compartilhadas na implementação de controles.

Convém que os acordos contratuais especifiquem claramente as responsabilidades de proteção de DP de todas as organizações envolvidas no fornecimento ou uso dos serviços. Os controles neste documento podem ser usados como referência para organizações que tratam DP e destinam-se a ser aplicáveis a todas as organizações que atuam como controladores de DP. Convém que as organizações que atuam como operadores de DP o façam, de acordo com as instruções do controlador de DP.

Os requisitos dos cabos ópticos de terminação

Entenda os requisitos para a fabricação dos cabos ópticos de terminação que são indicados para instalações internas e externas, interligando os cabos ópticos externos da última emenda às instalações internas comerciais, industriais e residenciais.

A NBR 14772 de 07/2020 – Cabo óptico de terminação — Especificação especifica os requisitos para a fabricação dos cabos ópticos de terminação. Estes cabos são indicados para instalações internas e externas, interligando os cabos ópticos externos da última emenda às instalações internas comerciais, industriais e residenciais. Estes cabos não se aplicam às instalações externas aéreas.

Acesse algumas dúvidas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Como deve ser o núcleo constituído por unidades básicas de elementos ópticos?

Qual o código de cores das unidades básicas dos elementos ópticos e dos cordões ópticos?

Quais são as cores das fibras ópticas?

O que deve ser aplicado como revestimento externo?

Um cabo óptico de terminação é o conjunto constituído por unidades básicas de cordões ópticos, elementos ópticos ou fibras ópticas, elemento de tração dielétrico, eventuais enchimentos, núcleo seco resistente a penetração de umidade e protegidos por uma capa externa de material termoplástico retardante à chama. Um elemento óptico é um conjunto constituído por uma fibra óptica com revestimento primário em acrilato e com revestimento secundário de material termoplástico.

Uma unidade básica é o menor conjunto de fibras ópticas agrupadas, identificado inequivocamente, que pode ser delimitado por uma amarração, micromódulo ou tubo loose. prontos satisfaçam os requisitos especificados nesta norma. Os cabos ópticos de terminação são designados pelo seguinte código: CFOT – X – Y – Z – W, onde CFOT é o cabo óptico de terminação; X é o tipo de fibra óptica, conforme a tabela abaixo; Y é a formação do núcleo, conforme a tabela abaixo; Z é o número de fibras ópticas, conforme a tabela abaixo; W é o grau de proteção do cabo quanto ao comportamento frente à chama, conforme a tabela abaixo.

Os materiais constituintes dos cabos ópticos de terminação devem ser dielétricos. Os materiais utilizados na fabricação do cabo devem ser compatíveis entre si. Os materiais utilizados na fabricação dos cabos com função estrutural devem ter suas características contínuas ao longo de todo o comprimento do cabo.

As fibras ópticas tipo multimodo índice gradual, utilizadas na fabricação dos cabos, devem estar conforme a NBR 13487. As fibras ópticas tipo monomodo com dispersão normal, utilizadas na fabricação dos cabos, devem estar conforme a NBR 13488. As fibras ópticas tipo monomodo com dispersão deslocada e não nula, utilizadas na fabricação dos cabos, devem estar conforme a NBR 14604. As fibras ópticas tipo monomodo com baixa sensibilidade a curvatura, utilizadas na fabricação dos cabos, devem estar conforme a NBR 16028.

Não são permitidas emendas nas fibras ópticas durante o processo de fabricação do cabo. O núcleo deve ser constituído por unidades básicas de fibras ópticas, cordões ópticos ou elementos ópticos. Os cabos ópticos de terminação devem ser fabricados com unidades básicas de 2, 4, 6, 8, 12, 16, 24, 36 ou 48 fibras ópticas.

O núcleo deve ser constituído por unidades básicas. As unidades básicas devem ser dispostas em elementos de proteção adequados, de modo a atender aos requisitos especificados nesta norma. Os elementos de proteção podem ser constituídos por tubos de material polimérico encordoados em uma ou mais coroas, ou de forma longitudinal. Os elementos de proteção encordoados devem ser reunidos com passo e sentido escolhidos pelo fabricante, de modo a satisfazer as características previstas nesta norma.

No caso de cabos ópticos constituídos por elementos de proteção encordoados dispostos em mais de uma coroa, opcionalmente estas coroas podem ser separadas por fitas, a fim de facilitar a sua identificação. É recomendado que cabos ópticos compostos por elementos de proteção de até 12 fibras ópticas sejam constituídos por unidades básicas, onde cada unidade pode conter duas ou seis fibras ópticas. Para os cabos ópticos de 18 a 36 fibras ópticas constituídos por unidades básicas, é recomendado que cada unidade contenha seis ou 12 fibras ópticas.

Para os cabos ópticos de 48 a 288 fibras ópticas constituídos por unidades básicas, é recomendado que cada unidade contenha 12 ou 24 fibras ópticas. Para os cabos ópticos superiores a 288 fibras ópticas constituídos por unidades básicas, é recomendado que cada unidade contenha 24, 36 ou 48 fibras ópticas. O núcleo constituído por fibras ópticas dispostas em tubo único (central loose tube) deve conter um único tubo central de material polimérico contendo uma ou mais unidades básicas. Os cabos ópticos de até 48 fibras ópticas devem ser constituídos de fibras ópticas reunidas. Os cabos ópticos acima de 48 até 72 fibras ópticas devem ser constituídos por unidades básicas.

Para o núcleo constituído por unidades básicas de cordões ópticos monofibra, o cordão óptico deve ser conforme a NBR 14106. A unidade básica de cordões ópticos deve ser constituída por até 12 cordões agrupados e identificada. Os cabos de até 12 fibras ópticas devem ser constituídos por cordões ópticos reunidos. Para cabos de 18 a 36 fibras ópticas, é recomendado que cada unidade básica contenha seis cordões ópticos. Para cabos ópticos de 48 a 72 fibras, é recomendado que cada unidade básica contenha 12 cordões ópticos.

A marcação métrica sequencial deve ser feita em intervalos de 1 m ao longo do revestimento externo do cabo óptico de terminação. A marcação deve ser feita com algarismos de altura, forma, espaçamento e método de gravação ou impressão tais que se obtenha legibilidade perfeita e permanente. Não são permitidas marcações ilegíveis adjacentes. Na medida da marcação do comprimento ao longo do eixo do cabo, é tolerada uma variação para menos de até 0,5%, não havendo restrição de tolerância para mais.

A marcação inicial deve ser feita em contraste com a cor da capa do cabo, sendo preferencialmente azul ou preta para os cabos de cores claras e branca para os cabos de cores escuras ou em relevo. Se a marcação não satisfizer os requisitos anteriores, é permitida a remarcação na cor amarela. A remarcação deve ser feita de forma a não se sobrepor à marcação inicial defeituosa. Não é permitida qualquer outra remarcação além da citada. Cada lance de cabo deve ser fornecido acondicionado em um carretel de madeira com diâmetro mínimo do tambor de 22 vezes o diâmetro externo do cabo. A largura total do carretel não pode exceder 1,5 m e a altura total não pode ser superior a 2,1 m.

Os carretéis devem conter um número de voltas tal que entre a camada superior e as bordas dos discos laterais exista um espaço livre mínimo de 6 cm. Os carretéis utilizados devem estar conforme a NBR 11137. As extremidades do cabo devem ser solidamente presas à estrutura do carretel, de modo a não permitir que o cabo se solte ou se desenrole durante o transporte. A extremidade interna do cabo na bobina deve estar protegida para evitar danos durante o transporte, ser acessível para ensaios, possuir um comprimento livre de no mínimo 2 m e ser acomodada com diâmetro de no mínimo 22 vezes o diâmetro externo do cabo.

Após efetuados todos os ensaios requeridos para o cabo, as extremidades do lance devem ser fechadas, a fim de prevenir a entrada de umidade. Cada lance do cabo óptico de terminação deve ter um comprimento nominal de 2 000 m, podendo, a pedido do comprador, ser fornecido em comprimento específico. A tolerância de cada lance deve ser de + 3%, não sendo admitidos comprimentos inferiores ao especificado.

Devem ser identificadas em cada bobina, com caracteres perfeitamente legíveis e indeléveis, as seguintes informações: nome do comprador; nome do fabricante; número da bobina; designação do cabo; comprimento real do cabo na bobina, expresso em metros (m); massa bruta e massa líquida, expressas em quilogramas (kg); uma seta ou marcação apropriada para indicar o sentido em que o cabo deve ser desenrolado; identificação de remarcação, quando aplicável. O transporte, armazenamento e utilização das bobinas dos cabos ópticos de terminação devem ser feitos conforme a NBR 7310.

IEC 60749-30: os dispositivos de montagem em superfície não hermética

Essa norma, publicada pela International Electrotechnical Commission (IEC) em 2020, estabelece um procedimento padrão para determinar o pré-condicionamento de dispositivos de montagem em superfície não herméticos (surface mount devices – SMD) antes do ensaio de confiabilidade. O método de ensaio define o fluxo de pré-condicionamento para os SMD de estado sólido não herméticos representativos de uma operação típica de refluxo de solda múltipla da indústria.

A IEC 60749-30:2020 – Semiconductor devices – Mechanical and climatic test methods – Part 30: Preconditioning of non-hermetic surface mount devices prior to reliability testing estabelece um procedimento padrão para determinar o pré-condicionamento de dispositivos de montagem em superfície não herméticos (surface mount devices – SMD) antes do ensaio de confiabilidade. O método de ensaio define o fluxo de pré-condicionamento para os SMD de estado sólido não herméticos representativos de uma operação típica de refluxo de solda múltipla da indústria.

Esses SMD são submetidos à sequência de pré-condicionamento apropriada descrita neste documento antes de serem submetidos a testes de confiabilidade internos específicos (qualificação e/ou monitoramento de confiabilidade) para avaliar a confiabilidade de longo prazo (impactada pela tensão de soldagem). Esta edição inclui as seguintes alterações técnicas significativas em relação à edição anterior: inclusão de uma nova Cláusula 3; expansão de 6,7 no refluxo da solda; e inclusão de notas explicativas e esclarecimentos.

Conteúdo da norma

PREFÁCIO……………………. 3

1 Escopo……………………… 5

2 Referências normativas……….. ….. 5

3 Termos e definições…………… …… 6

4 Descrição geral………………… …….. 6

5 Aparelho e materiais de ensaio……………. 6

5.1 Geral………………… …………….. 6

5.2 Câmara de umidade…………………….. 7

5.3 Equipamento de solda………………… … 7

5.4 Microscópio óptico…………………………… 7

5.5 Equipamento de ensaio elétrico………………… 7

5.6 Forno de secagem……………………….. …. 7

5.7 Câmara de ciclo de temperatura (opcional)………………. 7

6 Procedimento…. …………………. 7

6.1 Geral………………….. …………….. 7

6.2 Medições iniciais……………………… 8

6.2.1 Ensaio elétrico………………………. …. 8

6.2.2 Inspeção visual………………………… 8

6.3 Ciclo de temperatura (opcional)………………… 8

6.4 Secagem…………………………………….. …… 8

6.5 Condições de imersão para os SMD embalados a seco………………….. 8

6.5.1 Geral…………………… ……….. 8

6.5.2 Método A para SMD embalados a seco de acordo com a IEC 60749-20………….. 8

6.5.3 Método B para SMD embalados a seco de acordo com a IEC 60749-20…………….. 8

6.6 Condições de imersão para SMD não embalados a seco de acordo com a IEC 60749-20

6.7 Refluxo de solda…………………… ………. 9

6.7.1 Procedimento de refluxo de solda……………….. 9

6.7.2 Acessório de solda após refluxo………………….. 9

6.8 Simulação de aplicação de fluxo (opcional)………………. 10

6.8.1 Aplicativo de fluxo………………………………… 10

6.8.2 Limpeza e secagem após aplicação de fluxo…………. 10

6.9 Medidas finais……………………………….. 10

6.9.1 Ensaio elétrico………………………. 10

6.9.2 Inspeção visual………………………. 10

6.10 Ensaios de confiabilidade aplicáveis……………… 10

7 Sumário………………… ………………… 10

Tabela 1 – Fluxo da sequência de pré-condicionamento – Método A (condição A2) de acordo com a IEC 60749-20 (dispositivos embalados a seco) ……………………………. 11

Tabela 2 – Fluxo de sequência de pré-condicionamento – Método B (condições B2 a B6) de acordo com a IEC 60749-20 (dispositivos embalados a seco) ………… …………………. 11

Tabela 3 – Fluxo da sequência de pré-condicionamento – Condições A1 e B1 de acordo com a IEC 60749-20 (dispositivos não embalados a seco) ………………………………… 12

A correlação das condições de sensibilidade ao estresse, induzido pela umidade (moisture sensitivity levels – MSL)) de acordo com a IEC 60749-20 e este documento e as condições reais de refluxo usadas, dependem da medição de temperatura idêntica pelo fabricante do semicondutor e pelo montador da placa. Portanto, a temperatura na parte superior da embalagem do SMD, mais quente e sensível à umidade durante a montagem, deve ser monitorada para garantir que não exceda a temperatura na qual os componentes são avaliados. Para a finalidade deste documento, é restrito incluir apenas os SMD encapsulados em plástico e outras embalagens feitas com materiais permeáveis à umidade.

 

A identificação inequívoca dos instrumentos financeiros

A NBR 16885 de 06/2020 – Identificador global de instrumento financeiro (FIGI) – Diretrizes fornece as diretrizes para a identificação inequívoca de instrumentos financeiros em três diferentes níveis, local/sistema de registro/negociação (nível câmara), mercado onde o instrumento financeiro é emitido/negociado (nível país) e nível global. Estas diretrizes englobam a sintaxe para a composição de um identificador global de instrumentos financeiros, o conteúdo associado a um identificador, bem como a sua relação com instrumentos financeiros e com outros identificadores de instrumentos financeiros.

Acesse algumas dúvidas relacionadas a essas normas GRATUITAMENTE no Target Genius Respostas Diretas:

O que é um identificador global composto?

Qual é o fluxo do processo de alocação de prefixos de identificador?

Como é a conformidade como provedora de identificadores?

Para que fazer a solicitação de serviço de um novo identificador?

O desenvolvimento de um identificador global de instrumento financeiro originou-se do reconhecimento de que a teoria do caos não contempla a complexidade gerada todos os dias pelos bilhões – talvez trilhões – de transações com instrumentos financeiros que realizam câmaras de compensação e bolsas de valores em todo o mundo. Quase todos os aspectos do gerenciamento de instrumentos financeiros são baseados em sistemas fechados que usam identificadores proprietários que são de propriedade restrita e utilização licenciada.

Fechar cada acordo é tanto um exercício de tradução de informações quanto de processamento de transações, já que os traders, investidores e corretores lutam com vários formatos proprietários para determinar o que é, quem é o dono, quanto vale determinado instrumento financeiro e quando uma negociação precisa ser fechada. Ele introduz uma enorme quantidade de atrito no ciclo de vida do negócio e cria opacidade onde a clareza é procurada. Além disso, o uso de identificadores proprietários acrescenta custos e despesas gerais significativos quando os usuários desejam integrar dados de fontes diferentes ou migrar para um sistema de dados de outro mercado.

A evolução das simbologias avançadas ajudou a indústria de valores mobiliários a crescer, mas as limitações e os custos impostos pelos sistemas fechados tornaram-se mais evidentes à medida que as empresas e instituições continuam a integrar as operações em uma escala global. A simbologia proprietária agora se coloca como uma das barreiras mais significativas para aumentar a eficiência e a inovação em um setor que realmente necessita dela.

Além disso, a falta de identificadores comuns é um obstáculo fundamental para alcançar o estado da arte do processamento direto (STP). Alguns pontos merecem ser destacados. As taxas de licenciamento exigem que as empresas paguem por cada sistema de símbolos que usam. As organizações internacionais arcam com um ônus especialmente pesado, porque muitas vezes precisam licenciar diversas simbologias para administrar operações comerciais em vários países.

As restrições impostas por simbologias proprietárias impedem as empresas de mapear facilmente um conjunto de códigos para outro. Isso dificulta a integração de dados de mercado de diversas fontes, bem como esforços para automatizar as atividades comerciais e de liquidação. Os consumidores de dados de mercado que adotam símbolos proprietários para uso em seus próprios sistemas não precisam pagar apenas as taxas de licenciamento, mas esses símbolos também levam a custos futuros significativos, associados aos esforços para se conectar aos sistemas comerciais emergentes.

Os ambientes de negociação proprietários podem ter funcionado bem durante anos, mas são um subproduto de uma época em que os sistemas de dados funcionavam em grande parte como ilhas que não precisavam interoperar com outros sistemas. Um nível de abordagem diferente: mercados, clientes e governos estão exigindo maior conectividade, transparência e eficiência.

Além disso, a abertura dos sistemas baseados na internet alterou profundamente a forma como as empresas e os indivíduos coletam, gerenciam e compartilham informações. Assim, além de novas regulamentações que exigem clareza e responsabilidade, a mudança para a simbologia aberta está sendo impulsionada por crescentes demandas institucionais e de investidores.

A adoção de um sistema aberto de simbologia compartilhada estabelece as bases para um tremendo salto na negociação eficiente e na liquidação de valores mobiliários, bem como no gerenciamento de dados e relatórios de instrumentos financeiros de maneira mais geral. Esse sistema permitirá que empresas e provedores de serviços de tecnologia transfiram recursos de processos trabalhosos e ineficientes para novos investimentos em ferramentas e produtos que melhor atendam aos clientes.

O rápido crescimento do processamento distribuído levou à necessidade de uma estrutura de coordenação para essa padronização e às recomendações da ISO/IEC 10746 (todas as partes); o Modelo de Referência de Processamento Distribuído Aberto (RM-ODP) fornece tal estrutura. Ele define uma arquitetura na qual o suporte de distribuição, interoperabilidade e portabilidade pode ser integrado.

A ISO/IEC 10746-2 estabelece os conceitos fundamentais e a estrutura de modelagem para descrever sistemas distribuídos. Os escopos e objetivos da ISO/IEC 10746-2 e da Linguagem de Modelagem Unificada (UML), embora relacionados, não são os mesmos e, em vários casos, a ISO/IEC 10746-2 e a especificação da UML usam o mesmo termo para conceitos relacionados, mas estes não são idênticos (por exemplo, interface). No entanto, uma especificação usando os conceitos de modelagem da ISO/IEC 10746-2 pode ser expressa usando UML com extensões apropriadas (usando estereótipos, tags e restrições).

A ISO/IEC 10746-3 especifica uma arquitetura genérica de sistemas distribuídos abertos, expressa usando os conceitos fundamentais e a estrutura estabelecida na ISO/IEC 10746-2. Devido à relação entre a UML como linguagem de modelagem e a ISO/IEC 10746-3, é fácil demonstrar que a UML é adequada como uma notação para as especificações de pontos de vista individuais definidas pelo RM-ODP.

Esta norma estabelece um método para automatizar a contagem de pontos de função, que é geralmente consistente com a versão 4.3.1 do Manual de Práticas de Contagem (CPM do inglês Counting Practices Manual), produzido pelo Grupo Internacional de Usuários de Pontos de Função (IFPUG do inglês International Function Point Users Group). As diretrizes desta norma podem diferir daquelas do CPM do IFPUG em pontos onde os julgamentos subjetivos precisavam ser substituídos pelas regras necessárias para automação. O CPM do IFPUG foi selecionado como base para esta norma, porque é a especificação de medição funcional mais amplamente utilizada, com uma grande infraestrutura de suporte mantida por uma organização profissional.

Pode-se ressaltar que um identificador global de instrumento financeiro é estruturado como uma cadeia de 12 caracteres que é semanticamente sem sentido. Como a cadeia se destina a permanecer ligada a um determinado instrumento financeiro ao longo da vida desse instrumento, além de servir como referência histórica para instrumentos financeiros obsoletos, é vital que a cadeia seja estruturada de forma a ser semanticamente neutra.

Devido à granularidade do identificador global de instrumento financeiro, existe a necessidade de vários tipos de identificadores para fornecer agrupamentos de instrumentos financeiros. Os três tipos de identificadores globais de instrumento financeiro são os seguintes: identificador global: esse é o tipo mais básico de identificador que se aplica exatamente a um único instrumento financeiro no nível mais granular. Por exemplo, ações comuns da Apple (AAPL) negociadas no mercado NASDAQ Global Select.

A granularidade desse identificador é encontrada naquilo que ele identifica. Em particular, o FIGI mais básico identifica um instrumento financeiro, onde aplicável, ao nível do local de negociação. Isto é, quando aplicável, o identificador global identifica um instrumento financeiro dentro do contexto de um local de negociação.

Um identificador global composto é, ele próprio, um identificador global que é diferenciado de um identificador global normal, na medida em que serve como “pai” em uma hierarquia de identificadores globais individuais. Por exemplo, ações comuns da AAPL negociadas no mercado NASDAQ Global Select (nível local/sistema) e em nível global, apresentadas como uma lista de identificadores globais compostos. O propósito desta versão do identificador é agrupar identificadores individuais, conforme descrito anteriormente, em agrupamentos no nível do país.

O identificador global composto só se aplica a um subconjunto limitado de identificadores globais. Em particular, aplica-se apenas àqueles identificadores globais que podem ser diferenciados com base na bolsa em que o ativo é negociado, ou na fonte de preços do ativo. Essas condições só são obtidas no caso de ações. Como tal, o identificador global composto é usado apenas no agrupamento de ações.

O identificador global da classe de ativos é semelhante a um identificador global composto, porém o identificador global da classe de ativos identifica um instrumento financeiro dentro do contexto da perspectiva global, por exemplo, ações ordinárias da Apple. Como um mecanismo de agrupamento para identificadores globais compostos, o identificador global da classe de ativos é usado apenas no agrupamento de ações.

Convém que os caracteres utilizados dentro de um identificador global de instrumento financeiro (FIGI) sejam os seguintes: todas as seguintes consoantes em maiúsculas: B, C, D, F, G, H, J, K, L, M, N, P, Q, R, S, T, V, W, X, Y, Z; os únicos dígitos inteiros são 0 – 9. Enquanto a cadeia em si é semanticamente sem sentido, existe uma estrutura específica que é usada. Convém que as regras de sintaxe para os 12 caracteres sejam as seguintes: caracteres 1 e 2: qualquer combinação de consoantes maiúsculas, com as seguintes exceções: BS, BM, GG, GB, GH, KY, VG. O objetivo desta restrição é reduzir as chances de que o identificador resultante possa ser idêntico a uma sequência do código ISIN (International Securities Identification Number) (ver ISO 6166).

Estritamente falando, uma duplicata não é um problema, pois as strings designam coisas diferentes, mas mesmo assim foi tomado cuidado para reduzir a ambiguidade. A maneira que o ISIN é construído é que os dois primeiros caracteres correspondem ao país de emissão. O terceiro caractere, dependendo da organização emissora, é tipicamente um numeral. No entanto, no caso do Reino Unido, a letra “G” é atribuída. Como está sendo usada a letra “G” como o caractere 3, as únicas combinações que podem surgir dentro do ISIN que somente incorporam consoantes são BSG (Bahamas), BMG (Bermudas), GGG (Guernsey), GBG (Reino Unido) e VGG (Ilhas Virgens Britânicas).

A razão para isso é que o Reino Unido emite números ISIN para entidades dentro de sua jurisdição mais ampla. A alocação dos prefixos para diferentes Provedores Certificados (PC) é especificada no Anexo A. O caractere 3: a letra maiúscula G (para global); o caractere 4-11: qualquer combinação de consoantes maiúsculas e algarismos 0 – 9; caracteres 12: um dígito de verificação (0 – 9) calculado da seguinte forma: as letras são convertidas em números inteiros, conforme a tabela abaixo.

Usando os primeiros 11 caracteres, começando no último caractere em formato inteiro e trabalhando da direita para a esquerda, cada segundo inteiro é multiplicado por dois. A sequência de inteiros resultante (números maiores que 10 se tornam dois dígitos separados) é somada. Subtrair o total do próximo inteiro mais alto que termina em zero. Se o total obtido ao somar os dígitos for um inteiro terminando em zero, convém que o dígito de verificação seja zero.

Embora o identificador global esteja no centro desta norma, um conjunto de campos complementares está associado ao identificador, sendo dois dos quais instâncias especiais do próprio identificador. A necessidade dos pontos de dados adicionais é amplamente uma função da granularidade do identificador global. Como o identificador global serve para identificar instrumentos financeiros no nível mais granular possível, é muito útil especificar claramente os diferenciadores que constituem a granularidade.

Para esse fim, vários elementos-chave de dados estão associados a cada identificador global, que servem para destacar os recursos de diferenciação, além de fornecer informações adicionais sobre o instrumento financeiro, como, por exemplo, o seu nome. Os instrumentos financeiros são, pela sua natureza, coisas que podem ser compradas ou vendidas. Os instrumentos financeiros de que esta norma trata são comprados ou vendidos em uma bolsa de valores.

Como o identificador global atribui identificadores exclusivos aos instrumentos financeiros no nível mais granular possível, convém especificar o local no qual o instrumento financeiro individual é negociado. Convém que o identificador global seja agrupado, juntamente com a fonte de preços, como um código associado. Os códigos dos locais de negociação estão associados aos instrumentos financeiros por meio da propriedade de objeto “has” que é usado em vez de uma propriedade de objeto mais descritiva, como “hasAssociatedCode”, para alavancar os recursos de raciocínio e ser “mapeável” para as relações da Ontologia de Negócios da Indústria Financeira (FIBO).

O nome do instrumento financeiro é o nome da empresa e, às vezes, pode incluir uma breve descrição do instrumento financeiro. O nome de um instrumento pode mudar em conjunto com eventos corporativos. Conforme mencionado anteriormente, convém que o identificador associado ao instrumento financeiro não seja alterado em resposta a tal evento. Em muitos casos, como, por exemplo, ações ordinárias, o nome do instrumento financeiro também é o nome do órgão emissor.

Isso não é suficiente para individualizar o instrumento financeiro, uma vez que as organizações emitem instrumentos financeiros com exatamente o mesmo nome, mas que são negociados em diferentes bolsas. Esta é uma distinção que está ausente em outros identificadores, mas serve como uma característica particular para o FIGI.

O imageamento e comunicações digitais em medicina (DICOM)

Nos equipamentos eletromédicos pode-se controlar seguintes objetos de informação: um Objeto de Informação de Imagem DICOM (DICOM Image Information Object – IOD) para Radioterapia. Este especifica o conteúdo semântico das Imagens de RT. Normalmente se abrevia como RT Imagem IOD. Também inclui a Classe de Armazenamento (Storage SOP) correspondente para que a IOD possa ser usada nos intercâmbios de Rede e de Armazenamento de Mídia (Network).

A ABNT IEC/TR 61852 de 06/2020 – Equipamentos eletromédicos — Imageamento e comunicações digitais em medicina (DICOM) — Objetos de radioterapia especifica os seguintes objetos de informação: um Objeto de Informação de Imagem DICOM (DICOM Image Information Object – IOD) para Radioterapia. Este especifica o conteúdo semântico das Imagens de RT. Normalmente se abrevia como RT Imagem IOD. Também inclui a Classe de Armazenamento (Storage SOP) correspondente para que a IOD possa ser usada nos intercâmbios de Rede e de Armazenamento de Mídia (Network). O escopo da RT Imagem IOD apresenta imagens de radioterapia que tenham sido obtidas em uma geometria cônica de imageamento, como as encontradas em simuladores convencionais e dispositivos de imageamento de portal.

Também podem ser usadas para imagens calculadas usando a mesma geometria, como as radiografias reconstruídas digitalmente (RRD). Um Objeto de Informação de Dose DICOM (DICOM Dose Information Object) para Radioterapia. Especifica o conteúdo semântico das Doses de RT. Normalmente se abrevia como RT Dose IOD. Também inclui a Classe de Armazenamento (Storage SOP) correspondente para que a IOD possa ser usada nos intercâmbios de Rede (Network) e de Armazenamento de Mídia. O escopo da RT Dose IOD apresenta distribuições de dose de radioterapia que tenham sido calculadas em um sistema de planejamento de tratamento radioterápico, representadas como grades bidimensionais ou tridimensionais de dose, grupos de pontos de dose nomeados ou não nomeados, curvas de isodose, e histogramas dose-volume (DVH).

Um Objeto de Informação de Conjunto de Estrutura DICOM (DICOM Structure Set Information Object) para Radioterapia. Especifica o conteúdo semântico dos Conjuntos de Estrutura de RT. Normalmente se abrevia como RT Structure Set IOD. Também inclui a Classe Storage SOP correspondente para que a IOD possa ser usada nos intercâmbios de Rede (Network) e de Armazenamento de Mídia. O escopo da RT Structure Set IOD apresenta as estruturas relativas ao paciente de radioterapia que tenham sido identificadas em dispositivos como tomógrafos computadorizados (TC), estações de simulação virtual (workstations) ou sistemas de planejamento de tratamento. Um Objeto de Informação de Plano DICOM (DICOM Plan Information Object) para Radioterapia. Este especifica o conteúdo semântico dos Planos (Tratamentos) de RT.

Normalmente se abrevia como RT Plano IOD. Também inclui a Classe Storage SOP correspondente para que a IOD possa ser usada nos intercâmbios de Rede (Network) e de Armazenamento de Mídia. O escopo da RT Plan IOD apresenta os dados geométricos e dosimétricos especificando um curso de feixe externo e/ou tratamento de braquiterapia. Este Relatório inclui uma diversidade de emendas às Partes existentes da DICOM. Portanto, convém que o leitor tenha uma compreensão operacional da Norma. 1. Parte 3 Emendas (Extensão do corpo, Anexos A, B, C e D); 2. Parte 4 Emendas (Extensão do Anexo B); e 3. Parte 6 Emendas (Extensão da Seção 6 e do Anexo A).

Acesse algumas dúvidas relacionadas a essas normas GRATUITAMENTE no Target Genius Respostas Diretas:

Quais os símbolos e abreviaturas usados nessa norma?

Como pode ser feita a descrição do RT Plan IOD?

Como deve ser estruturado o Módulo RT FRACTION SCHEME?

Quais os atributos do Módulo RT Image?

Este complemento da norma DICOM define uma variedade de objetos de informação aplicáveis ao domínio da radiação em oncologia. A intenção destes objetos é dar suporte à transferência de dados relativos à radioterapia entre os dispositivos encontrados dentro e fora de um departamento de radioterapia. No entanto, eles não têm a intenção de dar suporte ao gerenciamento dos dados transferidos, uma função que pode ser tratada em revisões futuras da norma DICOM.

Esta tarefa de gerenciamento de processos não tem sido tratada na publicação atual devido à ausência de um modelo de processo consistente para um departamento de radioterapia, especialmente em um contexto internacional. Como resultado, os objetos de informação de radioterapia contêm um grande número de elementos de dados condicionais e opcionais. Essencialmente, os objetos são destinados a serem utilizados como contêineres para dados relacionados à radioterapia, com os dados sendo acrescentados à medida que o objeto avança pelo departamento.

O foco desta IOD de Imagem de Radioterapia (RT Image IOD) é tratar dos requisitos para transferência de imagem encontrados em aplicações gerais de radioterapia executadas em simuladores convencionais, simuladores virtuais e dispositivos de imageamento portal. Estas imagens têm uma geometria de imageamento cônica e podem tanto ser adquiridas diretamente do dispositivo, ou digitalizadas usando um digitalizador de filme. Elas podem ou não ter curvas sobrepostas descrevendo as aberturas do dispositivo limitador do feixe (colimador), dispositivos de modificação do feixe, estruturas do paciente e volumes-alvo. Os parâmetros numéricos de dados de feixe também podem ser registrados com a imagem, indicando os valores dos parâmetros no momento em que a imagem foi tomada ou criada. O modelo E-R para a RT Image IOD é apresentado na figura abaixo.

Deve-se observar que não existe qualquer provisão para representação de curvas multiframe (ou seja, todas as curvas são interpretadas em relação ao primeiro frame de imagem em uma imagem multiframe). Curvas que não sejam estruturas de paciente também podem ser representadas usando os tipos de curva HIST, POLY ou TABL (ver P3.3, C.10.2.1). O módulo Equipment contém informações descrevendo o equipamento usado para captar ou gerar a Imagem de RT (como um imageador de portal, simulador convencional ou sistema de planejamento de tratamento).

No entanto, os atributos de equipamento no módulo de RT Image descrevem o equipamento no qual o tratamento foi ou será administrado, normalmente um acelerador de elétrons. Para imagens de RT que não contenham dados pertinentes de pixel, como imagens BEV sem informações RRD, convém que Pixel Data (7FE0,0010) seja preenchido com uma sequência de zeros. O módulo Frame of Reference tem sido incluído para possibilitar a indicação da associação espacial de dois ou mais RT Image (por exemplo, quando as imagens tiverem sido adquiridas no mesmo Frame of Reference, ou tiverem sido reamostradas para compartilhar o mesmo Frame of Reference).

Se o Frame of Reference ocorrer dentro de um SOP Instances em uma determinada série, então todos os SOP Instances desta série estarão espacialmente relacionados. Por exemplo: duas RT Images podem compartilhar o mesmo Frame of Reference se estiverem localizadas no mesmo plano físico, como determinado pelo Ângulo do Gantry da máquina de tratamento (300A,011E) e pela distância do plano fonte-imagem especificada pela RT Image SID (3002,0026).

O foco para esta IOD de Dose de Radioterapia (RT Dose IOD) é tratar dos requisitos de transferência de distribuições de dose calculados por sistemas de planejamento de tratamento de radioterapia. Estas distribuições podem ser representadas por grades 2D ou 3D, como curvas de isodose, ou como pontos de dose nomeados ou não nomeados espalhados por todo o volume. Esta IOD também pode conter dados de histograma dose-volume, overlays isolados ou de multiframes, anotações de áudio e tabelas de pesquisa definidas pela aplicação.

Esta IOD não apresenta definição de doses no feixe ou outros sistemas de coordenadas. Dentro da RT Dose IOD, o módulo de RT Dose suporta grades de dose 2D e 3D. O Structure Set, ROI Contour e módulos da RT Dose ROI juntos suportam curvas e pontos de isodose, e o módulo RT DVH suporta dados de histograma dose-volume. Eles não são mutuamente exclusivos: todas as quatro representações podem ser incluídas em um único caso do objeto e podem ser incluídos em qualquer combinação.

Convém que Declarações de Conformidade de Produto declarem claramente quais destes mecanismos têm suporte e sob quais condições. A RT Dose IOD foi definida como uma IOD composta, separada da RT Plan IOD. Isso tem sido feito pelos seguintes motivos: para possibilitar a multiplicidade de cálculos de dose usando modelos de feixe para o mesmo plano básico e para evitar transmissão indesejada de grandes quantidades de dados com o plano de tratamento.

O foco para esta IOD de Conjunto de Estrutura de Radioterapia (RT Structure Set IOD) é tratar dos requisitos para transferência de estruturas do paciente e de dados relacionados definidos nos tomógrafos TC, estações de simulação virtual, sistemas de planejamento de tratamento e dispositivos similares. Esta IOD também pode conter anotações de curva em áudio.

Como definir os elementos consistentes dos metadados

O propósito deste modelo é permitir a descrição padronizada de documentos de arquivo e entidades contextuais críticas para documentos de arquivo, fornecer uma compreensão comum dos pontos fixos de agregação para permitir a interoperabilidade de documentos de arquivo e informações relevantes para documentos de arquivo entre sistemas organizacionais e permitir reutilização e padronização de metadados para gerenciar documentos de arquivo ao longo do tempo, espaço e entre aplicações.

A NBR ISO 23081-2 de 04/2020 – Informação e documentação — Gerenciamento de metadados para documentos de arquivo – Parte 2: Problemas conceituais e implementação estabelece um modelo para definir os elementos de metadados consistentes com os princípios e as considerações de implementação descritos na NBR ISO 23081-1. O propósito deste modelo é permitir a descrição padronizada de documentos de arquivo e entidades contextuais críticas para documentos de arquivo, fornecer uma compreensão comum dos pontos fixos de agregação para permitir a interoperabilidade de documentos de arquivo e informações relevantes para documentos de arquivo entre sistemas organizacionais e permitir reutilização e padronização de metadados para gerenciar documentos de arquivo ao longo do tempo, espaço e entre aplicações. Ela também identifica alguns dos pontos de decisão críticos que precisam ser abordados e documentados para permitir a implementação de metadados para gerenciar documentos de arquivo. Ela visa identificar os problemas que precisam ser abordados na implementação de metadados para gerenciamento de documentos de arquivo, identificar e explicar as várias opções para abordar as questões, e identificar vários caminhos para tomar decisões e escolher opções na implementação de metadados para gerenciar documentos de arquivo.

Acesse algumas dúvidas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais as relações entre entidades nos metadados?

Quais são os conceitos relativos à implementação de metadados?

Por que os metadados podem ser herdados de um agregado superior para um inferior?

Qual o modelo de metadados para gerenciar documentos de arquivo?

A série NBR ISO 23081 descreve metadados para documentos de arquivo. Esta parte 2 concentra-se no modelo de definição de elementos de metadados para gestão de documentos de arquivo, e fornece uma declaração genérica de elementos de metadados, sejam estes físicos, analógicos ou digitais, de acordo com os princípios da NBR ISO 23081-1. Ela fornece uma fundamentação sólida dos metadados para gerenciar documentos de arquivo em organizações, modelos conceituais de metadados e um conjunto de elementos de alto nível de metadados genéricos, adequados para qualquer ambiente de documentos de arquivo.

Abrange, por exemplo, implementações atuais de gestão de documentos de arquivo ou arquivísticas. Ela define os tipos genéricos de metadados, tanto para entidades de documentos de arquivo quanto para outras entidades que precisam ser gerenciadas para documentar e entender o contexto dos documentos de arquivos. Esta parte 2 também identifica, para entidades-chave, um número mínimo de camadas de agregação fixas que são necessárias para fins de interoperabilidade. Os modelos e os tipos de metadados genéricos delineados nesta parte são principalmente focados na entidade documentos de arquivo.

No entanto, eles também são relevantes para as outras entidades. Não estabelece um conjunto específico de elementos de metadados. Em vez disso, ela identifica tipos genéricos de metadados que são necessários para cumprir os requisitos para gerenciar documentos de arquivo. Essa abordagem fornece às organizações a flexibilidade para selecionar metadados específicos para atender aos requisitos de seus negócios e gerenciar seus documentos de arquivo enquanto eles são necessários.

Ela fornece diagramas para determinar os elementos de metadados que podem ser definidos em uma implementação específica e os que podem ser aplicados a cada agregação das entidades definidas. Ela reconhece que essas entidades podem existir em diferentes camadas de agregação. Ela define tipos de metadados genéricos que podem ser aplicados em todas as camadas de agregação, ao mesmo tempo em que alerta aos implementadores para elementos de metadados que só podem ser aplicados em camadas de agregação específicas.

A implementação de metadados para gerenciar documentos de arquivo usando parâmetros organizacionais e de sistema envolve uma série de escolhas, que são determinadas pelas conjunturas da organização, pelos sistemas instalados e pelos requisitos para gerenciar documentos de arquivo. Com base nos princípios da NBR ISO 23081-1, esta parte 2 fornece explicações adicionais sobre os conceitos subjacentes de esquemas de metadados para gerenciar documentos de arquivo, oferece orientações práticas para o desenvolvimento e construção desses esquemas do ponto de vista organizacional e, finalmente, aborda questões relacionadas à implementação e ao gerenciamento de metadados ao longo do tempo.

Destina-se a arquivistas (ou pessoas atribuídas dentro de uma organização para gerenciar documentos de arquivo em qualquer ambiente) responsáveis pela definição de metadados para gerenciar documentos de arquivo em qualquer camada de agregação em um sistema de negócios ou software de documentos de arquivo dedicado, sistemas/analistas de negócio responsáveis pela identificação de metadados para gerenciar documentos de arquivo em sistemas de negócio, arquivistas ou analistas de sistemas que abordam os requisitos de interoperabilidade do sistema envolvendo documentos de arquivo, e fabricante de software, como fornecedores de aplicativos que apoiam e permitem a definição, captura e gestão de metadados ao longo do tempo. As organizações precisam de sistemas de informação que capturem e gerenciem informações contextuais adequadas para auxiliar o uso, compreensão, gerenciamento e acesso a documentos de arquivo ao longo do tempo.

Esta informação é crítica para assegurar autenticidade, confiabilidade, integridade, usabilidade e qualidades probatórias de documentos de arquivo. Coletivamente, essa informação é conhecida como metadados para gerenciamento de documentos de arquivo. Os metadados para gerenciar documentos de arquivo podem ser usados para uma variedade de propósitos dentro de uma organização, apoiando, identificando, autenticando, descrevendo, localizando e gerenciando seus recursos de forma sistemática e consistente para atender às necessidades de negócio, responsabilidade e requisitos societários das organizações.

O software de documentos de arquivo e os sistemas de negócio com funcionalidade de gerenciamento de registros gerenciam documentos de arquivo, capturando e gerenciando os seus metadados e o contexto de sua produção e uso. Os documentos de arquivo, particularmente sob a forma de transações eletrônicas, podem existir fora do software de documentos de arquivo formais, muitas vezes sendo produzidos em sistemas de negócio que atendem a fins específicos (por exemplo, sistemas de licenciamento).

Os documentos de arquivo são usados e compreendidos por pessoas que possuem ou têm acesso a conhecimentos suficientes sobre os processos que estão sendo realizados ou por pessoas que estão envolvidas na transação dos documentos de arquivo gerados e seu contexto imediato. Tais documentos de arquivo nem sempre são robustos, por razões que incluem as ligações contextuais que podem não ser escritas e depender da memória individual e do grupo.

Essa confiança no entendimento contextual não escrito não é confiável; algumas pessoas têm acesso a mais conhecimento do que outras; ao longo do tempo, a usabilidade dos documentos de arquivo será comprometida pelo movimento do pessoal e pela diminuição da memória corporativa. Os documentos de arquivo muitas vezes não possuem informações explícitas necessárias para identificar os componentes de uma transação fora do contexto de negócio específico e, portanto, são difíceis de intercambiar com outros sistemas de negócio relacionados aos fins de interoperabilidade.

Os processos de gestão necessários para assegurar a sustentabilidade dos documentos de arquivo ao longo do tempo, que eles requerem, geralmente não são uma característica de tais sistemas. Existem limites práticos para a quantidade de informações contextuais que podem ser explicitadas e capturadas em um determinado sistema na forma de metadados. O contexto é infinito, enquanto um único sistema de informação possui limites finitos. Outras informações contextuais sempre existirão fora dos limites de qualquer sistema. Um único sistema de software de documentos de arquivo precisa capturar o máximo de metadados que forem considerados úteis para que o sistema e seus usuários interpretem e gerenciem os documentos de arquivo pelo tempo que forem necessários no sistema e para permitir a migração daqueles documentos de arquivo requeridos fora do sistema.

Os bons esquemas de metadados são dinâmicos e podem incluir metadados adicionais para gerenciar documentos de arquivo conforme necessário ao longo do tempo. Muitos metadados para gerenciar documentos de arquivo podem ser obtidos de outros sistemas de informação. Para que eles sejam úteis em um sistema de gerenciamento de documentos de arquivo, eles precisam ser estruturados e organizados de forma padronizada.

Os metadados padronizados são um pré-requisito essencial para a interoperabilidade do sistema de informação dentro e entre organizações. Os metadados para gerenciar documentos de arquivo não só descrevem seus atributos, de forma a permitir seu gerenciamento e uso/reutilização, mas também documentam as relações entre os documentos de arquivo e os agentes que os definem e os usam, além dos eventos ou circunstâncias em que os documentos de arquivo são produzidos e utilizados. Os metadados apoiam a busca de informações e a manutenção de sua autenticidade.

As organizações precisam produzir documentos de arquivo de suas transações e mantê-los enquanto forem necessários. Isso pode ser feito somente se os sistemas de negócio das organizações capturarem metadados de documentos de arquivo de acordo com os requisitos organizacionais para gerenciá-los. O quanto melhor um sistema gerencia documentos de arquivo é em grande parte dependente das funcionalidades de metadados do sistema. As relações entre os sistemas de negócio e os sistemas de softwares específicos de documentos de arquivo estão sujeitas às decisões nas implementações, conforme descrito na Seção 11.

A interoperabilidade refere-se à capacidade de dois ou mais sistemas automatizados de trocar informações e reconhecer, processar e usar essas informações com sucesso. Os sistemas interoperáveis precisam ser capazes de funcionar simultaneamente em níveis técnicos, semânticos e sintáticos. Os metadados padronizados são um pré-requisito essencial para a interoperabilidade do sistema de informação.

Os metadados padronizados para gerenciar documentos de arquivo ajudam a permitir a interoperabilidade da seguinte maneira: entre sistemas de negócio dentro de uma organização (por exemplo, entre os sistemas que apoiam um processo de negócio e aqueles que oferecem apoio a outros processos de negócio em toda a organização); entre sistemas de negócio que produzem documentos de arquivo e software de documentos de arquivo que os administram como documentos de arquivo; entre sistemas de negócio durante a migração de um sistema; entre várias organizações envolvidas na condução de processos de negócio (por exemplo, em uma cadeia de gerenciamento ou transações de comércio eletrônico); entre organizações para uma variedade de outros propósitos do negócio (por exemplo, na realização de transações compartilhadas ou transferência de documentos de arquivo para um terceiro); ao longo do tempo entre os sistemas de negócio que produzem documentos de arquivo e sistemas arquivísticos que os preservam. Ao apoiar a interoperabilidade, os metadados para gerenciar documentos de arquivo permitem a descoberta de recursos em sistemas de negócio, bem como em software de documentos de arquivo.

Os esquemas de metadados podem ser adaptados aos requisitos organizacionais para mitigação dos riscos. As organizações especificarão elementos que devem estar presentes para que os documentos de arquivo sejam confiáveis, autênticos e íntegros. Outros elementos serão opcionais, para inclusão, a critério das subunidades de organizações, ou para sistemas de negócio específicos dentro das organizações.

Ao considerar estratégias de implementação de metadados, recomenda-se que as organizações identifiquem os riscos que existem, considerem o grau de risco envolvido e garantam que a estratégia de implementação: forneça acesso aos sistemas de negócio críticos ao longo do tempo, satisfaça os requisitos legais de autenticidade e confiabilidade, e seja sustentável a partir de uma perspectiva de recursos ao longo do tempo. Os metadados estruturados para gerenciamento de documentos de arquivo, em combinação com boas funcionalidades de sistemas de busca, apoiam o acesso e a recuperação de documentos de arquivo em toda a organização. Isso maximiza a capacidade das pessoas de encontrar documentos de arquivo relevantes de forma rápida e fácil, quando precisam.

Além disso, os metadados de documentos de arquivo estruturados permitem que as informações sejam recuperadas no contexto do negócio, aumentando assim a compreensão e a confiabilidade das informações recuperadas para reutilização. Um investimento inicial, relativamente pequeno, em bons metadados, pode melhorar a qualidade e reduzir os custos de recuperação de informações para a organização. Os metadados para gerenciar documentos de arquivo podem ser usados para reduzir o risco de uso não autorizado. Metadados são necessários para especificar se o acesso aos documentos de arquivo é restrito.

Recomenda-se que somente aqueles com autorização apropriada tenham acesso aos documentos de arquivo. Convém que quaisquer instâncias de acesso sejam documentadas como metadados. Os metadados de controle de acesso são vitais para assegurar os interesses legais e de negócio da organização. Eles asseguram o gerenciamento adequado da confidencialidade e privacidade de informações pessoais e outras restrições de uso e segurança identificadas nos documentos de arquivo de uma organização.

Com a mudança da estrutura, função ou processo de trabalho de uma organização, ocorre uma alteração nas responsabilidades para as atividades do negócio. A implementação de metadados de documentos de arquivo padronizados e estruturados ajudam a identificar os documentos de arquivo apropriados para serem movidos em todos os sistemas e limites organizacionais. Esses metadados padronizados também ajudam a extrair documentos de arquivo de um sistema e importá-los para outros sistemas, preservando a ligação contextual, independentemente de qualquer sistema de negócio particular.

Os documentos de arquivo digitais dependem de metadados para sua existência, gestão e uso futuro. As características dos documentos de arquivo (ISO 15489-1:2001, 7.2), em todos os formatos, são definidas nos metadados dos documentos de arquivo. Assegurar a preservação dos documentos de arquivo, incluindo seus metadados, em formato eletrônico, exige conformidade com padrões de metadados estáveis, estruturados e bem definidos, para sua sustentabilidade em atualizações ou mudanças de software. A preservação dos documentos de arquivo digitais, enquanto eles são necessários, pode envolver uma série de estratégias (ver Seção 11), mas todas as estratégias dependem da existência de metadados padronizados para gerenciar documentos de arquivo.

Muitas das informações necessárias para documentar e descrever os documentos de arquivo e seu contexto em sistemas arquivísticos podem ser obtidas a partir dos metadados em software de documentos de arquivo. Recomenda-se que esta interligação seja tão perfeita quanto possível. Capturar metadados para gerenciar documentos de arquivo de acordo com um esquema padronizado torna esse processo mais fácil de implementar.

Conforme indicado na ISO 23081-1:2006, Seção 6, recomenda-se que estratégias de metadados sejam tratadas como parte integrante, ou explicitamente relacionada, a uma estratégia mais ampla de gerenciamento de informações e documentos de arquivo da organização. A este respeito, convém que seja elaborada uma política clara relacionada aos metadados, seja como uma área de política autônoma separada, ligada ao modelo de políticas de documentos de arquivo existente ou mesmo como uma parte integrante e distinta das políticas de documentos de arquivo organizacionais existentes.

Em ambos os casos, recomenda-se que as organizações identifiquem e atribuam funções e responsabilidades, incluindo responsabilidades para assegurar a qualidade de metadados; identifiquem os requisitos de confiabilidade, acessibilidade, recuperação, manutenção e segurança de metadados; selecionem padrões ou esquema de metadados aplicáveis; identifiquem e estabeleçam regras para a aplicação de esquemas de codificação de metadados (vocabulários controlados, esquemas de sintaxe); determinem normas técnicas a serem utilizadas na implementação; identifiquem como a política de metadados para gerenciar documentos de arquivo se relaciona a outras políticas ou esquemas de metadados que estão em uso na organização; identifiquem critérios e metodologias de avaliação para determinar a conformidade e a eficácia da política; desenvolvam estratégias de monitoramento e avaliação para acompanhar a política; determinem como a política será mantida atualizada, de acordo com as atividades do negócio.

Recomenda-se que qualquer política permita diferentes níveis de implementação. Convém identificar o nível e a forma a serem alcançados. Recomenda-se que uma política também identifique as áreas mais críticas e requeira atenção especial em relação às estratégias de implementação de metadados, como sustentabilidade, acessibilidade, identificação de documentos de arquivo vitais, preservação e análise de risco.

Em conformidade com o modelo estabelecido de funções e responsabilidades para os documentos de arquivo (ver ISO 15489-1:2001, 6.3), recomenda-se que a responsabilidade pelo desenvolvimento, implementação e manutenção de modelos de metadados para gerenciamento de documento de arquivo seja atribuída aos arquivistas, em associação com outros funcionários da organização, como da área de tecnologia da informação ou profissionais da área jurídica, conforme apropriado. Esta responsabilidade inclui analisar as necessidades da organização de metadados para gerenciar documentos de arquivo baseados nos requisitos do negócio; monitorar e analisar a evolução da organização em relação aos metadados, em particular os requisitos para o gerenciamento dos documentos de arquivo; assegurar que os esquemas de metadados para gerenciamento de documentos de arquivo sejam desenvolvidos de acordo com as melhores práticas e com as normas aplicáveis da indústria; desenvolver o modelo de metadados para gerenciar documentos de arquivo, incluindo o esquema de metadados, e as normas organizacionais relacionados e as regras para utilizar o modelo; identificar ou desenvolver esquemas de codificação de metadados apropriados, refinamentos de elementos e qualificadores, por exemplo, plano de classificação; manter o esquema de metadados atualizado e alinhado com as necessidades do negócio; gerenciar o esquema de metadados também como um documento de arquivo; manter a qualidade geral dos metadados definidos por máquina e por seres humanos, particularmente no que se refere à sua precisão, integridade, autenticidade, usabilidade e confiabilidade; coordenar as questões de implementação entre os documentos de arquivo e o pessoal de tecnologia da informação; realizar a coordenação com os proprietários dos sistemas de negócio para assegurar a integração dos metadados de gerenciamento de documentos de arquivo, conforme apropriado; realizar a coordenação com autoridades/processos arquivísticos para assegurar a interoperabilidade entre o software de documentos de arquivo e os ambientes de arquivamento de documentos de arquivo que possuem valor permanente; elaborar um programa e rotina de treinamento dos agentes sobre o uso e a aplicação do esquema de metadados; comunicar sobre o esquema de metadados dentro da organização.

Os sistemas desenvolvidos para gerenciar documentos de arquivo requerem metadados que apoiam processos de arquivos ou mesmo de gerenciamento de documentos de arquivo. Um dos principais usos dos metadados é representar entidades a partir do ambiente de negócio no sistema de negócio. As entidades apoiam a perspectiva dos documentos de arquivo para entender o ambiente de negócio, mas eles não são em si mesmos objetos sempre tangíveis.

A figura abaixo especifica o modelo conceitual de entidade e apoia qualquer número de entidades, mas de particular importância são as seguintes: os próprios documentos de arquivo sejam um documento individual ou agregações de documentos de arquivo (conhecidos como entidades de registro); as pessoas ou estruturas de organização no ambiente de negócio (conhecidas como entidades agente); transações de negócio (conhecidas como entidades de negócio); as regras que regem a transação e documentação de negócio (conhecidas como entidades competentes).

Não se espera que todas as implementações desta parte da NBR ISO 23081 implementem diretamente todas as classes de entidades descritas. Tais decisões dependerão da capacidade de assegurar ligações contínuas descritas entre as várias classes de entidades. As incertezas sobre a persistência podem levar a implementações centradas em documentos de arquivo, onde metadados sobre outras classes de entidades são trazidos explicitamente para dentro dos limites da própria classe de documento de arquivo.

Tais implementações achatam o modelo de entidade e incluem a informação sobre as classes faltantes de entidades dentro de outras entidades. Por exemplo, uma implementação que não contenha classes de agentes, determinações ou de negócio pode incluir as informações necessárias para a implementação da classe de documento de arquivo.

As orientações para a gestão da segurança da informação

Conheça as orientações sobre os requisitos para um sistema de gestão de segurança da informação (SGSI) conforme especificado na NBR ISO/IEC 27001.

A NBR ISO/IEC 27003 de 04/2020 – Tecnologia da informação — Técnicas de segurança — Sistemas de gestão da segurança da informação — Orientações fornece explicações e orientações sobre a NBR ISO/IEC 27001:2013.

Acesse algumas questões relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Como entender as necessidades e expectativas das partes interessadas?

Quais as orientações para estabelecer o escopo de um SGSI?

Por que a liderança e o comprometimento são essenciais para um sistema de gestão de segurança da informação (SGSI) efetivo?

Quais as orientações para uma política de segurança?

Este documento fornece orientações sobre os requisitos para um sistema de gestão de segurança da informação (SGSI) conforme especificado na NBR ISO/IEC 27001 e fornece recomendações (‘Convém que’), possibilidades (‘pode’) e permissões (‘pode’) em relação a eles. Não é a intenção de este documento fornecer orientações gerais sobre todos os aspectos de segurança da informação. As Seções 4 a 10 deste documento espelham a estrutura da NBR ISO/IEC 27001:2013. Este documento não adiciona quaisquer novos requisitos para um SGSI e seus termos e definições relacionados.

Convém que as organizações consultem a ABNT NBR ISO/IEC 27001 e a ISO/IEC 27000 para requisitos e definições. As organizações implementando um SGSI não estão sob qualquer obrigação de observar as orientações deste documento. Um SGSI enfatiza a importância das seguintes fases: compreender as necessidades da organização e a necessidade de estabelecer política de segurança da informação e objetivos de segurança da informação; avaliar a organização, e os riscos relacionados à segurança da informação; implementar e operar processos, controles e outras medidas de segurança da informação para o tratamento de riscos; fiscalizar e analisar o desempenho e a eficácia do SGSI; e praticar a melhoria contínua.

Um SGSI, semelhante a qualquer outro tipo de sistema de gestão, inclui os seguintes componentes principais: política; pessoal com responsabilidades definidas; processos de gestão relacionados com o estabelecimento de política; provisão de conscientização e competência; planejamento; implementação; operação; avaliação de desempenho; análise crítica pela direção; melhoria; e informação documentada. Um SGSI tem componentes principais adicionais, como: avaliação de riscos de segurança da informação; e tratamento de riscos de segurança da informação, incluindo a determinação e a implementação de controles.

Este documento é genérico e se destina a ser aplicável a todas as organizações, independentemente do tipo, tamanho ou natureza. Convém que a organização identifique que parte destas orientações se aplica a ela de acordo com o seu contexto organizacional específico (ver NBR ISO/IEC 27001:2013, Seção 4). Por exemplo, algumas orientações podem ser mais adequadas para grandes organizações, mas para organizações muito pequenas (por exemplo, com menos de dez pessoas) algumas das orientações podem ser desnecessárias ou inadequadas.

As descrições das Seções 4 a 10 são estruturadas da seguinte forma: Atividade necessária: apresenta as principais atividades necessárias na subseção correspondente da NBR ISO/IEC 27001; Explicação: explica o que os requisitos da NBR ISO/IEC 27001 demandam; Orientações: fornece informações mais detalhadas ou de apoio para implementar a “atividade necessária”, incluindo exemplos para implementação; e Outras informações: fornece mais informações que podem ser consideradas.

As NBR ISO/IEC 27003, NBR ISO/IEC 27004 e NBR ISO/IEC 27005 formam um conjunto de documentos que dão suporte e orientações para a NBR ISO/IEC 27001:2013. Dentre esses documentos, a NBR ISO/IEC 27003 é um documento básico e abrangente que fornece orientações para todos os requisitos da NBR ISO/IEC 27001, mas não tem descrições detalhadas sobre “monitoramento, medição, análise e avaliação” e gestão de riscos de segurança da informação.

As NBR ISO/IEC 27004 e ABNT NBR ISO/IEC 27005 focam em conteúdos específicos e fornecem orientações mais detalhadas sobre “monitoramento, medição, análise e avaliação” e gestão de riscos de segurança da informação. Existem várias referências explícitas à informação documentada na NBR ISO/IEC 27001. No entanto, uma organização pode reter informações documentadas adicionais que considera necessárias para a eficácia do seu sistema de gestão como parte de sua resposta à NBR ISO/IEC 27001:2013, 7.5.1 b).

Nestes casos, este documento usa a frase “Informação documentada sobre esta atividade e o seu resultado é mandatório somente na forma e na medida em que a organização determina como necessário para a eficácia do seu sistema de gestão (ver NBR ISO/IEC 27001:2013, 7.5.1 b)”. A organização determina questões externas e internas relevantes para sua finalidade e que afetam a sua habilidade para obter o (s) resultado (s) pretendido (s) do sistema de gestão da segurança da informação (SGSI).

Como uma função integrante do SGSI, a organização analisa constantemente a si própria e o mundo que a rodeia. Esta análise está preocupada com questões internas e externas que de alguma maneira afetam a segurança da informação e como a segurança da informação pode ser gerida, e que são relevantes para os objetivos da organização. A análise destas questões tem três objetivos: entender o contexto a fim de decidir o escopo do SGSI; analisar o contexto para determinar riscos e oportunidades; e assegurar que o SGSI esteja adaptado para mudar questões externas e internas.

Questões externas são aquelas que estão fora do controle da organização. Isso é frequentemente referido como o ambiente da organização. A análise deste ambiente pode incluir os seguintes aspectos: social e cultural; político, jurídico, normativo e regulatório; financeiro e macroeconômico; tecnológico; natural; e competitivo. Estes aspectos do ambiente da organização apresentam continuamente questões que afetam a segurança da informação e como a segurança da informação pode ser gerida. As questões externas relevantes dependem da situação e das prioridades específicas da organização.

Por exemplo, questões externas para uma organização específica podem incluir: implicações legais do uso de um serviço de TI terceirizado (aspecto legal); características da natureza em termos de possibilidade de desastres como incêndios, inundações e terremotos (aspecto natural); avanços técnicos de ferramentas de invasão e uso de criptografia (aspecto tecnológico); e demanda geral por serviços da organização (aspectos sociais, culturais ou financeiros).

Questões internas estão sujeitas ao controle da organização. A análise das questões internas pode incluir os seguintes aspectos: cultura da organização; políticas, objetivos e estratégias para alcançá-los; governança, estrutura organizacional, funções e responsabilidades; normas, diretrizes e modelos adotados pela organização; relações contratuais que podem afetar diretamente os processos da organização incluídos no escopo do SGSI; processos e procedimentos; capacidades, em termos de recursos e de conhecimento (por exemplo, capital, tempo, pessoas, processos, sistemas e tecnologias); infraestrutura e ambiente físicos; sistemas de informação, fluxos de informação e processos de tomada de decisão (ambos formal e informal); e auditorias anteriores ou resultados de análise de riscos anteriores. Os resultados desta atividade são usados em 4.3, 6.1 e 9.3.

Com base em um entendimento da finalidade da organização (por exemplo, se referindo a sua declaração de missão ou plano de negócios), bem como o(s) resultado(s) pretendido(s) do SGSI da organização, convém para a organização: analisar criticamente o ambiente externo para identificar questões externas relevantes; e analisar criticamente os aspectos internos para identificar questões internas relevantes. A fim de identificar questões relevantes, a seguinte pergunta pode ser feita: Como uma determinada categoria de questões (ver 4.1 a) a t)) afetam os objetivos de segurança da informação?

Três exemplos de questões internas servem como uma ilustração de: EXEMPLO 1 Sobre a governança e a estrutura organizacional (ver 4.1 m)): Ao estabelecer um SGSI, convém considerar a governança e as estruturas organizacionais já existentes. Como um exemplo, a organização pode modelar a estrutura do seu SGSI com base na estrutura de outros sistemas de gestão existentes, e pode combinar funções comuns, como análise crítica pela direção e auditoria.

EXEMPLO 2 Sobre a política, objetivos e estratégias (ver 4.1 l)): Uma análise das políticas, objetivos e estratégias existentes pode indicar o que a organização pretende obter e como os objetivos de segurança da informação podem ser alinhados com os objetivos de negócio para assegurar resultados bem-sucedidos. EXEMPLO 3 Sobre os sistemas de informação e fluxos de informação (ver 4.1 s)): Quando determinar questões internas, convém à organização identificar, a um nível de detalhe suficiente, os fluxos de informação entre os seus vários sistemas de informação.

Como tanto as questões internas e externas irão mudar ao longo do tempo, convém serem analisadas criticamente, de forma periódica, as questões e a sua influência sobre o escopo, restrições e requisitos do SGSI. Informação documentada sobre esta atividade e os seus resultados é mandatória somente na forma e na medida em que a organização determina como necessária para a eficácia do seu sistema de gestão (ver NBR ISO/IEC 27001:2013, 7.5.1 b).

Na ISO/IEC 27000, a definição de “organização” possui uma nota que diz: “O conceito de organização inclui, mas não se limita a, comerciante independente, companhia, corporação, firma, empresa, autoridade, parceria, caridade ou instituição, ou parte ou combinação destas, incorporadas ou não, pública ou privada”. Alguns destes exemplos são entidades jurídicas em sua totalidade, enquanto outros não são.

BS ISO 19626-1: as plataformas de comunicação confiáveis para documentos eletrônicos

Essa norma internacional, editada pelo BSI em 2020, define os requisitos sobre a comunicação confiável em considerações legais, administrativas e técnicas. Este documento mostra uma arquitetura do sistema trusted communication platforms (TCP) para garantir uma comunicação confiável e promover os serviços confiáveis, fornecendo evidências de comunicação confiáveis como prova.

A BS ISO 19626-1:2020 – Processes, data elements and documents in commerce, industry and administration. Trusted communication platforms for electronic documents. Fundamentals define os requisitos sobre a comunicação confiável em considerações legais, administrativas e técnicas. Este documento mostra uma arquitetura do sistema trusted communication platforms (TCP) para garantir uma comunicação confiável e promover os serviços confiáveis, fornecendo evidências de comunicação confiáveis como prova.

Este documento enfoca o TCP na exibição da 7ª camada do aplicativo do Modelo de Referência OSI (Open Systems Interconnection). As audiências são os decisores políticos para a inovação de TI, como desmaterialização, especialistas jurídicos em atividades eletrônicas, planejadores de TI para janelas únicas e transações seguras, provedores de serviços de TI relacionados a redes e livros distribuídos, auditores de sistemas confiáveis, partes interessadas em comunicação confiável e assim por diante.

Conteúdo da norma

Prefácio

Introdução

1 Escopo

2 Referências normativas

3 Termos e definições

4 Comunicação confiável

4.1 Visão geral

4.2 Considerações legais

4.3 Requisitos administrativos

5 Plataforma de comunicação confiável (TCP)

5.1 Visão geral

5.2 Arquitetura do sistema TCP

5.3 Requisitos de sistema do TCP

5.4 Regras do sistema TCP

5.5 Comunicação TCP

6 Evidência de comunicação confiável (TCE)

6.1 geração TCE

6.2 Procedimento probatório

6.3 Custódia de TCE

Anexo A Modelo de referência de comunicação confiável

Anexo B TCP principal: qualidade e gestão de riscos

B.1 Geral

B.2 Gerenciamento de riscos

B.3 Gerenciamento de qualidade

B.4 Monitoramento e auditoria

Ligação de comunicação dos anexos C dos TCPSPs (um exemplo)

Bibliografia

Em meio ao grande fluxo de abertura e integração na economia mundial, as TIC (tecnologia da informação e comunicação) são usadas como um meio de inovação em produtividade e conectividade. Como a cadeia de valor de produtos e serviços é ampliada globalmente, as colaborações comerciais precisam que as comunicações eletrônicas sejam seguras em um ambiente aberto e distribuído.

Nesse sentido, os documentos eletrônicos são solicitados como prova das comunicações comerciais, enquanto isso é necessário. No entanto, pode ser difícil reconhecer documentos eletrônicos como a fonte original. Existem casos em que muitos processos dependem apenas de documentos em papel, mesmo que os documentos eletrônicos sejam amplamente implementados nos processos de negócios.

Porém, a realidade é que, mesmo que os documentos eletrônicos sejam adequadamente comunicados nas transações comerciais, a saída final dos dados pode estar em papel e armazenada na forma de cópias impressas, como evidência legal por um período de longo prazo. Assim, esse ambiente coexistente de documentos eletrônicos e documentos em papel causa quebra da cadeia de valor, resultando em produtividade lenta, ineficiência, aumento de custos e compensação do benefício obtido das TIC, a fim de melhorar essas situações.

Uma solução desmaterializante deve atender a considerações legais sobre documentos comunicados eletronicamente. Essa solução não é fácil, porque a própria comunicação eletrônica inclui as incertezas decorrentes de falhas na rede e o próprio documento eletrônico é insuficiente para proteger a integridade durante seu ciclo de vida. Enquanto isso, o problema devido ao repúdio, divulgação inadvertida ou adulteração foi considerado muito sensível para finalizar a solução de desmaterialização relacionada a transações comerciais, bem como diversos serviços governamentais, porque pode ser envolvido em disputas ou conflitos legais.

Este documento se concentra em como aprimorar a comunicação confiável em um ambiente aberto e distribuído. A comunicação confiável significa que a comunicação eletrônica pode garantir a integridade e o repúdio às transações eletrônicas por terceiros confiáveis, de forma desmaterializada, sob a orientação da United Nations Commission on International trade Law (Uncitral). Para esse ambiente aberto e distribuído, inicialmente, ele deve ser capaz de minimizar algumas dificuldades inatas em torno da desmaterialização.

Para resolver essas dificuldades, este documento aborda uma solução, formando um relacionamento confiável e orientado a terceiros de confiança mútua entre as partes interessadas e implementando uma plataforma compartilhada que seja responsável e rastreável. Em detalhe, uma plataforma de comunicação confiável precisa ser capaz de manter as evidências sobre documentos comunicados eletronicamente de maneira confiável e confiável. Para isso, é necessária uma nova abordagem, pois o ambiente de TIC existente possui alguns limites para a comunicação confiável em alguns aspectos. Embora uma transação EDI (troca eletrônica de dados) possa fornecer evidências legais sobre documentos eletrônicos intercambiados de acordo com a regra de sintaxe EDI, ela tem limitações permitidas apenas para usuários fechados da rede EDI e processos predefinidos de semântica EDI.

No caso da internet, não importa quais transações comerciais sejam comunicadas com segurança, é difícil reconhecer a legitimidade das comunicações realizadas em outros sistemas de autenticação. Nesse sentido, este documento estabelece um processo de desmaterialização refinado, permitido no ambiente de TIC aberto e distribuído, aplicável à comunicação confiável, como comércio eletrônico, administração eletrônica, comércio eletrônico e assim por diante.

A tecnologia de segurança foi usada como uma tecnologia central para documentos eletrônicos protegidos. No entanto, não basta manter a desmaterialização de documentos eletrônicos, pois é fácil quebrar a integridade no aspecto do período de segurança válido. Nesse sentido, este documento apresenta uma nova maneira que pode garantir a autenticidade da evidência de comunicação confiável por um longo período de tempo necessário como evidência legal.

Os serviços de TI em um ambiente aberto não podem identificar facilmente a originalidade das comunicações eletrônicas, contabilizando o contexto da comunicação, que é originador, destinatário (s), tempo de comunicação e assim por diante. Em relação às incertezas, como modificação, falsidade ou descoramento de documentos comunicados eletronicamente, não é fácil identificar e perguntar de quem é a responsabilidade entre várias partes interessadas.

Além disso, se a blockchain deve ser aplicada em toda a cadeia de suprimentos, é necessária uma comunicação confiável para uma conectividade perfeita. Nesse sentido, este documento pode tornar as transações comerciais responsáveis e confiáveis e, consequentemente, promover serviços de TI confiáveis. Uma evidência gerada por meio de uma plataforma de comunicação confiável pode explicar a verdade das atividades de comunicação e instalações de serviços de comunicação confiáveis.

A gestão dos serviços em tecnologia da informação

Um sistema de gestão de serviço (SGS) pode ser usado para um cliente procurando serviços e requerendo garantia relacionada à qualidade destes serviços; um cliente requerendo uma abordagem consistente para o ciclo de vida do serviço por todos os seus provedores de serviço, incluindo aqueles em uma cadeia de fornecimento; uma organização que queira demonstrar sua habilidade para o planejamento, desenho, transição, entrega e melhoria de serviços; uma organização para monitorar, medir e analisar criticamente seu SGS e os serviços; uma organização para melhorar o planejamento, o desenho, a transição, a entrega e a melhoria de serviços através da implementação e operação efetivas de um SGS; uma organização ou outra parte executando avaliações da conformidade utilizando os requisitos especificados neste documento; e um provedor de treinamento ou consultoria em gestão de serviço.

A NBR ISO/IEC 20000-1 de 03/2020 – Tecnologia da informação – Gestão de serviços – Parte 1: Requisitos do sistema de gestão de serviços especifica requisitos para uma organização estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de serviço (SGS). Os requisitos especificados neste documento incluem o planejamento, desenho, transição, entrega e melhorias de serviços para atender aos requisitos de serviço e entregar valor.

Este documento pode ser usado para um cliente procurando serviços e requerendo garantia relacionada à qualidade destes serviços; um cliente requerendo uma abordagem consistente para o ciclo de vida do serviço por todos os seus provedores de serviço, incluindo aqueles em uma cadeia de fornecimento; uma organização que queira demonstrar sua habilidade para o planejamento, desenho, transição, entrega e melhoria de serviços; uma organização para monitorar, medir e analisar criticamente seu SGS e os serviços; uma organização para melhorar o planejamento, o desenho, a transição, a entrega e a melhoria de serviços através da implementação e operação efetivas de um SGS; uma organização ou outra parte executando avaliações da conformidade utilizando os requisitos especificados neste documento; e um provedor de treinamento ou consultoria em gestão de serviço.

O termo serviço, conforme utilizado neste documento, refere-se ao serviço ou serviços no escopo do SGS. O termo organização, conforme utilizado neste documento, refere-se à organização no escopo do SGS que gerencia e entrega serviços aos clientes. Uma organização ou parte de uma organização que gerencia e entrega serviço ou serviços a clientes internos ou externos pode ser conhecida como um provedor de serviço. A organização no escopo do SGS pode ser parte de uma organização maior, por exemplo, um departamento de uma grande corporação.

Todos os requisitos especificados neste documento são genéricos e destinam-se a serem aplicáveis a todas as organizações, independentemente do seu tipo, do porte ou da natureza dos serviços entregues. A exclusão de qualquer dos requisitos nas Seções 4 a 10 não é aceitável quando uma organização declara conformidade com este documento, independentemente da natureza da organização.

A conformidade com os requisitos especificados neste documento pode ser demonstrada pela própria organização, apresentando evidência de atendimento a estes requisitos. A própria organização demonstra conformidade com as Seções 4 e 5. No entanto, a organização pode ser apoiada por outras partes. Por exemplo, outra parte pode conduzir auditorias internas em nome da organização ou apoiar a preparação do SGS.

Alternativamente, uma organização pode mostrar evidência de que detém a responsabilidade pelos requisitos especificados neste documento e demonstrar controle quando outras partes estão envolvidas em atender aos requisitos nas Seções 6 a 10 (ver 8.2.3). Por exemplo, a organização pode demonstrar evidência de controles para outras partes que estejam fornecendo componentes de serviço de infraestrutura ou operando a central de serviço, incluindo o processo de gerenciamento de incidente.

A organização não pode demonstrar conformidade com os requisitos especificados neste documento se outras partes são usadas para fornecer ou operar todos os serviços, componentes de serviço ou processos no escopo do SGS. O escopo deste documento exclui a especificação para produtos ou ferramentas. Porém, este documento pode ser usado para auxiliar no desenvolvimento ou aquisição de produtos ou ferramentas que apoiam a operação de um SGS.

Acesse algumas perguntas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais devem ser as ações para abordar riscos e oportunidades?

Como deve ser executado o planejamento do sistema de gestão de serviço?

Como fazer o controle da informação documentada?

Como deve ser feito o planejamento e controle operacional?

Este documento foi preparado para especificar requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de serviço (SGS). Um SGS apoia a gestão do ciclo de vida do serviço, incluindo o planejamento, desenho, mudança, entrega e a melhoria dos serviços,

os quais preenchem os requisitos acordados e entregam valor aos clientes, usuários e à organização que está entregando os serviços. A adoção de um SGS é uma decisão estratégica para uma organização e é influenciada pelos objetivos da organização, o corpo governante, outras partes envolvidas no ciclo de vida do serviço e a necessidade por serviços efetivos e resilientes.

A implementação e a operação de um SGS proveem visibilidade contínua, controle dos serviços e melhoria contínua, resultando em grande efetividade e eficiência. A melhoria para a gestão de serviço é aplicável ao SGS e aos serviços. Este documento é intencionalmente independente de orientação específica. A organização pode usar uma combinação de estruturas geralmente aceitas e sua própria experiencia.

Os requisitos especificados neste documento estão alinhados com metodologias de melhoria comumente utilizadas. Ferramentas apropriadas para gestão de serviço podem ser usadas para apoiar o SGS. A ISO/IEC 20000-2 fornece orientações sobre a aplicação de sistemas de gestão de serviço incluindo exemplos de como atender aos requisitos especificados neste documento. A ISO/IEC 20000-10 fornece informação sobre todas as partes da série ISO/IEC 20000, benefícios, mitos e outras normas relacionadas.

A ISO/IEC 20000-10 lista os termos e definições incluídos neste documento em acréscimo aos termos não usados neste documento, mas em outras partes da série ISO/IEC 20000-1. A estrutura de seções (por exemplo, sequência da seção), termos em 3.1 e muitos dos requisitos são retirados do Anexo SL do Suplemento ISO Consolidado às Diretivas ISO/IEC Parte 1, conhecido como a estrutura comum de alto nível (HLS) para normas de sistema de gestão. A adoção da HLS permite à organização, alinhar ou integrar múltiplas normas de sistema de gestão. Por exemplo, um SGS pode ser integrado com um sistema de gestão da qualidade com base na NBR ISO 9001 ou um sistema de gestão da segurança da informação com base na NBR ISO/IEC 27001.

A figura abaixo ilustra um SGS apresentando o conteúdo das seções deste documento. Isto não representa uma estrutura hierárquica, sequência ou níveis de autoridade. Não há nenhum requisito neste documento para sua estrutura e terminologia a ser aplicado ao SGS de uma organização. Não há nenhum requisito para os termos utilizados por uma organização a serem substituídos pelos termos utilizados neste documento.

As organizações podem escolher utilizar termos que combinem com suas operações. A estrutura de seções destina-se a prover uma apresentação coerente de requisitos, ao invés de um modelo para documentar políticas, objetivos e processos de uma organização. Cada organização pode escolher como combinar os requisitos em seus processos. O relacionamento entre cada organização e seus clientes, usuários e outras partes interessadas influencia em como os processos são implementados. No entanto, um SGS conforme desenhado por uma organização, não pode excluir quaisquer dos requisitos especificados neste documento.

A organização deve determinar questões externas e internas que sejam pertinentes ao seu propósito e que afetem sua capacidade de alcançar o(s) resultado (s) pretendido (s) de seu SGS. A palavra questão neste contexto pode se referir a fatores que tenham um impacto positivo ou negativo. Estes são fatores importantes para a organização no contexto de sua capacidade de entregar serviços com a qualidade acordada com seus clientes.

A organização deve determinar as partes interessadas que sejam pertinentes para o SGS e para os serviços; os requisitos pertinentes destas partes interessadas. Os requisitos das partes interessadas podem incluir serviço, desempenho, requisitos legais e regulatórios e obrigações contratuais relacionadas ao SGS e a os serviços.

A Alta Direção deve demonstrar liderança e comprometimento com relação ao SGS, através de assegurar que a política de gestão de serviço e os objetivos de gestão de serviço sejam estabelecidos e sejam compatíveis com o direcionamento estratégico da organização; assegurar que o plano de gestão de serviço seja criado, implementado e mantido com o intuito de apoiar a política de gestão de serviço, o atingimento dos objetivos de gestão de serviço e o atendimento aos requisitos de serviço; assegurar que níveis apropriados de autoridade sejam designados para a tomada de decisões relacionadas ao SGS e aos serviços; assegurar que o que se define como valor para a organização e seus clientes seja determinado; assegurar que exista o controle sobre outras partes envolvidas no ciclo de vida do serviço; assegurar a integração dos requisitos do SGS com os processos de negócios da organização; assegurar que os recursos necessários para a SGS e para os serviços estejam disponíveis; comunicar a importância de uma gestão de serviço eficaz, alcançando os objetivos de gestão de serviço, entregando valor e conformidade com os requisitos do SGS; assegurar que o SGS alcance seu (s) resultado (s) pretendido (s); dirigir e apoiar pessoas a contribuir para a eficácia do SGS e dos serviços; promover a melhoria contínua do SGS e dos serviços; e apoiar outros papéis de gestão pertinentes a demonstrar sua liderança conforme ela se aplica às áreas sob sua responsabilidade.

A organização deve determinar a competência necessária de pessoas que realizem o trabalho sob seu controle, que afete seu desempenho e a eficácia do SGS e dos serviços; assegurar que essas pessoas sejam competentes com base em educação, treinamento, ou experiência apropriados. Onde aplicável, deve-se tomar ações para adquirir a competência necessária e avaliar a eficácia das ações tomadas, além de reter informação documentada apropriada como evidência de competência.

As ações aplicáveis podem incluir, por exemplo, a provisão de treinamento, a mentoria ou a mudança de atribuições de pessoas empregadas no momento ou empregar ou contratar pessoas competentes. Pessoas que realizam o trabalho sob o controle da organização devem estar conscientes da política de gestão de serviço; dos objetivos da gestão de serviço; dos serviços pertinentes ao seu trabalho; da sua contribuição para a eficácia do SGS, incluindo os benefícios do desempenho melhorado; as implicações de não estar em conformidade com os requisitos do SGS.

A organização deve determinar as comunicações internas e externas relevantes para o SGS e os serviços, incluindo: sobre o que ela irá comunicar; quando comunicar; com quem se comunicar; como comunicar; quem vai ser responsável pela comunicação. Incidentes de segurança da informação devem ser registrados e classificados; priorizados levando em consideração o risco relacionado à segurança da informação; escalados caso necessário; resolvidos; fechados. A organização deve analisar os incidentes de segurança da informação por tipo, volume e impacto ao SGS, serviços e partes interessadas. Incidentes de segurança da informação devem ser reportados e analisados criticamente para identificar oportunidades de melhoria.

A salvaguarda da privacidade dos dados pessoais

A estrutura de privacidade é destinada a ajudar as organizações a estabelecerem os seus requisitos de salvaguarda de DP dentro de um ambiente TIC: especificando uma terminologia comum de privacidade; especificando os atores e os seus papéis no tratamento de DP; descrevendo os requisitos de salvaguarda da privacidade; e referenciando princípios conhecidos de privacidade.

A NBR ISO/IEC 29100 de 03/2020 – Tecnologia da informação — Técnicas de segurança — Estrutura de Privacidade fornece uma estrutura de privacidade que especifica uma terminologia comum de privacidade; especifica os atores e os seus papéis no tratamento de dados pessoais (DP); descreve considerações de salvaguarda de privacidade; e fornece referências para princípios conhecidos de privacidade para tecnologia da informação. É aplicável às pessoas naturais e organizações envolvidas na especificação, aquisição, arquitetura, concepção, desenvolvimento, teste, manutenção, administração e operação de sistemas de tecnologia da informação e comunicação ou serviços em que controles de privacidade são necessários para o tratamento de DP.

Acesse algumas dúvidas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais são os exemplos de atributos que podem ser usados para identificar pessoas naturais?

O que são dados pseudonimizados?

Quais são os fatores que influenciam a gestão de riscos de privacidade?

Como estabelecer as políticas de privacidade?

Essa norma fornece uma estrutura de alto nível para a proteção de dados pessoais (DP) dentro de sistemas de tecnologia da informação e de comunicação (TIC). Ela é geral em sua natureza e coloca os aspectos organizacionais, técnicos e processuais em uma estrutura abrangente de privacidade.

A estrutura de privacidade é destinada a ajudar as organizações a estabelecerem os seus requisitos de salvaguarda de DP dentro de um ambiente TIC: especificando uma terminologia comum de privacidade; especificando os atores e os seus papéis no tratamento de DP; descrevendo os requisitos de salvaguarda da privacidade; e referenciando princípios conhecidos de privacidade. Em algumas jurisdições, as referências deste documento aos requisitos de salvaguarda da privacidade podem ser entendidas como complementares aos requisitos legais para proteção de DP.

Devido ao crescente número de tecnologias que processam DP, é importante ter normas de segurança da informação que forneçam uma base de entendimento comum para a proteção dos DP. Esta norma destina-se a aprimorar as normas existentes de segurança, adicionando um foco pertinente para o tratamento de DP. O uso comercial e o valor crescentes dos DP, o compartilhamento de DP entre diferentes jurisdições legais e a complexidade cada vez maior dos sistemas de TIC podem tornar difícil para uma organização assegurar a privacidade e alcançar compliance com as várias leis aplicáveis.

Porém, as partes interessadas na privacidade podem prevenir o surgimento da incerteza e da desconfiança, lidando adequadamente com as questões de privacidade e evitando casos de uso dos DP. O uso dessa norma irá: ajudar no desenho, implementação, operação e manutenção de sistemas de TIC que tratem e protejam DP; incentivar soluções inovadoras que possibilitem a proteção de DP dentro dos sistemas de TIC; e melhorar os programas de privacidade nas organizações por meio do uso das melhores práticas. A estrutura de privacidade fornecida nessa norma pode servir como base para iniciativas adicionais de padronização da privacidade, como: uma arquitetura técnica de referência; implementação e uso de tecnologias específicas de privacidade e a gestão geral de privacidade; controles de privacidade para processos de dados terceirizados; avaliações de risco de privacidade; ou especificações de engenharia específicas.

Algumas jurisdições podem exigir compliance com um ou mais documentos referenciados no ISO/IEC JTC 1/SC27 WG5 Standing Documento 2 (WG 5 SD2) – Official Privacy Documents References ou com outras leis e regulamentações aplicáveis, porém, este documento não se destina a ser um modelo de política global, nem uma estrutura legislativa. Os seguintes componentes estão relacionados à privacidade e ao tratamento de DP em sistemas de TIC e compõem a estrutura de privacidade descrita nesta norma: atores e papéis; interações; reconhecimento de DP; requisitos de salvaguarda de privacidade; políticas de privacidade; e controles de privacidade.

Para o desenvolvimento desta estrutura de privacidade, conceitos, definições e recomendações de outras fontes oficiais foram levados em consideração. Estas fontes podem ser encontradas no ISO/IEC JTC 1/SC27 WG5 Documento Padrão 2 (WG 5 SD2) – Referência Oficial de Documentos de Privacidade. Para os efeitos dessa norma, é importante identificar os atores envolvidos no tratamento de DP. Existem quatro tipo de atores que podem estar envolvidos no tratamento de DP: titulares de DP, controladores de DP, operadores de DP e terceiros.

Os titulares de DP fornecem os seus DP para tratamento aos controladores de DP e operadores de DP e, quando não for previsto pela lei aplicável, eles dão consentimento e determinam as suas preferências de privacidade sobre como convém que os seus DP sejam tratados. Os titulares de DP podem incluir, por exemplo, um funcionário listado no sistema de recursos humanos de uma empresa, o consumidor mencionado em um relatório de crédito e um paciente listado em um prontuário eletrônico.

Nem sempre é necessário que a respectiva pessoa natural seja identificada diretamente pelo nome para ser considerada um titular de DP. Se a pessoa natural a quem os DP se relacionam puder ser identificada indiretamente (por exemplo, por meio de um identificador de conta, número de documento de identidade ou mesmo pela combinação de atributos disponíveis), ela será considerada o titular dos DP para esse conjunto de DP.

Um controlador de DP determina o porquê (propósito) e o como (meios) o tratamento de DP ocorrerá. Convém que o controlador de DP assegure a aderência aos princípios de privacidade desta estrutura durante o tratamento de DP sob seu controle (por exemplo, implementando os controles de privacidade necessários). Pode existir mais de um controlador de DP para o mesmo conjunto de DP ou conjunto de operações de dados realizados sobre os DP (para o mesmo ou diferentes propósitos legítimos).

Nestes casos, diferentes controladores de DP devem trabalhar conjuntamente e estabelecer os arranjos necessários para garantir que os princípios de privacidade sejam aderentes durante o tratamento de DP. Um controlador de DP também pode decidir ter todas ou parte das operações de tratamento realizadas por uma parte interessada diferente em seu nome.

Convém que os controladores de DP avaliem cuidadosamente se estão processando DP sensíveis e que implementem controles de privacidade e segurança razoáveis e apropriados com base nos requisitos estabelecidos na jurisdição pertinente, bem como em possíveis efeitos adversos para os titulares de DP, identificados durante uma avaliação de risco de privacidade. Um operador de DP realiza o tratamento de DP em nome do controlador de DP, agindo em nome dele ou conforme as instruções do controlador de DP, observando os requisitos de privacidade estipulados e implementando os controles de privacidade correspondentes. Em algumas jurisdições o operador de DP é vinculado por um contrato legal.

Um terceiro pode receber DP de um controlador de DP ou de um operador de DP. O terceiro não trata DP em nome do controlador de DP. Geralmente, o terceiro se tornará um controlador de DP por si próprio, quando receber os DP em questão. Os atores identificados na Seção anterior podem interagir entre si de várias maneiras.

Em relação aos fluxos possíveis de DP entre o titular de DP, o controlador de DP e o operador de DP, os seguintes cenários podem ser identificados: o titular de DP fornece DP para um controlador de DP (por exemplo, ao se registrar em um serviço prestado pelo controlador de DP); o controlador de DP fornece DP para um operador de DP, que realiza o tratamento de DP em nome do controlador de DP (por exemplo, como parte de um contrato de terceirização); o titular de DP fornece DP para um operador de DP, que realiza o tratamento de DP em nome do controlador de DP; o controlador de DP fornece ao titular de DP os DP que são relacionados ao titular de DP (por exemplo, respondendo a uma requisição feita pelo titular de DP); o operador de DP fornece DP ao titular de DP (por exemplo, conforme indicado pelo controlador de DP); e o operador de DP fornece DP para o controlador de DP (por exemplo, depois de ter realizado o serviço para o qual foi designado).

Os papéis do titular de DP, controlador de DP, operador de DP e um terceiro neste cenário são ilustrados na tabela abaixo. É necessário distinguir entre operadores de DP e terceiros, porque o controle legal dos DP permanece com o controlador de DP original quando ele é enviado para o operador de DP, enquanto um terceiro pode se tornar um controlador de DP por si só, uma vez que recebeu os DP em questão. Por exemplo, quando um terceiro toma a decisão de transferir DP que recebeu de um controlador de DP para outra parte, ele agirá como um controlador de DP por si só e, portanto, não será mais considerado um terceiro.

No que diz respeito aos possíveis fluxos de DP entre os controladores e operadores de DP, por um lado, e terceiros, por outro, os seguintes cenários podem ser identificados: o controlador de DP fornece DP para um terceiro (por exemplo, no contexto de um acordo comercial); e o operador de DP fornece DP para um terceiro (por exemplo, conforme indicado pelo controlador de DP). Os papéis do controlador de DP e de um terceiro nestes cenários também estão ilustrados na tabela abaixo.

Para determinar se convém que uma pessoa natural seja ou não considerada identificável, vários fatores precisam ser levados em consideração. Em particular, convém que sejam levados em consideração todos os meios que possam ser razoavelmente usados pela parte interessada na privacidade que detém os dados ou por qualquer outra parte para identificar esta pessoa natural. Convém que os sistemas de TIC suportem mecanismos que conscientizem o titular de DP de tais informações e forneçam à pessoa natural os controles apropriados sobre o compartilhamento destas informações.

As subseções a seguir fornecem esclarecimentos adicionais sobre como determinar se convém que um titular de DP seja ou não considerado identificável. Em certos casos, a identificabilidade do titular de DP pode ser muito clara (por exemplo, quando a informação contém ou está associada a um identificador que é usado para se referir ou se comunicar com o titular de DP).

As informações podem ser consideradas DP pelo menos nos seguintes casos: se elas contêm ou estão associadas a um identificador que se refere a uma pessoa natural (por exemplo, ao número do CPF); se elas contêm ou estão associadas a um identificador que pode ser relacionado a uma pessoa natural (por exemplo, um número de passaporte, uma conta bancária); se elas contêm ou estão associadas a um identificador que pode ser utilizado para estabelecer uma comunicação com uma pessoa natural identificada (por exemplo, uma localização geográfica precisa, um número de telefone); ou se elas contêm uma referência que liga os dados a qualquer dos identificadores acima.

As informações não precisam necessariamente estar associadas a um identificador para serem consideradas DP. As informações também serão consideradas DP se contiverem ou estiverem associadas a uma característica que distingue uma pessoa natural de outras pessoas naturais (por exemplo, dados biométricos). Qualquer atributo que assuma um valor que identifique exclusivamente um titular de DP é considerado uma característica distintiva.

Observar que o fato de uma determinada característica distinguir uma pessoa natural de outras pessoas naturais podem mudar, dependendo do contexto de uso. Por exemplo, embora o sobrenome de uma pessoa natural possa ser insuficiente para identificar esta pessoa em escala global, muitas vezes será suficiente para distinguir uma pessoa natural em escala de empresa. Adicionalmente, existem também situações nas quais uma pessoa natural é identificável mesmo se não existir atributo simples que a identifique unicamente.

Este é o caso onde uma combinação de vários atributos tomados juntos distingue esta pessoa natural de outras pessoas naturais. Se a pessoa natural for ou não identificável com base em uma combinação de atributos, isto pode também ser dependente de um domínio específico. Por exemplo, a combinação dos atributos “feminino”, “45” e “advogado”, pode ser suficiente para identificar uma pessoa natural em uma companhia específica, porém será sempre insuficiente para identificar uma pessoa natural fora da companhia.