A identificação inequívoca dos instrumentos financeiros

A NBR 16885 de 06/2020 – Identificador global de instrumento financeiro (FIGI) – Diretrizes fornece as diretrizes para a identificação inequívoca de instrumentos financeiros em três diferentes níveis, local/sistema de registro/negociação (nível câmara), mercado onde o instrumento financeiro é emitido/negociado (nível país) e nível global. Estas diretrizes englobam a sintaxe para a composição de um identificador global de instrumentos financeiros, o conteúdo associado a um identificador, bem como a sua relação com instrumentos financeiros e com outros identificadores de instrumentos financeiros.

Acesse algumas dúvidas relacionadas a essas normas GRATUITAMENTE no Target Genius Respostas Diretas:

O que é um identificador global composto?

Qual é o fluxo do processo de alocação de prefixos de identificador?

Como é a conformidade como provedora de identificadores?

Para que fazer a solicitação de serviço de um novo identificador?

O desenvolvimento de um identificador global de instrumento financeiro originou-se do reconhecimento de que a teoria do caos não contempla a complexidade gerada todos os dias pelos bilhões – talvez trilhões – de transações com instrumentos financeiros que realizam câmaras de compensação e bolsas de valores em todo o mundo. Quase todos os aspectos do gerenciamento de instrumentos financeiros são baseados em sistemas fechados que usam identificadores proprietários que são de propriedade restrita e utilização licenciada.

Fechar cada acordo é tanto um exercício de tradução de informações quanto de processamento de transações, já que os traders, investidores e corretores lutam com vários formatos proprietários para determinar o que é, quem é o dono, quanto vale determinado instrumento financeiro e quando uma negociação precisa ser fechada. Ele introduz uma enorme quantidade de atrito no ciclo de vida do negócio e cria opacidade onde a clareza é procurada. Além disso, o uso de identificadores proprietários acrescenta custos e despesas gerais significativos quando os usuários desejam integrar dados de fontes diferentes ou migrar para um sistema de dados de outro mercado.

A evolução das simbologias avançadas ajudou a indústria de valores mobiliários a crescer, mas as limitações e os custos impostos pelos sistemas fechados tornaram-se mais evidentes à medida que as empresas e instituições continuam a integrar as operações em uma escala global. A simbologia proprietária agora se coloca como uma das barreiras mais significativas para aumentar a eficiência e a inovação em um setor que realmente necessita dela.

Além disso, a falta de identificadores comuns é um obstáculo fundamental para alcançar o estado da arte do processamento direto (STP). Alguns pontos merecem ser destacados. As taxas de licenciamento exigem que as empresas paguem por cada sistema de símbolos que usam. As organizações internacionais arcam com um ônus especialmente pesado, porque muitas vezes precisam licenciar diversas simbologias para administrar operações comerciais em vários países.

As restrições impostas por simbologias proprietárias impedem as empresas de mapear facilmente um conjunto de códigos para outro. Isso dificulta a integração de dados de mercado de diversas fontes, bem como esforços para automatizar as atividades comerciais e de liquidação. Os consumidores de dados de mercado que adotam símbolos proprietários para uso em seus próprios sistemas não precisam pagar apenas as taxas de licenciamento, mas esses símbolos também levam a custos futuros significativos, associados aos esforços para se conectar aos sistemas comerciais emergentes.

Os ambientes de negociação proprietários podem ter funcionado bem durante anos, mas são um subproduto de uma época em que os sistemas de dados funcionavam em grande parte como ilhas que não precisavam interoperar com outros sistemas. Um nível de abordagem diferente: mercados, clientes e governos estão exigindo maior conectividade, transparência e eficiência.

Além disso, a abertura dos sistemas baseados na internet alterou profundamente a forma como as empresas e os indivíduos coletam, gerenciam e compartilham informações. Assim, além de novas regulamentações que exigem clareza e responsabilidade, a mudança para a simbologia aberta está sendo impulsionada por crescentes demandas institucionais e de investidores.

A adoção de um sistema aberto de simbologia compartilhada estabelece as bases para um tremendo salto na negociação eficiente e na liquidação de valores mobiliários, bem como no gerenciamento de dados e relatórios de instrumentos financeiros de maneira mais geral. Esse sistema permitirá que empresas e provedores de serviços de tecnologia transfiram recursos de processos trabalhosos e ineficientes para novos investimentos em ferramentas e produtos que melhor atendam aos clientes.

O rápido crescimento do processamento distribuído levou à necessidade de uma estrutura de coordenação para essa padronização e às recomendações da ISO/IEC 10746 (todas as partes); o Modelo de Referência de Processamento Distribuído Aberto (RM-ODP) fornece tal estrutura. Ele define uma arquitetura na qual o suporte de distribuição, interoperabilidade e portabilidade pode ser integrado.

A ISO/IEC 10746-2 estabelece os conceitos fundamentais e a estrutura de modelagem para descrever sistemas distribuídos. Os escopos e objetivos da ISO/IEC 10746-2 e da Linguagem de Modelagem Unificada (UML), embora relacionados, não são os mesmos e, em vários casos, a ISO/IEC 10746-2 e a especificação da UML usam o mesmo termo para conceitos relacionados, mas estes não são idênticos (por exemplo, interface). No entanto, uma especificação usando os conceitos de modelagem da ISO/IEC 10746-2 pode ser expressa usando UML com extensões apropriadas (usando estereótipos, tags e restrições).

A ISO/IEC 10746-3 especifica uma arquitetura genérica de sistemas distribuídos abertos, expressa usando os conceitos fundamentais e a estrutura estabelecida na ISO/IEC 10746-2. Devido à relação entre a UML como linguagem de modelagem e a ISO/IEC 10746-3, é fácil demonstrar que a UML é adequada como uma notação para as especificações de pontos de vista individuais definidas pelo RM-ODP.

Esta norma estabelece um método para automatizar a contagem de pontos de função, que é geralmente consistente com a versão 4.3.1 do Manual de Práticas de Contagem (CPM do inglês Counting Practices Manual), produzido pelo Grupo Internacional de Usuários de Pontos de Função (IFPUG do inglês International Function Point Users Group). As diretrizes desta norma podem diferir daquelas do CPM do IFPUG em pontos onde os julgamentos subjetivos precisavam ser substituídos pelas regras necessárias para automação. O CPM do IFPUG foi selecionado como base para esta norma, porque é a especificação de medição funcional mais amplamente utilizada, com uma grande infraestrutura de suporte mantida por uma organização profissional.

Pode-se ressaltar que um identificador global de instrumento financeiro é estruturado como uma cadeia de 12 caracteres que é semanticamente sem sentido. Como a cadeia se destina a permanecer ligada a um determinado instrumento financeiro ao longo da vida desse instrumento, além de servir como referência histórica para instrumentos financeiros obsoletos, é vital que a cadeia seja estruturada de forma a ser semanticamente neutra.

Devido à granularidade do identificador global de instrumento financeiro, existe a necessidade de vários tipos de identificadores para fornecer agrupamentos de instrumentos financeiros. Os três tipos de identificadores globais de instrumento financeiro são os seguintes: identificador global: esse é o tipo mais básico de identificador que se aplica exatamente a um único instrumento financeiro no nível mais granular. Por exemplo, ações comuns da Apple (AAPL) negociadas no mercado NASDAQ Global Select.

A granularidade desse identificador é encontrada naquilo que ele identifica. Em particular, o FIGI mais básico identifica um instrumento financeiro, onde aplicável, ao nível do local de negociação. Isto é, quando aplicável, o identificador global identifica um instrumento financeiro dentro do contexto de um local de negociação.

Um identificador global composto é, ele próprio, um identificador global que é diferenciado de um identificador global normal, na medida em que serve como “pai” em uma hierarquia de identificadores globais individuais. Por exemplo, ações comuns da AAPL negociadas no mercado NASDAQ Global Select (nível local/sistema) e em nível global, apresentadas como uma lista de identificadores globais compostos. O propósito desta versão do identificador é agrupar identificadores individuais, conforme descrito anteriormente, em agrupamentos no nível do país.

O identificador global composto só se aplica a um subconjunto limitado de identificadores globais. Em particular, aplica-se apenas àqueles identificadores globais que podem ser diferenciados com base na bolsa em que o ativo é negociado, ou na fonte de preços do ativo. Essas condições só são obtidas no caso de ações. Como tal, o identificador global composto é usado apenas no agrupamento de ações.

O identificador global da classe de ativos é semelhante a um identificador global composto, porém o identificador global da classe de ativos identifica um instrumento financeiro dentro do contexto da perspectiva global, por exemplo, ações ordinárias da Apple. Como um mecanismo de agrupamento para identificadores globais compostos, o identificador global da classe de ativos é usado apenas no agrupamento de ações.

Convém que os caracteres utilizados dentro de um identificador global de instrumento financeiro (FIGI) sejam os seguintes: todas as seguintes consoantes em maiúsculas: B, C, D, F, G, H, J, K, L, M, N, P, Q, R, S, T, V, W, X, Y, Z; os únicos dígitos inteiros são 0 – 9. Enquanto a cadeia em si é semanticamente sem sentido, existe uma estrutura específica que é usada. Convém que as regras de sintaxe para os 12 caracteres sejam as seguintes: caracteres 1 e 2: qualquer combinação de consoantes maiúsculas, com as seguintes exceções: BS, BM, GG, GB, GH, KY, VG. O objetivo desta restrição é reduzir as chances de que o identificador resultante possa ser idêntico a uma sequência do código ISIN (International Securities Identification Number) (ver ISO 6166).

Estritamente falando, uma duplicata não é um problema, pois as strings designam coisas diferentes, mas mesmo assim foi tomado cuidado para reduzir a ambiguidade. A maneira que o ISIN é construído é que os dois primeiros caracteres correspondem ao país de emissão. O terceiro caractere, dependendo da organização emissora, é tipicamente um numeral. No entanto, no caso do Reino Unido, a letra “G” é atribuída. Como está sendo usada a letra “G” como o caractere 3, as únicas combinações que podem surgir dentro do ISIN que somente incorporam consoantes são BSG (Bahamas), BMG (Bermudas), GGG (Guernsey), GBG (Reino Unido) e VGG (Ilhas Virgens Britânicas).

A razão para isso é que o Reino Unido emite números ISIN para entidades dentro de sua jurisdição mais ampla. A alocação dos prefixos para diferentes Provedores Certificados (PC) é especificada no Anexo A. O caractere 3: a letra maiúscula G (para global); o caractere 4-11: qualquer combinação de consoantes maiúsculas e algarismos 0 – 9; caracteres 12: um dígito de verificação (0 – 9) calculado da seguinte forma: as letras são convertidas em números inteiros, conforme a tabela abaixo.

Usando os primeiros 11 caracteres, começando no último caractere em formato inteiro e trabalhando da direita para a esquerda, cada segundo inteiro é multiplicado por dois. A sequência de inteiros resultante (números maiores que 10 se tornam dois dígitos separados) é somada. Subtrair o total do próximo inteiro mais alto que termina em zero. Se o total obtido ao somar os dígitos for um inteiro terminando em zero, convém que o dígito de verificação seja zero.

Embora o identificador global esteja no centro desta norma, um conjunto de campos complementares está associado ao identificador, sendo dois dos quais instâncias especiais do próprio identificador. A necessidade dos pontos de dados adicionais é amplamente uma função da granularidade do identificador global. Como o identificador global serve para identificar instrumentos financeiros no nível mais granular possível, é muito útil especificar claramente os diferenciadores que constituem a granularidade.

Para esse fim, vários elementos-chave de dados estão associados a cada identificador global, que servem para destacar os recursos de diferenciação, além de fornecer informações adicionais sobre o instrumento financeiro, como, por exemplo, o seu nome. Os instrumentos financeiros são, pela sua natureza, coisas que podem ser compradas ou vendidas. Os instrumentos financeiros de que esta norma trata são comprados ou vendidos em uma bolsa de valores.

Como o identificador global atribui identificadores exclusivos aos instrumentos financeiros no nível mais granular possível, convém especificar o local no qual o instrumento financeiro individual é negociado. Convém que o identificador global seja agrupado, juntamente com a fonte de preços, como um código associado. Os códigos dos locais de negociação estão associados aos instrumentos financeiros por meio da propriedade de objeto “has” que é usado em vez de uma propriedade de objeto mais descritiva, como “hasAssociatedCode”, para alavancar os recursos de raciocínio e ser “mapeável” para as relações da Ontologia de Negócios da Indústria Financeira (FIBO).

O nome do instrumento financeiro é o nome da empresa e, às vezes, pode incluir uma breve descrição do instrumento financeiro. O nome de um instrumento pode mudar em conjunto com eventos corporativos. Conforme mencionado anteriormente, convém que o identificador associado ao instrumento financeiro não seja alterado em resposta a tal evento. Em muitos casos, como, por exemplo, ações ordinárias, o nome do instrumento financeiro também é o nome do órgão emissor.

Isso não é suficiente para individualizar o instrumento financeiro, uma vez que as organizações emitem instrumentos financeiros com exatamente o mesmo nome, mas que são negociados em diferentes bolsas. Esta é uma distinção que está ausente em outros identificadores, mas serve como uma característica particular para o FIGI.

Como definir os elementos consistentes dos metadados

O propósito deste modelo é permitir a descrição padronizada de documentos de arquivo e entidades contextuais críticas para documentos de arquivo, fornecer uma compreensão comum dos pontos fixos de agregação para permitir a interoperabilidade de documentos de arquivo e informações relevantes para documentos de arquivo entre sistemas organizacionais e permitir reutilização e padronização de metadados para gerenciar documentos de arquivo ao longo do tempo, espaço e entre aplicações.

A NBR ISO 23081-2 de 04/2020 – Informação e documentação — Gerenciamento de metadados para documentos de arquivo – Parte 2: Problemas conceituais e implementação estabelece um modelo para definir os elementos de metadados consistentes com os princípios e as considerações de implementação descritos na NBR ISO 23081-1. O propósito deste modelo é permitir a descrição padronizada de documentos de arquivo e entidades contextuais críticas para documentos de arquivo, fornecer uma compreensão comum dos pontos fixos de agregação para permitir a interoperabilidade de documentos de arquivo e informações relevantes para documentos de arquivo entre sistemas organizacionais e permitir reutilização e padronização de metadados para gerenciar documentos de arquivo ao longo do tempo, espaço e entre aplicações. Ela também identifica alguns dos pontos de decisão críticos que precisam ser abordados e documentados para permitir a implementação de metadados para gerenciar documentos de arquivo. Ela visa identificar os problemas que precisam ser abordados na implementação de metadados para gerenciamento de documentos de arquivo, identificar e explicar as várias opções para abordar as questões, e identificar vários caminhos para tomar decisões e escolher opções na implementação de metadados para gerenciar documentos de arquivo.

Acesse algumas dúvidas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais as relações entre entidades nos metadados?

Quais são os conceitos relativos à implementação de metadados?

Por que os metadados podem ser herdados de um agregado superior para um inferior?

Qual o modelo de metadados para gerenciar documentos de arquivo?

A série NBR ISO 23081 descreve metadados para documentos de arquivo. Esta parte 2 concentra-se no modelo de definição de elementos de metadados para gestão de documentos de arquivo, e fornece uma declaração genérica de elementos de metadados, sejam estes físicos, analógicos ou digitais, de acordo com os princípios da NBR ISO 23081-1. Ela fornece uma fundamentação sólida dos metadados para gerenciar documentos de arquivo em organizações, modelos conceituais de metadados e um conjunto de elementos de alto nível de metadados genéricos, adequados para qualquer ambiente de documentos de arquivo.

Abrange, por exemplo, implementações atuais de gestão de documentos de arquivo ou arquivísticas. Ela define os tipos genéricos de metadados, tanto para entidades de documentos de arquivo quanto para outras entidades que precisam ser gerenciadas para documentar e entender o contexto dos documentos de arquivos. Esta parte 2 também identifica, para entidades-chave, um número mínimo de camadas de agregação fixas que são necessárias para fins de interoperabilidade. Os modelos e os tipos de metadados genéricos delineados nesta parte são principalmente focados na entidade documentos de arquivo.

No entanto, eles também são relevantes para as outras entidades. Não estabelece um conjunto específico de elementos de metadados. Em vez disso, ela identifica tipos genéricos de metadados que são necessários para cumprir os requisitos para gerenciar documentos de arquivo. Essa abordagem fornece às organizações a flexibilidade para selecionar metadados específicos para atender aos requisitos de seus negócios e gerenciar seus documentos de arquivo enquanto eles são necessários.

Ela fornece diagramas para determinar os elementos de metadados que podem ser definidos em uma implementação específica e os que podem ser aplicados a cada agregação das entidades definidas. Ela reconhece que essas entidades podem existir em diferentes camadas de agregação. Ela define tipos de metadados genéricos que podem ser aplicados em todas as camadas de agregação, ao mesmo tempo em que alerta aos implementadores para elementos de metadados que só podem ser aplicados em camadas de agregação específicas.

A implementação de metadados para gerenciar documentos de arquivo usando parâmetros organizacionais e de sistema envolve uma série de escolhas, que são determinadas pelas conjunturas da organização, pelos sistemas instalados e pelos requisitos para gerenciar documentos de arquivo. Com base nos princípios da NBR ISO 23081-1, esta parte 2 fornece explicações adicionais sobre os conceitos subjacentes de esquemas de metadados para gerenciar documentos de arquivo, oferece orientações práticas para o desenvolvimento e construção desses esquemas do ponto de vista organizacional e, finalmente, aborda questões relacionadas à implementação e ao gerenciamento de metadados ao longo do tempo.

Destina-se a arquivistas (ou pessoas atribuídas dentro de uma organização para gerenciar documentos de arquivo em qualquer ambiente) responsáveis pela definição de metadados para gerenciar documentos de arquivo em qualquer camada de agregação em um sistema de negócios ou software de documentos de arquivo dedicado, sistemas/analistas de negócio responsáveis pela identificação de metadados para gerenciar documentos de arquivo em sistemas de negócio, arquivistas ou analistas de sistemas que abordam os requisitos de interoperabilidade do sistema envolvendo documentos de arquivo, e fabricante de software, como fornecedores de aplicativos que apoiam e permitem a definição, captura e gestão de metadados ao longo do tempo. As organizações precisam de sistemas de informação que capturem e gerenciem informações contextuais adequadas para auxiliar o uso, compreensão, gerenciamento e acesso a documentos de arquivo ao longo do tempo.

Esta informação é crítica para assegurar autenticidade, confiabilidade, integridade, usabilidade e qualidades probatórias de documentos de arquivo. Coletivamente, essa informação é conhecida como metadados para gerenciamento de documentos de arquivo. Os metadados para gerenciar documentos de arquivo podem ser usados para uma variedade de propósitos dentro de uma organização, apoiando, identificando, autenticando, descrevendo, localizando e gerenciando seus recursos de forma sistemática e consistente para atender às necessidades de negócio, responsabilidade e requisitos societários das organizações.

O software de documentos de arquivo e os sistemas de negócio com funcionalidade de gerenciamento de registros gerenciam documentos de arquivo, capturando e gerenciando os seus metadados e o contexto de sua produção e uso. Os documentos de arquivo, particularmente sob a forma de transações eletrônicas, podem existir fora do software de documentos de arquivo formais, muitas vezes sendo produzidos em sistemas de negócio que atendem a fins específicos (por exemplo, sistemas de licenciamento).

Os documentos de arquivo são usados e compreendidos por pessoas que possuem ou têm acesso a conhecimentos suficientes sobre os processos que estão sendo realizados ou por pessoas que estão envolvidas na transação dos documentos de arquivo gerados e seu contexto imediato. Tais documentos de arquivo nem sempre são robustos, por razões que incluem as ligações contextuais que podem não ser escritas e depender da memória individual e do grupo.

Essa confiança no entendimento contextual não escrito não é confiável; algumas pessoas têm acesso a mais conhecimento do que outras; ao longo do tempo, a usabilidade dos documentos de arquivo será comprometida pelo movimento do pessoal e pela diminuição da memória corporativa. Os documentos de arquivo muitas vezes não possuem informações explícitas necessárias para identificar os componentes de uma transação fora do contexto de negócio específico e, portanto, são difíceis de intercambiar com outros sistemas de negócio relacionados aos fins de interoperabilidade.

Os processos de gestão necessários para assegurar a sustentabilidade dos documentos de arquivo ao longo do tempo, que eles requerem, geralmente não são uma característica de tais sistemas. Existem limites práticos para a quantidade de informações contextuais que podem ser explicitadas e capturadas em um determinado sistema na forma de metadados. O contexto é infinito, enquanto um único sistema de informação possui limites finitos. Outras informações contextuais sempre existirão fora dos limites de qualquer sistema. Um único sistema de software de documentos de arquivo precisa capturar o máximo de metadados que forem considerados úteis para que o sistema e seus usuários interpretem e gerenciem os documentos de arquivo pelo tempo que forem necessários no sistema e para permitir a migração daqueles documentos de arquivo requeridos fora do sistema.

Os bons esquemas de metadados são dinâmicos e podem incluir metadados adicionais para gerenciar documentos de arquivo conforme necessário ao longo do tempo. Muitos metadados para gerenciar documentos de arquivo podem ser obtidos de outros sistemas de informação. Para que eles sejam úteis em um sistema de gerenciamento de documentos de arquivo, eles precisam ser estruturados e organizados de forma padronizada.

Os metadados padronizados são um pré-requisito essencial para a interoperabilidade do sistema de informação dentro e entre organizações. Os metadados para gerenciar documentos de arquivo não só descrevem seus atributos, de forma a permitir seu gerenciamento e uso/reutilização, mas também documentam as relações entre os documentos de arquivo e os agentes que os definem e os usam, além dos eventos ou circunstâncias em que os documentos de arquivo são produzidos e utilizados. Os metadados apoiam a busca de informações e a manutenção de sua autenticidade.

As organizações precisam produzir documentos de arquivo de suas transações e mantê-los enquanto forem necessários. Isso pode ser feito somente se os sistemas de negócio das organizações capturarem metadados de documentos de arquivo de acordo com os requisitos organizacionais para gerenciá-los. O quanto melhor um sistema gerencia documentos de arquivo é em grande parte dependente das funcionalidades de metadados do sistema. As relações entre os sistemas de negócio e os sistemas de softwares específicos de documentos de arquivo estão sujeitas às decisões nas implementações, conforme descrito na Seção 11.

A interoperabilidade refere-se à capacidade de dois ou mais sistemas automatizados de trocar informações e reconhecer, processar e usar essas informações com sucesso. Os sistemas interoperáveis precisam ser capazes de funcionar simultaneamente em níveis técnicos, semânticos e sintáticos. Os metadados padronizados são um pré-requisito essencial para a interoperabilidade do sistema de informação.

Os metadados padronizados para gerenciar documentos de arquivo ajudam a permitir a interoperabilidade da seguinte maneira: entre sistemas de negócio dentro de uma organização (por exemplo, entre os sistemas que apoiam um processo de negócio e aqueles que oferecem apoio a outros processos de negócio em toda a organização); entre sistemas de negócio que produzem documentos de arquivo e software de documentos de arquivo que os administram como documentos de arquivo; entre sistemas de negócio durante a migração de um sistema; entre várias organizações envolvidas na condução de processos de negócio (por exemplo, em uma cadeia de gerenciamento ou transações de comércio eletrônico); entre organizações para uma variedade de outros propósitos do negócio (por exemplo, na realização de transações compartilhadas ou transferência de documentos de arquivo para um terceiro); ao longo do tempo entre os sistemas de negócio que produzem documentos de arquivo e sistemas arquivísticos que os preservam. Ao apoiar a interoperabilidade, os metadados para gerenciar documentos de arquivo permitem a descoberta de recursos em sistemas de negócio, bem como em software de documentos de arquivo.

Os esquemas de metadados podem ser adaptados aos requisitos organizacionais para mitigação dos riscos. As organizações especificarão elementos que devem estar presentes para que os documentos de arquivo sejam confiáveis, autênticos e íntegros. Outros elementos serão opcionais, para inclusão, a critério das subunidades de organizações, ou para sistemas de negócio específicos dentro das organizações.

Ao considerar estratégias de implementação de metadados, recomenda-se que as organizações identifiquem os riscos que existem, considerem o grau de risco envolvido e garantam que a estratégia de implementação: forneça acesso aos sistemas de negócio críticos ao longo do tempo, satisfaça os requisitos legais de autenticidade e confiabilidade, e seja sustentável a partir de uma perspectiva de recursos ao longo do tempo. Os metadados estruturados para gerenciamento de documentos de arquivo, em combinação com boas funcionalidades de sistemas de busca, apoiam o acesso e a recuperação de documentos de arquivo em toda a organização. Isso maximiza a capacidade das pessoas de encontrar documentos de arquivo relevantes de forma rápida e fácil, quando precisam.

Além disso, os metadados de documentos de arquivo estruturados permitem que as informações sejam recuperadas no contexto do negócio, aumentando assim a compreensão e a confiabilidade das informações recuperadas para reutilização. Um investimento inicial, relativamente pequeno, em bons metadados, pode melhorar a qualidade e reduzir os custos de recuperação de informações para a organização. Os metadados para gerenciar documentos de arquivo podem ser usados para reduzir o risco de uso não autorizado. Metadados são necessários para especificar se o acesso aos documentos de arquivo é restrito.

Recomenda-se que somente aqueles com autorização apropriada tenham acesso aos documentos de arquivo. Convém que quaisquer instâncias de acesso sejam documentadas como metadados. Os metadados de controle de acesso são vitais para assegurar os interesses legais e de negócio da organização. Eles asseguram o gerenciamento adequado da confidencialidade e privacidade de informações pessoais e outras restrições de uso e segurança identificadas nos documentos de arquivo de uma organização.

Com a mudança da estrutura, função ou processo de trabalho de uma organização, ocorre uma alteração nas responsabilidades para as atividades do negócio. A implementação de metadados de documentos de arquivo padronizados e estruturados ajudam a identificar os documentos de arquivo apropriados para serem movidos em todos os sistemas e limites organizacionais. Esses metadados padronizados também ajudam a extrair documentos de arquivo de um sistema e importá-los para outros sistemas, preservando a ligação contextual, independentemente de qualquer sistema de negócio particular.

Os documentos de arquivo digitais dependem de metadados para sua existência, gestão e uso futuro. As características dos documentos de arquivo (ISO 15489-1:2001, 7.2), em todos os formatos, são definidas nos metadados dos documentos de arquivo. Assegurar a preservação dos documentos de arquivo, incluindo seus metadados, em formato eletrônico, exige conformidade com padrões de metadados estáveis, estruturados e bem definidos, para sua sustentabilidade em atualizações ou mudanças de software. A preservação dos documentos de arquivo digitais, enquanto eles são necessários, pode envolver uma série de estratégias (ver Seção 11), mas todas as estratégias dependem da existência de metadados padronizados para gerenciar documentos de arquivo.

Muitas das informações necessárias para documentar e descrever os documentos de arquivo e seu contexto em sistemas arquivísticos podem ser obtidas a partir dos metadados em software de documentos de arquivo. Recomenda-se que esta interligação seja tão perfeita quanto possível. Capturar metadados para gerenciar documentos de arquivo de acordo com um esquema padronizado torna esse processo mais fácil de implementar.

Conforme indicado na ISO 23081-1:2006, Seção 6, recomenda-se que estratégias de metadados sejam tratadas como parte integrante, ou explicitamente relacionada, a uma estratégia mais ampla de gerenciamento de informações e documentos de arquivo da organização. A este respeito, convém que seja elaborada uma política clara relacionada aos metadados, seja como uma área de política autônoma separada, ligada ao modelo de políticas de documentos de arquivo existente ou mesmo como uma parte integrante e distinta das políticas de documentos de arquivo organizacionais existentes.

Em ambos os casos, recomenda-se que as organizações identifiquem e atribuam funções e responsabilidades, incluindo responsabilidades para assegurar a qualidade de metadados; identifiquem os requisitos de confiabilidade, acessibilidade, recuperação, manutenção e segurança de metadados; selecionem padrões ou esquema de metadados aplicáveis; identifiquem e estabeleçam regras para a aplicação de esquemas de codificação de metadados (vocabulários controlados, esquemas de sintaxe); determinem normas técnicas a serem utilizadas na implementação; identifiquem como a política de metadados para gerenciar documentos de arquivo se relaciona a outras políticas ou esquemas de metadados que estão em uso na organização; identifiquem critérios e metodologias de avaliação para determinar a conformidade e a eficácia da política; desenvolvam estratégias de monitoramento e avaliação para acompanhar a política; determinem como a política será mantida atualizada, de acordo com as atividades do negócio.

Recomenda-se que qualquer política permita diferentes níveis de implementação. Convém identificar o nível e a forma a serem alcançados. Recomenda-se que uma política também identifique as áreas mais críticas e requeira atenção especial em relação às estratégias de implementação de metadados, como sustentabilidade, acessibilidade, identificação de documentos de arquivo vitais, preservação e análise de risco.

Em conformidade com o modelo estabelecido de funções e responsabilidades para os documentos de arquivo (ver ISO 15489-1:2001, 6.3), recomenda-se que a responsabilidade pelo desenvolvimento, implementação e manutenção de modelos de metadados para gerenciamento de documento de arquivo seja atribuída aos arquivistas, em associação com outros funcionários da organização, como da área de tecnologia da informação ou profissionais da área jurídica, conforme apropriado. Esta responsabilidade inclui analisar as necessidades da organização de metadados para gerenciar documentos de arquivo baseados nos requisitos do negócio; monitorar e analisar a evolução da organização em relação aos metadados, em particular os requisitos para o gerenciamento dos documentos de arquivo; assegurar que os esquemas de metadados para gerenciamento de documentos de arquivo sejam desenvolvidos de acordo com as melhores práticas e com as normas aplicáveis da indústria; desenvolver o modelo de metadados para gerenciar documentos de arquivo, incluindo o esquema de metadados, e as normas organizacionais relacionados e as regras para utilizar o modelo; identificar ou desenvolver esquemas de codificação de metadados apropriados, refinamentos de elementos e qualificadores, por exemplo, plano de classificação; manter o esquema de metadados atualizado e alinhado com as necessidades do negócio; gerenciar o esquema de metadados também como um documento de arquivo; manter a qualidade geral dos metadados definidos por máquina e por seres humanos, particularmente no que se refere à sua precisão, integridade, autenticidade, usabilidade e confiabilidade; coordenar as questões de implementação entre os documentos de arquivo e o pessoal de tecnologia da informação; realizar a coordenação com os proprietários dos sistemas de negócio para assegurar a integração dos metadados de gerenciamento de documentos de arquivo, conforme apropriado; realizar a coordenação com autoridades/processos arquivísticos para assegurar a interoperabilidade entre o software de documentos de arquivo e os ambientes de arquivamento de documentos de arquivo que possuem valor permanente; elaborar um programa e rotina de treinamento dos agentes sobre o uso e a aplicação do esquema de metadados; comunicar sobre o esquema de metadados dentro da organização.

Os sistemas desenvolvidos para gerenciar documentos de arquivo requerem metadados que apoiam processos de arquivos ou mesmo de gerenciamento de documentos de arquivo. Um dos principais usos dos metadados é representar entidades a partir do ambiente de negócio no sistema de negócio. As entidades apoiam a perspectiva dos documentos de arquivo para entender o ambiente de negócio, mas eles não são em si mesmos objetos sempre tangíveis.

A figura abaixo especifica o modelo conceitual de entidade e apoia qualquer número de entidades, mas de particular importância são as seguintes: os próprios documentos de arquivo sejam um documento individual ou agregações de documentos de arquivo (conhecidos como entidades de registro); as pessoas ou estruturas de organização no ambiente de negócio (conhecidas como entidades agente); transações de negócio (conhecidas como entidades de negócio); as regras que regem a transação e documentação de negócio (conhecidas como entidades competentes).

Não se espera que todas as implementações desta parte da NBR ISO 23081 implementem diretamente todas as classes de entidades descritas. Tais decisões dependerão da capacidade de assegurar ligações contínuas descritas entre as várias classes de entidades. As incertezas sobre a persistência podem levar a implementações centradas em documentos de arquivo, onde metadados sobre outras classes de entidades são trazidos explicitamente para dentro dos limites da própria classe de documento de arquivo.

Tais implementações achatam o modelo de entidade e incluem a informação sobre as classes faltantes de entidades dentro de outras entidades. Por exemplo, uma implementação que não contenha classes de agentes, determinações ou de negócio pode incluir as informações necessárias para a implementação da classe de documento de arquivo.

As orientações para a gestão da segurança da informação

Conheça as orientações sobre os requisitos para um sistema de gestão de segurança da informação (SGSI) conforme especificado na NBR ISO/IEC 27001.

A NBR ISO/IEC 27003 de 04/2020 – Tecnologia da informação — Técnicas de segurança — Sistemas de gestão da segurança da informação — Orientações fornece explicações e orientações sobre a NBR ISO/IEC 27001:2013.

Acesse algumas questões relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Como entender as necessidades e expectativas das partes interessadas?

Quais as orientações para estabelecer o escopo de um SGSI?

Por que a liderança e o comprometimento são essenciais para um sistema de gestão de segurança da informação (SGSI) efetivo?

Quais as orientações para uma política de segurança?

Este documento fornece orientações sobre os requisitos para um sistema de gestão de segurança da informação (SGSI) conforme especificado na NBR ISO/IEC 27001 e fornece recomendações (‘Convém que’), possibilidades (‘pode’) e permissões (‘pode’) em relação a eles. Não é a intenção de este documento fornecer orientações gerais sobre todos os aspectos de segurança da informação. As Seções 4 a 10 deste documento espelham a estrutura da NBR ISO/IEC 27001:2013. Este documento não adiciona quaisquer novos requisitos para um SGSI e seus termos e definições relacionados.

Convém que as organizações consultem a ABNT NBR ISO/IEC 27001 e a ISO/IEC 27000 para requisitos e definições. As organizações implementando um SGSI não estão sob qualquer obrigação de observar as orientações deste documento. Um SGSI enfatiza a importância das seguintes fases: compreender as necessidades da organização e a necessidade de estabelecer política de segurança da informação e objetivos de segurança da informação; avaliar a organização, e os riscos relacionados à segurança da informação; implementar e operar processos, controles e outras medidas de segurança da informação para o tratamento de riscos; fiscalizar e analisar o desempenho e a eficácia do SGSI; e praticar a melhoria contínua.

Um SGSI, semelhante a qualquer outro tipo de sistema de gestão, inclui os seguintes componentes principais: política; pessoal com responsabilidades definidas; processos de gestão relacionados com o estabelecimento de política; provisão de conscientização e competência; planejamento; implementação; operação; avaliação de desempenho; análise crítica pela direção; melhoria; e informação documentada. Um SGSI tem componentes principais adicionais, como: avaliação de riscos de segurança da informação; e tratamento de riscos de segurança da informação, incluindo a determinação e a implementação de controles.

Este documento é genérico e se destina a ser aplicável a todas as organizações, independentemente do tipo, tamanho ou natureza. Convém que a organização identifique que parte destas orientações se aplica a ela de acordo com o seu contexto organizacional específico (ver NBR ISO/IEC 27001:2013, Seção 4). Por exemplo, algumas orientações podem ser mais adequadas para grandes organizações, mas para organizações muito pequenas (por exemplo, com menos de dez pessoas) algumas das orientações podem ser desnecessárias ou inadequadas.

As descrições das Seções 4 a 10 são estruturadas da seguinte forma: Atividade necessária: apresenta as principais atividades necessárias na subseção correspondente da NBR ISO/IEC 27001; Explicação: explica o que os requisitos da NBR ISO/IEC 27001 demandam; Orientações: fornece informações mais detalhadas ou de apoio para implementar a “atividade necessária”, incluindo exemplos para implementação; e Outras informações: fornece mais informações que podem ser consideradas.

As NBR ISO/IEC 27003, NBR ISO/IEC 27004 e NBR ISO/IEC 27005 formam um conjunto de documentos que dão suporte e orientações para a NBR ISO/IEC 27001:2013. Dentre esses documentos, a NBR ISO/IEC 27003 é um documento básico e abrangente que fornece orientações para todos os requisitos da NBR ISO/IEC 27001, mas não tem descrições detalhadas sobre “monitoramento, medição, análise e avaliação” e gestão de riscos de segurança da informação.

As NBR ISO/IEC 27004 e ABNT NBR ISO/IEC 27005 focam em conteúdos específicos e fornecem orientações mais detalhadas sobre “monitoramento, medição, análise e avaliação” e gestão de riscos de segurança da informação. Existem várias referências explícitas à informação documentada na NBR ISO/IEC 27001. No entanto, uma organização pode reter informações documentadas adicionais que considera necessárias para a eficácia do seu sistema de gestão como parte de sua resposta à NBR ISO/IEC 27001:2013, 7.5.1 b).

Nestes casos, este documento usa a frase “Informação documentada sobre esta atividade e o seu resultado é mandatório somente na forma e na medida em que a organização determina como necessário para a eficácia do seu sistema de gestão (ver NBR ISO/IEC 27001:2013, 7.5.1 b)”. A organização determina questões externas e internas relevantes para sua finalidade e que afetam a sua habilidade para obter o (s) resultado (s) pretendido (s) do sistema de gestão da segurança da informação (SGSI).

Como uma função integrante do SGSI, a organização analisa constantemente a si própria e o mundo que a rodeia. Esta análise está preocupada com questões internas e externas que de alguma maneira afetam a segurança da informação e como a segurança da informação pode ser gerida, e que são relevantes para os objetivos da organização. A análise destas questões tem três objetivos: entender o contexto a fim de decidir o escopo do SGSI; analisar o contexto para determinar riscos e oportunidades; e assegurar que o SGSI esteja adaptado para mudar questões externas e internas.

Questões externas são aquelas que estão fora do controle da organização. Isso é frequentemente referido como o ambiente da organização. A análise deste ambiente pode incluir os seguintes aspectos: social e cultural; político, jurídico, normativo e regulatório; financeiro e macroeconômico; tecnológico; natural; e competitivo. Estes aspectos do ambiente da organização apresentam continuamente questões que afetam a segurança da informação e como a segurança da informação pode ser gerida. As questões externas relevantes dependem da situação e das prioridades específicas da organização.

Por exemplo, questões externas para uma organização específica podem incluir: implicações legais do uso de um serviço de TI terceirizado (aspecto legal); características da natureza em termos de possibilidade de desastres como incêndios, inundações e terremotos (aspecto natural); avanços técnicos de ferramentas de invasão e uso de criptografia (aspecto tecnológico); e demanda geral por serviços da organização (aspectos sociais, culturais ou financeiros).

Questões internas estão sujeitas ao controle da organização. A análise das questões internas pode incluir os seguintes aspectos: cultura da organização; políticas, objetivos e estratégias para alcançá-los; governança, estrutura organizacional, funções e responsabilidades; normas, diretrizes e modelos adotados pela organização; relações contratuais que podem afetar diretamente os processos da organização incluídos no escopo do SGSI; processos e procedimentos; capacidades, em termos de recursos e de conhecimento (por exemplo, capital, tempo, pessoas, processos, sistemas e tecnologias); infraestrutura e ambiente físicos; sistemas de informação, fluxos de informação e processos de tomada de decisão (ambos formal e informal); e auditorias anteriores ou resultados de análise de riscos anteriores. Os resultados desta atividade são usados em 4.3, 6.1 e 9.3.

Com base em um entendimento da finalidade da organização (por exemplo, se referindo a sua declaração de missão ou plano de negócios), bem como o(s) resultado(s) pretendido(s) do SGSI da organização, convém para a organização: analisar criticamente o ambiente externo para identificar questões externas relevantes; e analisar criticamente os aspectos internos para identificar questões internas relevantes. A fim de identificar questões relevantes, a seguinte pergunta pode ser feita: Como uma determinada categoria de questões (ver 4.1 a) a t)) afetam os objetivos de segurança da informação?

Três exemplos de questões internas servem como uma ilustração de: EXEMPLO 1 Sobre a governança e a estrutura organizacional (ver 4.1 m)): Ao estabelecer um SGSI, convém considerar a governança e as estruturas organizacionais já existentes. Como um exemplo, a organização pode modelar a estrutura do seu SGSI com base na estrutura de outros sistemas de gestão existentes, e pode combinar funções comuns, como análise crítica pela direção e auditoria.

EXEMPLO 2 Sobre a política, objetivos e estratégias (ver 4.1 l)): Uma análise das políticas, objetivos e estratégias existentes pode indicar o que a organização pretende obter e como os objetivos de segurança da informação podem ser alinhados com os objetivos de negócio para assegurar resultados bem-sucedidos. EXEMPLO 3 Sobre os sistemas de informação e fluxos de informação (ver 4.1 s)): Quando determinar questões internas, convém à organização identificar, a um nível de detalhe suficiente, os fluxos de informação entre os seus vários sistemas de informação.

Como tanto as questões internas e externas irão mudar ao longo do tempo, convém serem analisadas criticamente, de forma periódica, as questões e a sua influência sobre o escopo, restrições e requisitos do SGSI. Informação documentada sobre esta atividade e os seus resultados é mandatória somente na forma e na medida em que a organização determina como necessária para a eficácia do seu sistema de gestão (ver NBR ISO/IEC 27001:2013, 7.5.1 b).

Na ISO/IEC 27000, a definição de “organização” possui uma nota que diz: “O conceito de organização inclui, mas não se limita a, comerciante independente, companhia, corporação, firma, empresa, autoridade, parceria, caridade ou instituição, ou parte ou combinação destas, incorporadas ou não, pública ou privada”. Alguns destes exemplos são entidades jurídicas em sua totalidade, enquanto outros não são.

BS ISO 19626-1: as plataformas de comunicação confiáveis para documentos eletrônicos

Essa norma internacional, editada pelo BSI em 2020, define os requisitos sobre a comunicação confiável em considerações legais, administrativas e técnicas. Este documento mostra uma arquitetura do sistema trusted communication platforms (TCP) para garantir uma comunicação confiável e promover os serviços confiáveis, fornecendo evidências de comunicação confiáveis como prova.

A BS ISO 19626-1:2020 – Processes, data elements and documents in commerce, industry and administration. Trusted communication platforms for electronic documents. Fundamentals define os requisitos sobre a comunicação confiável em considerações legais, administrativas e técnicas. Este documento mostra uma arquitetura do sistema trusted communication platforms (TCP) para garantir uma comunicação confiável e promover os serviços confiáveis, fornecendo evidências de comunicação confiáveis como prova.

Este documento enfoca o TCP na exibição da 7ª camada do aplicativo do Modelo de Referência OSI (Open Systems Interconnection). As audiências são os decisores políticos para a inovação de TI, como desmaterialização, especialistas jurídicos em atividades eletrônicas, planejadores de TI para janelas únicas e transações seguras, provedores de serviços de TI relacionados a redes e livros distribuídos, auditores de sistemas confiáveis, partes interessadas em comunicação confiável e assim por diante.

Conteúdo da norma

Prefácio

Introdução

1 Escopo

2 Referências normativas

3 Termos e definições

4 Comunicação confiável

4.1 Visão geral

4.2 Considerações legais

4.3 Requisitos administrativos

5 Plataforma de comunicação confiável (TCP)

5.1 Visão geral

5.2 Arquitetura do sistema TCP

5.3 Requisitos de sistema do TCP

5.4 Regras do sistema TCP

5.5 Comunicação TCP

6 Evidência de comunicação confiável (TCE)

6.1 geração TCE

6.2 Procedimento probatório

6.3 Custódia de TCE

Anexo A Modelo de referência de comunicação confiável

Anexo B TCP principal: qualidade e gestão de riscos

B.1 Geral

B.2 Gerenciamento de riscos

B.3 Gerenciamento de qualidade

B.4 Monitoramento e auditoria

Ligação de comunicação dos anexos C dos TCPSPs (um exemplo)

Bibliografia

Em meio ao grande fluxo de abertura e integração na economia mundial, as TIC (tecnologia da informação e comunicação) são usadas como um meio de inovação em produtividade e conectividade. Como a cadeia de valor de produtos e serviços é ampliada globalmente, as colaborações comerciais precisam que as comunicações eletrônicas sejam seguras em um ambiente aberto e distribuído.

Nesse sentido, os documentos eletrônicos são solicitados como prova das comunicações comerciais, enquanto isso é necessário. No entanto, pode ser difícil reconhecer documentos eletrônicos como a fonte original. Existem casos em que muitos processos dependem apenas de documentos em papel, mesmo que os documentos eletrônicos sejam amplamente implementados nos processos de negócios.

Porém, a realidade é que, mesmo que os documentos eletrônicos sejam adequadamente comunicados nas transações comerciais, a saída final dos dados pode estar em papel e armazenada na forma de cópias impressas, como evidência legal por um período de longo prazo. Assim, esse ambiente coexistente de documentos eletrônicos e documentos em papel causa quebra da cadeia de valor, resultando em produtividade lenta, ineficiência, aumento de custos e compensação do benefício obtido das TIC, a fim de melhorar essas situações.

Uma solução desmaterializante deve atender a considerações legais sobre documentos comunicados eletronicamente. Essa solução não é fácil, porque a própria comunicação eletrônica inclui as incertezas decorrentes de falhas na rede e o próprio documento eletrônico é insuficiente para proteger a integridade durante seu ciclo de vida. Enquanto isso, o problema devido ao repúdio, divulgação inadvertida ou adulteração foi considerado muito sensível para finalizar a solução de desmaterialização relacionada a transações comerciais, bem como diversos serviços governamentais, porque pode ser envolvido em disputas ou conflitos legais.

Este documento se concentra em como aprimorar a comunicação confiável em um ambiente aberto e distribuído. A comunicação confiável significa que a comunicação eletrônica pode garantir a integridade e o repúdio às transações eletrônicas por terceiros confiáveis, de forma desmaterializada, sob a orientação da United Nations Commission on International trade Law (Uncitral). Para esse ambiente aberto e distribuído, inicialmente, ele deve ser capaz de minimizar algumas dificuldades inatas em torno da desmaterialização.

Para resolver essas dificuldades, este documento aborda uma solução, formando um relacionamento confiável e orientado a terceiros de confiança mútua entre as partes interessadas e implementando uma plataforma compartilhada que seja responsável e rastreável. Em detalhe, uma plataforma de comunicação confiável precisa ser capaz de manter as evidências sobre documentos comunicados eletronicamente de maneira confiável e confiável. Para isso, é necessária uma nova abordagem, pois o ambiente de TIC existente possui alguns limites para a comunicação confiável em alguns aspectos. Embora uma transação EDI (troca eletrônica de dados) possa fornecer evidências legais sobre documentos eletrônicos intercambiados de acordo com a regra de sintaxe EDI, ela tem limitações permitidas apenas para usuários fechados da rede EDI e processos predefinidos de semântica EDI.

No caso da internet, não importa quais transações comerciais sejam comunicadas com segurança, é difícil reconhecer a legitimidade das comunicações realizadas em outros sistemas de autenticação. Nesse sentido, este documento estabelece um processo de desmaterialização refinado, permitido no ambiente de TIC aberto e distribuído, aplicável à comunicação confiável, como comércio eletrônico, administração eletrônica, comércio eletrônico e assim por diante.

A tecnologia de segurança foi usada como uma tecnologia central para documentos eletrônicos protegidos. No entanto, não basta manter a desmaterialização de documentos eletrônicos, pois é fácil quebrar a integridade no aspecto do período de segurança válido. Nesse sentido, este documento apresenta uma nova maneira que pode garantir a autenticidade da evidência de comunicação confiável por um longo período de tempo necessário como evidência legal.

Os serviços de TI em um ambiente aberto não podem identificar facilmente a originalidade das comunicações eletrônicas, contabilizando o contexto da comunicação, que é originador, destinatário (s), tempo de comunicação e assim por diante. Em relação às incertezas, como modificação, falsidade ou descoramento de documentos comunicados eletronicamente, não é fácil identificar e perguntar de quem é a responsabilidade entre várias partes interessadas.

Além disso, se a blockchain deve ser aplicada em toda a cadeia de suprimentos, é necessária uma comunicação confiável para uma conectividade perfeita. Nesse sentido, este documento pode tornar as transações comerciais responsáveis e confiáveis e, consequentemente, promover serviços de TI confiáveis. Uma evidência gerada por meio de uma plataforma de comunicação confiável pode explicar a verdade das atividades de comunicação e instalações de serviços de comunicação confiáveis.

A gestão dos serviços em tecnologia da informação

Um sistema de gestão de serviço (SGS) pode ser usado para um cliente procurando serviços e requerendo garantia relacionada à qualidade destes serviços; um cliente requerendo uma abordagem consistente para o ciclo de vida do serviço por todos os seus provedores de serviço, incluindo aqueles em uma cadeia de fornecimento; uma organização que queira demonstrar sua habilidade para o planejamento, desenho, transição, entrega e melhoria de serviços; uma organização para monitorar, medir e analisar criticamente seu SGS e os serviços; uma organização para melhorar o planejamento, o desenho, a transição, a entrega e a melhoria de serviços através da implementação e operação efetivas de um SGS; uma organização ou outra parte executando avaliações da conformidade utilizando os requisitos especificados neste documento; e um provedor de treinamento ou consultoria em gestão de serviço.

A NBR ISO/IEC 20000-1 de 03/2020 – Tecnologia da informação – Gestão de serviços – Parte 1: Requisitos do sistema de gestão de serviços especifica requisitos para uma organização estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de serviço (SGS). Os requisitos especificados neste documento incluem o planejamento, desenho, transição, entrega e melhorias de serviços para atender aos requisitos de serviço e entregar valor.

Este documento pode ser usado para um cliente procurando serviços e requerendo garantia relacionada à qualidade destes serviços; um cliente requerendo uma abordagem consistente para o ciclo de vida do serviço por todos os seus provedores de serviço, incluindo aqueles em uma cadeia de fornecimento; uma organização que queira demonstrar sua habilidade para o planejamento, desenho, transição, entrega e melhoria de serviços; uma organização para monitorar, medir e analisar criticamente seu SGS e os serviços; uma organização para melhorar o planejamento, o desenho, a transição, a entrega e a melhoria de serviços através da implementação e operação efetivas de um SGS; uma organização ou outra parte executando avaliações da conformidade utilizando os requisitos especificados neste documento; e um provedor de treinamento ou consultoria em gestão de serviço.

O termo serviço, conforme utilizado neste documento, refere-se ao serviço ou serviços no escopo do SGS. O termo organização, conforme utilizado neste documento, refere-se à organização no escopo do SGS que gerencia e entrega serviços aos clientes. Uma organização ou parte de uma organização que gerencia e entrega serviço ou serviços a clientes internos ou externos pode ser conhecida como um provedor de serviço. A organização no escopo do SGS pode ser parte de uma organização maior, por exemplo, um departamento de uma grande corporação.

Todos os requisitos especificados neste documento são genéricos e destinam-se a serem aplicáveis a todas as organizações, independentemente do seu tipo, do porte ou da natureza dos serviços entregues. A exclusão de qualquer dos requisitos nas Seções 4 a 10 não é aceitável quando uma organização declara conformidade com este documento, independentemente da natureza da organização.

A conformidade com os requisitos especificados neste documento pode ser demonstrada pela própria organização, apresentando evidência de atendimento a estes requisitos. A própria organização demonstra conformidade com as Seções 4 e 5. No entanto, a organização pode ser apoiada por outras partes. Por exemplo, outra parte pode conduzir auditorias internas em nome da organização ou apoiar a preparação do SGS.

Alternativamente, uma organização pode mostrar evidência de que detém a responsabilidade pelos requisitos especificados neste documento e demonstrar controle quando outras partes estão envolvidas em atender aos requisitos nas Seções 6 a 10 (ver 8.2.3). Por exemplo, a organização pode demonstrar evidência de controles para outras partes que estejam fornecendo componentes de serviço de infraestrutura ou operando a central de serviço, incluindo o processo de gerenciamento de incidente.

A organização não pode demonstrar conformidade com os requisitos especificados neste documento se outras partes são usadas para fornecer ou operar todos os serviços, componentes de serviço ou processos no escopo do SGS. O escopo deste documento exclui a especificação para produtos ou ferramentas. Porém, este documento pode ser usado para auxiliar no desenvolvimento ou aquisição de produtos ou ferramentas que apoiam a operação de um SGS.

Acesse algumas perguntas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais devem ser as ações para abordar riscos e oportunidades?

Como deve ser executado o planejamento do sistema de gestão de serviço?

Como fazer o controle da informação documentada?

Como deve ser feito o planejamento e controle operacional?

Este documento foi preparado para especificar requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de serviço (SGS). Um SGS apoia a gestão do ciclo de vida do serviço, incluindo o planejamento, desenho, mudança, entrega e a melhoria dos serviços,

os quais preenchem os requisitos acordados e entregam valor aos clientes, usuários e à organização que está entregando os serviços. A adoção de um SGS é uma decisão estratégica para uma organização e é influenciada pelos objetivos da organização, o corpo governante, outras partes envolvidas no ciclo de vida do serviço e a necessidade por serviços efetivos e resilientes.

A implementação e a operação de um SGS proveem visibilidade contínua, controle dos serviços e melhoria contínua, resultando em grande efetividade e eficiência. A melhoria para a gestão de serviço é aplicável ao SGS e aos serviços. Este documento é intencionalmente independente de orientação específica. A organização pode usar uma combinação de estruturas geralmente aceitas e sua própria experiencia.

Os requisitos especificados neste documento estão alinhados com metodologias de melhoria comumente utilizadas. Ferramentas apropriadas para gestão de serviço podem ser usadas para apoiar o SGS. A ISO/IEC 20000-2 fornece orientações sobre a aplicação de sistemas de gestão de serviço incluindo exemplos de como atender aos requisitos especificados neste documento. A ISO/IEC 20000-10 fornece informação sobre todas as partes da série ISO/IEC 20000, benefícios, mitos e outras normas relacionadas.

A ISO/IEC 20000-10 lista os termos e definições incluídos neste documento em acréscimo aos termos não usados neste documento, mas em outras partes da série ISO/IEC 20000-1. A estrutura de seções (por exemplo, sequência da seção), termos em 3.1 e muitos dos requisitos são retirados do Anexo SL do Suplemento ISO Consolidado às Diretivas ISO/IEC Parte 1, conhecido como a estrutura comum de alto nível (HLS) para normas de sistema de gestão. A adoção da HLS permite à organização, alinhar ou integrar múltiplas normas de sistema de gestão. Por exemplo, um SGS pode ser integrado com um sistema de gestão da qualidade com base na NBR ISO 9001 ou um sistema de gestão da segurança da informação com base na NBR ISO/IEC 27001.

A figura abaixo ilustra um SGS apresentando o conteúdo das seções deste documento. Isto não representa uma estrutura hierárquica, sequência ou níveis de autoridade. Não há nenhum requisito neste documento para sua estrutura e terminologia a ser aplicado ao SGS de uma organização. Não há nenhum requisito para os termos utilizados por uma organização a serem substituídos pelos termos utilizados neste documento.

As organizações podem escolher utilizar termos que combinem com suas operações. A estrutura de seções destina-se a prover uma apresentação coerente de requisitos, ao invés de um modelo para documentar políticas, objetivos e processos de uma organização. Cada organização pode escolher como combinar os requisitos em seus processos. O relacionamento entre cada organização e seus clientes, usuários e outras partes interessadas influencia em como os processos são implementados. No entanto, um SGS conforme desenhado por uma organização, não pode excluir quaisquer dos requisitos especificados neste documento.

A organização deve determinar questões externas e internas que sejam pertinentes ao seu propósito e que afetem sua capacidade de alcançar o(s) resultado (s) pretendido (s) de seu SGS. A palavra questão neste contexto pode se referir a fatores que tenham um impacto positivo ou negativo. Estes são fatores importantes para a organização no contexto de sua capacidade de entregar serviços com a qualidade acordada com seus clientes.

A organização deve determinar as partes interessadas que sejam pertinentes para o SGS e para os serviços; os requisitos pertinentes destas partes interessadas. Os requisitos das partes interessadas podem incluir serviço, desempenho, requisitos legais e regulatórios e obrigações contratuais relacionadas ao SGS e a os serviços.

A Alta Direção deve demonstrar liderança e comprometimento com relação ao SGS, através de assegurar que a política de gestão de serviço e os objetivos de gestão de serviço sejam estabelecidos e sejam compatíveis com o direcionamento estratégico da organização; assegurar que o plano de gestão de serviço seja criado, implementado e mantido com o intuito de apoiar a política de gestão de serviço, o atingimento dos objetivos de gestão de serviço e o atendimento aos requisitos de serviço; assegurar que níveis apropriados de autoridade sejam designados para a tomada de decisões relacionadas ao SGS e aos serviços; assegurar que o que se define como valor para a organização e seus clientes seja determinado; assegurar que exista o controle sobre outras partes envolvidas no ciclo de vida do serviço; assegurar a integração dos requisitos do SGS com os processos de negócios da organização; assegurar que os recursos necessários para a SGS e para os serviços estejam disponíveis; comunicar a importância de uma gestão de serviço eficaz, alcançando os objetivos de gestão de serviço, entregando valor e conformidade com os requisitos do SGS; assegurar que o SGS alcance seu (s) resultado (s) pretendido (s); dirigir e apoiar pessoas a contribuir para a eficácia do SGS e dos serviços; promover a melhoria contínua do SGS e dos serviços; e apoiar outros papéis de gestão pertinentes a demonstrar sua liderança conforme ela se aplica às áreas sob sua responsabilidade.

A organização deve determinar a competência necessária de pessoas que realizem o trabalho sob seu controle, que afete seu desempenho e a eficácia do SGS e dos serviços; assegurar que essas pessoas sejam competentes com base em educação, treinamento, ou experiência apropriados. Onde aplicável, deve-se tomar ações para adquirir a competência necessária e avaliar a eficácia das ações tomadas, além de reter informação documentada apropriada como evidência de competência.

As ações aplicáveis podem incluir, por exemplo, a provisão de treinamento, a mentoria ou a mudança de atribuições de pessoas empregadas no momento ou empregar ou contratar pessoas competentes. Pessoas que realizam o trabalho sob o controle da organização devem estar conscientes da política de gestão de serviço; dos objetivos da gestão de serviço; dos serviços pertinentes ao seu trabalho; da sua contribuição para a eficácia do SGS, incluindo os benefícios do desempenho melhorado; as implicações de não estar em conformidade com os requisitos do SGS.

A organização deve determinar as comunicações internas e externas relevantes para o SGS e os serviços, incluindo: sobre o que ela irá comunicar; quando comunicar; com quem se comunicar; como comunicar; quem vai ser responsável pela comunicação. Incidentes de segurança da informação devem ser registrados e classificados; priorizados levando em consideração o risco relacionado à segurança da informação; escalados caso necessário; resolvidos; fechados. A organização deve analisar os incidentes de segurança da informação por tipo, volume e impacto ao SGS, serviços e partes interessadas. Incidentes de segurança da informação devem ser reportados e analisados criticamente para identificar oportunidades de melhoria.

A governança de dados em tecnologia da informação (TI)

Sobre a governança de dados é importante fornecer orientação para uma comunidade mais ampla, incluindo: gerentes executivos, empresas externas ou especialistas técnicos, como especialistas em direito ou contabilidade, associações de retalhistas ou industriais ou organismos profissionais, provedores de serviços internos e externos (incluindo consultores), e auditores.

A NBR ISO/IEC 38505-1 de 01/2020 – Tecnologia da Informação — Governança da TI – Parte 1: Aplicação da ABNT NBR ISO/IEC 38500 à governança de dados fornece princípios orientadores para os membros de estruturas de governança de organizações (que podem incluir proprietários, diretores, parceiros, gerentes executivos ou similares) sobre o uso eficaz, eficiente e aceitável de dados em suas organizações, por meio de: aplicação dos princípios e modelo de governança da NBR ISO/IEC 38500 à governança de dados, asseguramento às partes interessadas de que, se os princípios e práticas propostas por este documento forem seguidos, eles podem confiar na governança de dados da organização, informação e orientação às estruturas de governança sobre o uso e proteção de dados em sua organização, e estabelecimento de um vocabulário para a governança de dados.

Este documento também pode fornecer orientação para uma comunidade mais ampla, incluindo: gerentes executivos, empresas externas ou especialistas técnicos, como especialistas em direito ou contabilidade, associações de retalhistas ou industriais ou organismos profissionais, provedores de serviços internos e externos (incluindo consultores), e auditores. Embora este documento analise a governança de dados e o seu uso em uma organização, a orientação sobre o arranjo de implementação para a governança efetiva da TI em geral é encontrada na ISO/IEC TS 38501. Os construtos na ISO/IEC TS 38501 podem ajudar a identificar os fatores internos e externos relacionados à governança da TI e ajudar a determinar os resultados benéficos e identificar evidências de sucesso.

Este documento se aplica à governança do uso atual e futuro dos dados que são criados, coletados, armazenados ou controlados por sistemas de TI, e afeta os processos de gestão e as decisões relacionadas aos dados. Este documento define a governança de dados como um subconjunto ou domínio da governança da TI, que em si é um subconjunto ou domínio organizacional ou, no caso de uma corporação, governança corporativa. Este documento é aplicável a todas as organizações, incluindo empresas públicas e privadas, entidades governamentais e organizações sem fins lucrativos. Este documento é aplicável às organizações de todos os tamanhos, das menores às maiores, independentemente da extensão e da sua dependência dos dados.

Acesse algumas perguntas relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais são os princípios, modelo e aspectos para uma boa governança de dados?

Como pode ser descrita a atividade armazenar?

Como pode ser descrita a atividade distribuir?

Quais as orientações para a governança de dados ‒ princípios?

O objetivo deste documento é fornecer princípios, definições e um modelo para as estruturas de governança usarem ao avaliar, dirigir e monitorar o manuseio e o uso de dados em suas organizações. Este documento é uma norma orientativa de alto nível, com base em princípios. Além de fornecer uma ampla orientação sobre a função da estrutura de governança, incentiva as organizações a usarem normas apropriadas para sustentar a sua governança de dados.

Todas as organizações usam dados e a maior parte desses dados é armazenada eletronicamente nos sistemas de TI. Com o advento da computação em nuvem, a realização do potencial da internet das coisas e o uso crescente de análises de big data, os dados estão se tornando mais fáceis de gerar, coletar, armazenar e extrair para obter informações úteis. Essa enxurrada de dados traz uma necessidade urgente e responsabilidade para as estruturas de governança assegurarem que oportunidades valiosas sejam aproveitadas e que dados confidenciais estejam seguros e protegidos.

Este documento foi preparado para fornecer diretrizes aos membros das estruturas de governança para aplicar uma abordagem baseada em princípios à governança de dados, de modo a aumentar o valor dos dados e, ao mesmo tempo, diminuir os riscos associados a esses dados.

A NBR ISO/IEC 38500 fornece princípios e modelos para as estruturas de governança das organizações orientarem o uso atual e planejarem o uso futuro da tecnologia da informação (TI), e é para esse fim que esse documento se aplica. Assim como na NBR ISO/IEC 38500, este documento é dirigido principalmente à estrutura de governança de uma organização e será aplicado igualmente, independentemente do tamanho da organização ou de sua indústria ou setor.

A governança é distinta da gestão e, portanto, há a preocupação em avaliar, dirigir e monitorar o uso de dados, em vez da mecânica de armazenar, recuperar ou gerenciar os dados. Dito isto, um entendimento de algumas técnicas e técnicas de gerenciamento de dados é descrito para enunciar as possíveis estratégias e políticas que podem ser direcionadas pela estrutura de governança.

A boa governança de dados auxilia as estruturas de governança para assegurar que o uso de dados em toda a organização contribua positivamente com o desempenho da organização por meio de: inovação em serviços, mercados e negócios; implementação e operação apropriadas dos ativos de dados; clareza de responsabilidade e responsabilização pela proteção e pelo potencial para agregar valor; e minimização de consequências adversas ou não intencionais. Convém que as organizações com boa governança de dados sejam: organizações confiáveis para os proprietários de dados e usuários de dados fazerem transações; capazes de fornecer dados confiáveis para compartilhamento; protetoras da propriedade intelectual e outros valores derivados dos dados; organizações com políticas e práticas para dissuadir hackers e atividades fraudulentas; preparadas para minimizar o impacto das violações de dados; cientes de quando e como os dados podem ser reutilizados; capazes de demonstrar boas práticas no manuseio dos dados.

Este documento estabelece princípios para o uso eficaz, eficiente e aceitável de dados. As estruturas de governança, ao assegurar que suas organizações sigam esses princípios, serão auxiliadas na gestão de riscos e no incentivo à exploração de oportunidades decorrentes do manuseio seguro e da interpretação precisa da qualidade dos dados. A boa governança dos dados também ajuda as estruturas de governança a garantirem a conformidade com as obrigações (regulatórias, legislativas, contratuais) referentes ao uso e tratamento aceitáveis dos dados.

Este documento estabelece um modelo para a governança de dados. O risco de as estruturas de governança não cumprirem suas obrigações é mitigado, dando a devida atenção ao modelo, aplicando adequadamente os princípios. A provisão inadequada da governança de dados pode expor uma organização a vários riscos, incluindo: penalidades pelo descumprimento da legislação, especialmente legislação relacionada às medidas de privacidade exigidas; perda de confidencialidade dos dados da empresa, por exemplo, receitas ou especificações de projeto; perda de confiança das partes interessadas, incluindo parceiros comerciais, clientes e público; incapacidade de realizar funções organizacionais críticas devido à falta de dados confiáveis ou pertinentes para os negócios; aumento da concorrência por meio do uso estratégico de dados pelos concorrentes.

As estruturas de governança podem ser responsabilizadas por: violações de privacidade, spam, saúde e segurança, legislação e regulamentos de manutenção de registros; não conformidade com normas obrigatórias relativas à segurança e responsabilidade social; questões relacionadas aos direitos de propriedade intelectual. Os membros da estrutura de governança são responsáveis pela governança dos dados e são responsáveis pelo uso eficaz, eficiente e aceitável dos dados pela organização.

A autoridade, a responsabilidade e a responsabilização da estrutura de governança pelo uso efetivo, eficiente e aceitável de dados surgem de sua responsabilidade geral pela governança da organização e de suas obrigações com as partes interessadas externas, incluindo os reguladores. O foco principal do papel da estrutura de governança de dados é assegurar que a organização obtenha valor dos investimentos em dados e TI associado, enquanto gerencia os riscos e leva em consideração as restrições.

Além disso, convém que a estrutura de governança assegure que haja um entendimento claro de quais dados estão sendo usados pela organização e com que finalidade, e que exista um sistema de gestão eficaz para assegurar que as obrigações, como proteção de dados, privacidade e respeito para propriedade intelectual, possam ser cumpridas. Convém que a estrutura de governança estabeleça mecanismos de supervisão para a governança de dados que sejam apropriados ao nível de dependência do negócio em relação aos dados.

Convém que a estrutura de governança tenha uma compreensão clara da importância dos dados para as estratégias de negócios da organização, bem como o potencial risco estratégico para a organização do uso destes dados. Convém que o nível de atenção que uma estrutura de governança dá aos dados seja baseado nestes fatores. Convém que a estrutura de governança assegure que seus membros e mecanismos de governança associados (como auditoria, gestão de riscos e comitês relacionados), bem como gerentes, tenham o conhecimento e a compreensão necessários sobre a importância dos dados.

A estrutura de governança pode estabelecer um subcomitê para ajudar a estrutura de governança a supervisionar o uso de dados da organização do ponto de vista estratégico. A necessidade de um subcomitê depende da importância dos dados para a organização e seu tamanho. Convém que a estrutura de governança assegure que um framework apropriado de governança seja estabelecido para a governança e gestão dos dados.

Convém que a estrutura de governança monitore a eficácia dos mecanismos de governança e gestão dos dados, requerendo processos como auditorias e avaliações independentes para obter a garantia de que a governança seja eficaz. Os aspectos específicos da governança de dados que são introduzidos neste documento são os descritos a seguir.

– Valor: os dados são a matéria-prima para o conhecimento útil. Alguns dados podem não ser muito valiosos, enquanto outros dados são extremamente valiosos para a organização. No entanto, este valor não é conhecido até que seja usado pela organização e, portanto, todos os dados são de interesse da estrutura de governança, que, em última análise, é responsável por eles. O termo valor, neste caso, também inclui a qualidade e a quantidade dos dados, sua atualidade, o contexto (que é o dado em si) e o custo de seu armazenamento, manutenção, uso e descarte.

– Risco: diferentes classes de dados trazem diferentes níveis de risco, e convém que a estrutura de governança entenda os riscos dos dados e como direcionar os gerentes para gerenciar esses riscos. Os riscos não se manifestam apenas em violações de dados, mas também no mau uso dos dados, bem como nos riscos competitivos envolvidos em não utilizar adequadamente os dados.

– Restrições: A maioria dos dados vem com restrições em seu uso. Algumas delas são impostas externamente à organização por meio de legislação, regulamentação ou obrigações contratuais, e incluem questões de privacidade, direitos autorais, interesses comerciais e assim por diante. Outras restrições sobre os dados incluem obrigações éticas ou sociais ou políticas organizacionais que restringem o uso dos dados. Estratégias e políticas são requeridas para explicar estas restrições em qualquer uso dos dados pela organização.

Os dados e o seu uso pelas organizações estão se tornando cada vez mais importantes para todas as organizações e suas partes interessadas. Ao aplicar os princípios, modelos e aspectos específicos da governança de dados descritos neste documento, convém que as estruturas de governança sejam capazes de realizar ações que maximizem seus investimentos em uso de dados, gerenciem os riscos envolvidos e forneçam boa governança para a sua organização.

A figura acima mostra as áreas de responsabilização de dados dentro de uma organização. Os elementos do mapa são descritos abaixo. Para qualquer organização e para qualquer tipo de negócio, o mapa identifica os tópicos que são de interesse sob uma perspectiva de governança. Embora os processos e implementações reais sejam de responsabilidade do gerenciamento, as linhas indicam tanto o fluxo de dados quanto o mecanismo de bloqueio, onde é necessário assegurar que as políticas e estratégias de governança estejam implementadas e que as responsabilizações sejam atendidas.

Os aspectos específicos de dados da governança no contexto destas responsabilizações são discutidos em mais detalhes na Seção 9. O foco deste documento é a governança dos dados, e convém que não seja confundido com a gestão de dados. Considerando que a estrutura de governança está preocupada com a aplicação dos princípios de governança, conforme descrito na Seção 7, o campo da gestão de dados tem métodos bem definidos para o processamento dos dados, bem como mecanismos para garantir a confidencialidade, integridade e disponibilidade desses dados. Um exemplo de ciclo de vida de gestão de dados é mostrado na figura abaixo

A atividade coletar inclui o processo de aquisição, coleta e criação de dados, aprendendo com decisões anteriores tomadas e contextos adicionais extraídos de outros conjuntos de dados (internos ou externos). Os dados existem em muitas formas e podem ser criados e coletados para uso pela organização de várias maneiras diferentes, incluindo os seguintes aspectos descritos a seguir.

— Entrada de dados: a entrada de dados é obtida usando aplicativos dentro da organização [por exemplo, em um sistema ERP (Enterprise Resource Planning) ou aplicativo de e-mail] ou externamente por meio de um site, aplicativo móvel ou aplicativo similar.

— Transações de outros sistemas: a entrada de dados ou a atualização feita em outros sistemas pode fluir para o sistema da organização por meio do EDI (Electronic Data Interchange) ou outros processos de interface.

— Sensores: uma quantidade crescente de dados é ingerida na organização por meio de sistemas de máquinas, como sensores. Os sensores abrangem uma ampla variedade de dispositivos de aquisição de dados, incluindo registros de sites, fontes de mídias sociais e dispositivos de internet das coisas os quais incluem dispositivos do dia a dia, desde simples sensores de temperatura até TV, carros, semáforos e edifícios. Os dados dos sensores também podem incluir sinais potencialmente urgentes, como alertas e alarmes.

— Novo contexto: os dados dos relatórios podem ser combinados com outros dados para fornecer informações adicionais, que , por sua vez, retornam à organização. Em muitos casos, estes dados adicionais fornecem um novo contexto aos dados originais e podem precisar ser tratados de maneira diferente dos dados originais. Novos dados contextuais podem vir de decisões que podem dar relevância ou valor aos dados existentes.

— Assinatura: os dados podem se tornar disponíveis para a organização por meio de uma assinatura de um feed de dados ou de um armazenamento de dados virtual.

As peças compradas e fabricadas por manufatura aditiva

Pretende-se que este documento seja utilizado pelos fornecedores de peças e/ou pelos clientes de peças fabricadas por manufatura aditiva. Este documento é uma norma de nível superior na hierarquia de normas de manufatura aditiva, destinado a ser aplicado às peças fabricadas por qualquer processo de manufatura aditiva e qualquer tipo de material.

A NBR ISO/ASTM 52901 de 11/2019 – Manufatura aditiva — Princípios gerais — Requisitos para peças compradas, fabricadas por manufatura aditiva define e especifica os requisitos para peças compradas, fabricadas por manufatura aditiva. Fornece as diretrizes para os elementos a serem trocados entre o cliente e o fornecedor da peça no momento do pedido de compra, incluindo as informações da solicitação do cliente, dados de definição da peça, requisitos de material de alimentação, características e propriedades da peça final, requisitos de inspeção e métodos de aceitação da peça. É aplicável ao uso como uma base para obter peças fabricadas por manufatura aditiva que atendam aos requisitos mínimos de aceitação. Requisitos mais rigorosos da peça podem ser especificados por meio da adição de um ou mais requisitos complementares no momento do pedido de compra.

Acesse algumas questões relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

O que as características da peça devem atender?

Como deve ser feita a inspeção das peças?

Qual deve ser a documentação de aceitação?

Quais são as informações do pedido de compra da peça?

Este documento abrange a definição e a comunicação de requisitos para peças compradas, fabricadas por manufatura aditiva. Ele é destinado a permitir uma comunicação eficiente e inequívoca entre os fornecedores de peças e os clientes de peças fabricadas por manufatura aditiva, assegurando que a peça resultante atenda aos requisitos do cliente.

Pretende-se que este documento seja utilizado pelos fornecedores de peças e/ou pelos clientes de peças fabricadas por manufatura aditiva. Este documento é uma norma de nível superior na hierarquia de normas de manufatura aditiva, destinado a ser aplicado às peças fabricadas por qualquer processo de manufatura aditiva e qualquer tipo de material.

Este documento permite diferentes requisitos com base na classificação da criticidade e do uso final esperado das peças fabricadas por manufatura aditiva. O pedido de compra da peça deve incluir os seguintes elementos: organização e informações de contato do cliente (de preferência com pontos de contato para pedidos de compra, pagamento e entrega); definição da (s) peça (s) a ser (em) fabricada (s); condições associadas de entrega ao cliente; outros requisitos de compra; uma identificação de referência deste documento, ou seja, NBR ISO/ASTM 52901, e outros regulamentos nacionais/internacionais pertinentes; identificação do pedido de compra da peça do cliente (número de requisição, data de requisição etc.); designação ou descrição da (s) peça (s) desejada (s) (número/identificação da peça, índice de revisão, etc.); quantidade desejada de peças; data de entrega requerida, se for um único pedido de compra; quantidade de entrega, frequência e período de duração requeridos do pedido de compra, se for um pedido com entrega programada ou múltiplos pedidos; marcação ou etiquetagem requerida das peças, incluindo, por exemplo, rótulos, número de série, número de lote, tipo de material de alimentação, referência do fornecedor da peça, identificador de inspeção, referência de rastreabilidade, etc.; requisitos da embalagem da peça para entrega ao cliente; endereço de entrega do cliente.

Os valores específicos dos elementos estão sujeitos a um acordo entre o cliente e o fornecedor da peça. A definição da peça deve incluir os seguintes elementos: geometria da peça; tolerâncias; textura superficial; orientação de fabricação, se necessário, para atender aos requisitos do cliente; material de alimentação para a peça a ser fabricada, se necessário, para atender aos requisitos do cliente; métodos de reparo (levando em consideração as categorias de ensaio definidas na NBR ISO 17296-3); imperfeições ou desvios aceitáveis; informações de controle do processo.

A divulgação de informações confidenciais está sujeita a um acordo entre o cliente e o fornecedor da peça. A definição da peça deve incluir os seguintes elementos: referência do desenho de engenharia (número, índice e versão), se aplicável; referência do arquivo digital (nome, formato, versão), se aplicável; descrição da geometria por um desenho de engenharia que defina completamente a peça, ou um arquivo digital contendo o modelo 3D ou as informações de geometria da peça.

Para troca de dados eletrônicos, o cliente e o fornecedor da peça devem assegurar que os sistemas utilizados sejam compatíveis e devem definir o método de fornecimento de arquivos digitais, incluindo o nível de confidencialidade e os métodos de proteção de dados, o formato dos dados eletrônicos, e os procedimentos para criação do arquivo digital (incluindo a fonte dos dados eletrônicos e os requisitos de conversão necessários para produzir o arquivo digital). Os documentos de descrição da geometria da peça podem ser fornecidos pelo cliente ou pelo fornecedor da peça.

O formato de arquivo STL utilizado por muitas máquinas de manufatura aditiva não contém unidades de medida como metadados. Quando somente arquivos STL forem fornecidos pelo cliente, as informações do pedido de compra especificam as unidades de medida da peça juntamente com o arquivo digital. Mais informações sobre arquivos digitais podem ser encontradas na ISO/ASTM 52915.

As tolerâncias devem ser especificadas (por exemplo, tolerâncias gerais, ver NBR ISO 2768-1 e NBR ISO 2768-2, e/ou tolerâncias específicas, ver ISO 1101), incluindo a definição de zonas funcionais (por exemplo, sobremetal para usinagem para acabamento ou retrabalho) e zonas estéticas ou cosméticas, de modo que o fornecedor da peça possa orientar a peça de acordo com os requisitos e decidir sobre a localização e o tipo de estruturas de suporte da peça, se necessário. Convém que a textura superficial (também conhecida como acabamento superficial) da peça seja especificada, se possível por referência a normas existentes (por exemplo, utilizando a ISO 1302 e/ou a ISO 25178-1).

O requisito de textura superficial pode ser especificado por um valor máximo de rugosidade/ondulação para toda a peça ou por uma rugosidade/ondulação específica para uma ou mais superfícies críticas. A textura superficial geralmente depende de diversos parâmetros do processo, incluindo a orientação da peça e a espessura de camada.

O processo de fabricação desejado para construir a peça deve ser identificado, incluindo as etapas de pós-processamento necessárias (por exemplo, tratamento térmico, acabamento superficial). A orientação de fabricação deve seguir as regras fornecidas na ISO/ASTM 52921. A orientação de fabricação geralmente é escolhida pelo fornecedor da peça para atender aos requisitos; entretanto, o cliente pode especificar a orientação de fabricação da peça, se necessário, para obter as propriedades mecânicas específicas.

O tipo e/ou os limites da composição química do material de alimentação para a peça a ser fabricada devem ser especificados por referência a normas e/ou especificações existentes do material. O pedido de compra deve mencionar ou referenciar especificações apropriadas para as características do material de alimentação para a peça a ser fabricada, os requisitos de armazenamento, manuseio e processamento para o uso adequado do material de alimentação e para o controle de suas propriedades, e se for necessário atender aos requisitos do cliente, informações sobre o uso permitido do material de alimentação reciclado (reutilizado).

Se o cliente tiver preocupações sobre o país de origem do material de alimentação ou do produtor do material de alimentação, a fonte desejada do material de alimentação pode ser especificada. Qualquer reparo deve ser comunicado ao cliente e autorizado antes de ser realizado. Os métodos de reparo autorizados (como reparo por deposição de material, soldagem, colagem ou aglutinação) e as condições de reparo correspondentes devem ser especificados, se necessário, e devem ser aprovados pelo cliente.

As tolerâncias para trincas, defeitos, descontinuidades, material estranho, inclusões, imperfeição (ões) ou desvio (s) aceitável (eis), descolorações e porosidade devem ser acordadas entre o fornecedor da peça e o cliente. Os requisitos para a repetibilidade do processo de fabricação devem ser identificados, incluindo referência a normas ou métodos de medição relevantes para avaliar a repetibilidade, particularmente para pedidos de compra de peças múltiplas ou pedidos de compra múltiplos esperados da mesma peça.

Os requisitos para documentar as informações de controle do processo durante a fabricação devem ser identificados. As informações requeridas, conforme acordado entre o fornecedor da peça e o cliente, devem ser documentadas durante a fabricação e incluídas no registro de qualidade para a peça de manufatura aditiva como retidas pelo fornecedor da peça. O período de retenção do registro de qualidade e as informações de controle do processo a serem transmitidas ao cliente devem ser acordados entre o cliente e o fornecedor.

Se prestadores de serviços externos autorizados forem requeridos (por exemplo, para pós-tratamento, inspeção, etc.), eles devem ser acordados entre o fornecedor da peça e o cliente, e devem ser documentados. O pedido de compra deve especificar se a inspeção deve ser realizada em uma ou mais peças finais ou de referência (por exemplo, em um turno completo de produção, em amostras dos turnos de produção ou em peças de referência que tenham características similares, porém geometria ou escala diferentes).

Se os resultados do ensaio especificado no pedido de compra estiverem em conformidade com os critérios de aceitação, a peça deve ser aceita. Se os resultados dos ensaios não estiverem em conformidade com os valores definidos no pedido de compra, amostras adicionais do mesmo turno de produção devem ser submetidas a ensaios adicionais para aceitação.

Qualquer peça que não esteja em conformidade com os requisitos, porém que atenda às condições para retrabalho estipuladas no pedido de compra, pode ser reparada ou aceita. Qualquer não conformidade remanescente com os requisitos do pedido de compra, se o retrabalho for realizado ou não, deve ser revisada pelo cliente para determinar se um desvio específico dos requisitos pode ser aceito. Caso contrário, as peças devem ser rejeitadas.

A gestão dos documentos de arquivo e seus metadados

Deve-se entender a relevância dos metadados de gerenciamento de documentos de arquivo em processos de negócios e as diferentes funções e tipos de metadados que apoiam processos de negócios e de gestão de documentos de arquivo.

Pode-se definir os metadados para documentos de arquivo como as informações estruturadas ou semiestruturadas que permitem a produção, gestão e uso de documentos de arquivo ao longo do tempo e dentro e entre domínios. Já o esquema de metadados plano lógico que mostra as relações entre os elementos de metadados, normalmente por meio do estabelecimento de regras para uso e gestão de metadados, especificamente quanto à semântica, à sintaxe e à opção (nível de obrigação) de valores.

A NBR ISO 23081-1 de 09/2019 – Informação e documentação – Processos de gestão de documentos de arquivo – Metadados para documentos de arquivo – Parte 1: Princípios abrange os princípios que sustentam e regem os metadados de gestão de documentos de arquivo. Estes princípios se aplicam a: documentos de arquivo e seus metadados; todos os processos que os afetam; qualquer sistema em que residam; qualquer organização responsável por sua gestão.

Acesse algumas questões relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

O que incluem os metadados no momento da captura dos documentos de arquivo?

Para que servem os metadados para o e-business?

O que são os metadados para a gestão de direitos?

Como definir e manter as estruturas para o gerenciamento de metadados?

A NBR ISO 23081 estabelece um modelo para definição, gestão e utilização de metadados na gestão de documentos de arquivo e explica os princípios que os governam. Este documento fornece diretrizes para entendimento, implementação e utilização de metadados no âmbito do modelo da NBR ISO 15489. Aborda a relevância dos metadados de gerenciamento de documentos de arquivo em processos de negócios e as diferentes funções e tipos de metadados que apoiam processos de negócios e de gestão de documentos de arquivo.

Estabelece também um modelo para gerenciamento destes metadados. Nesta parte, negócios e atividades de negócios são usados como termos amplos, não restritos à atividade comercial, mas incluindo administração pública, atividades sem fins lucrativos e outras. Esta norma não define um conjunto obrigatório de metadados de gestão de documentos de arquivo a serem implementados, uma vez que estes metadados serão diferentes de acordo com os requisitos organizacionais ou específicos para a jurisdição.

No entanto, avalia os principais conjuntos de metadados existentes, de acordo com os requisitos da NBR ISO 15489. A ISO 23081-2 e a ISO 23081-3 são mais explicativas e fornecem orientações práticas sobre questões de implementação e como avaliar conjuntos de metadados de gestão de documentos de arquivo em relação aos princípios deste documento. A gestão de metadados é uma parte indissociável da gestão de documentos de arquivo, servindo a uma diversidade de funções e propósitos.

No contexto da gestão de documentos de arquivo, os metadados destes documentos são definidos como informação estruturada ou semiestruturada, que permite a produção, a gestão e o uso dos documentos de arquivo ao longo do tempo e dentro e entre domínios (NBR ISO 15489-1:2018, 3.12). Cada domínio representa uma área de discurso intelectual e de atividade social e/ou organizacional com um grupo distinto ou limitado de pessoas que compartilham certos valores e conhecimentos.

Os metadados para documentos de arquivo podem ser usados para identificar, autenticar e contextualizar os documentos de arquivo, bem como as pessoas, os processos, os sistemas que os produzem, os gerenciam, os mantêm e os utilizam e as políticas que os regem (ver 9.1). Inicialmente, os metadados definem estabelecem o documento de arquivo no seu ponto de captura, inserindo-o em seu contexto de negócios e estabelecendo formas de controle no que tange à sua gestão. Durante a existência dos documentos de arquivo ou seus desdobramentos, novas entradas/camadas de metadados serão adicionadas, em razão de novas aplicações em outros contextos de negócios ou ainda em outros contextos de utilização.

Isso significa que os metadados continuam a se acumular ao longo do tempo. As informações relativas ao contexto da gestão de documentos de arquivo e aos processos de negócio nos quais os documentos de arquivo são usados continuam acumulando-se enquanto estes documentos são gerenciados e usados. O documento de arquivo também pode sofrer mudanças estruturais ou mudanças em sua apresentação. Os metadados podem ser obtidos ou reutilizados por múltiplos sistemas e para múltiplos propósitos.

Os metadados aplicados aos documentos de arquivo durante sua vida ativa também podem continuar a ser aplicados quando deixam de ser requeridos para os fins de negócios atuais, porém são mantidos para pesquisas em andamento ou outras finalidades. Os metadados asseguram a autenticidade, confiabilidade, usabilidade e integridade ao longo do tempo, e permitem a gestão e a compreensão dos objetos de informação, sejam estes físicos, analógicos ou digitais.

Contudo, recomenda-se que os metadados também sejam gerenciados. A gestão de documentos de arquivo sempre envolveu a gestão de metadados. Contudo, o ambiente digital requer uma apresentação diferente dos requisitos e mecanismos tradicionais para identificar, capturar, atribuir e usar metadados. No ambiente digital, os documentos de arquivo confiáveis são aqueles acompanhados de metadados que definem suas características críticas. Estas características devem ser explicitamente documentadas, em vez de serem implícitas, como em alguns processos baseados em papel.

No ambiente digital, é essencial assegurar que a definição e a captura dos metadados de gestão de documentos de arquivo sejam implementadas em sistemas que produzam, administrem e usem documentos de arquivo. Por outro lado, o ambiente digital apresenta novas oportunidades para definir e gerar metadados, e assegurar a captura completa de documentos de arquivo na atualidade.

Estes documentos de arquivo podem ser transações ou suas provas. Metadados sustentam processos de negócios e de gestão de documentos de arquivo: protegendo os documentos de arquivo como prova e assegurando a sua acessibilidade e usabilidade ao longo do tempo; facilitando a capacidade de compreensão dos documentos de arquivo; apoiando e assegurando o valor probatório dos documentos de arquivo; auxiliando na garantia da autenticidade, da confiabilidade e da integridade dos documentos de arquivo; apoiando e gerenciando o acesso, a privacidade e os direitos; apoiando a recuperação eficiente; apoiando o reuso e a reproposição de documentos de arquivo; apoiando as estratégias de interoperabilidade, proporcionando a captura oficial de documentos de arquivo produzidos em diversos ambientes técnicos e de negócios e sua sustentabilidade pelo tempo que for necessário; fornecendo ligações lógicas entre os documentos de arquivo e o contexto de sua produção, mantendo-os de forma estruturada, confiável e significativa; apoiando a identificação do ambiente tecnológico em que os documentos de arquivo digitais foram produzidos ou capturados e a gestão do ambiente tecnológico em que são mantidos, para que os documentos de arquivo autênticos possam ser reproduzidos enquanto forem necessários; apoiando a migração eficiente e bem-sucedida de documentos de arquivo de um ambiente ou plataforma de computador para outro, ou ainda qualquer outra estratégia de preservação.

Convém que as organizações tomem decisões sobre quais dos requisitos de metadados descritos neste documento são necessários em algum ou em todos os sistemas organizacionais. Estas decisões dependerão de: necessidades do negócio; ambiente regulatório; riscos que afetem as operações do negócio. Esta avaliação pode identificar quais tipos de metadados precisam ser aplicados em diferentes áreas da organização, dependendo dos riscos ou necessidades do negócio.

Um dos principais usos dos metadados é a descrição de fontes de informação. Estas fontes de informação podem ser livros, revistas, vídeos, documentos, imagens e artefatos. Também incluem documentos de arquivo transferidos para custódia arquivística. Convém que os metadados identifiquem a fonte de informação e o título, produtor (es), data (s), identificador único, relação com outras fontes (por exemplo, dentro da mesma série) e sua dimensão (por exemplo, tamanho ou comprimento).

Alguns destes elementos de metadados também são usados no contexto de gestão de documentos de arquivo. Eles são semelhantes e podem se sobrepor aos elementos dos metadados inseridos no momento da captura, documentando o conteúdo de um documento de arquivo. No entanto, os metadados descritivos para gestão de documentos de arquivo e para fins de arquivamento geralmente são mais amplos do que os metadados de descrição das fontes de informação e podem incluir outros elementos, como, por exemplo, metadados de contexto.

Há uma forte relação entre o tipo de metadado descrito e a descrição arquivística. As instituições arquivísticas utilizam metadados para descrever os documentos de arquivo, a fim de preservar seu sentido ao longo do tempo, colocá-los em seus contextos administrativos e de gestão de documentos de arquivo e facilitar seu uso e gestão. Portanto, os padrões atuais de descrição de arquivamento, como ISAD/G e ISAAR (CPF), possuem uma extensa sobreposição com metadados de gestão de documentos de arquivo, porque ambos se preocupam em documentar o contexto de negócios e os processos de gestão.

A gestão arquivística, incluindo a descrição arquivística, é uma atividade complementar e contínua para os documentos de arquivo que são identificados como tendo valor arquivístico. A funcionalidade que permita a migração de metadados entre os sistemas de documentos de arquivo organizacionais e os sistemas de controle de arquivo é, portanto, recomendada. O processo de gerenciamento de metadados permanece em andamento pelo tempo que os documentos de arquivo e suas agregações relevantes existirem.

Convém que novos metadados sejam adicionados onde necessário, para manter os documentos de arquivo relevantes, confiáveis e utilizáveis. Convém que isso seja realizado ao longo do tempo e entre domínios, por exemplo, quando as funções de uma organização e as partes relevantes de seu sistema de documentos de arquivo são transferidos para uma outra organização. Isso pode demandar à organização receptora a adaptação de suas estruturas de metadados existentes.

Convém que as organizações definam procedimentos e políticas para documentar estas mudanças. Várias camadas podem ser diferenciadas em um contexto de escopo em constante expansão, dependendo de quão amplamente os documentos de arquivo serão compartilhados e usados. Os documentos de arquivo são gerenciados em sistemas; estes sistemas são gerenciados por organizações e estas organizações fazem parte de um contexto mais amplo (um setor empresarial, um governo, uma nação, o público ou a sociedade).

Convém que, em cada uma destas camadas, os metadados forneçam informações suficientes sobre os documentos de arquivo, para torná-los compreensíveis e acessíveis à comunidade interessada. Os tipos de metadados requeridos para implementação da NBR ISO 15489-1 podem ser divididos nos seguintes componentes (ver figura abaixo): metadados sobre o documento de arquivo em si; metadados sobre as regras de negócio ou políticas e funções; metadados sobre agentes; metadados sobre atividades ou processos de negócio; metadados sobre processos de gestão de documentos de arquivo. Estes tipos de metadados são aplicáveis tanto antes quanto após a produção do documento de arquivo.

Cada componente reflete metadados que são capturados com os documentos de arquivo, consolidando-os em seu contexto de negócio e permitindo que os procedimentos de gestão ocorram (ou seja, metadados no momento da captura de documentos de arquivo) e continuam a ser definidos e capturados (ou seja, metadados processados). Isso vai além da organização de produção do documento de arquivo e convém que seja assegurado por qualquer organização responsável pela gestão de documentos de arquivo ao longo do tempo. Esta categorização tem sido usada como base estrutural para este documento. Um comentário é inserido após cada um dos requisitos de metadados, para indicar de qual seção ou subseção da NBR ISO 15489-1 eles são derivados.

O controle e as comunicações de dados em tratores agrícolas ou florestais

Atualmente, está disponível um sistema de comunicações para equipamentos agrícolas com base no protocolo da ISO 11898-2.

A NBR ISO 11783-1 de 08/2019 – Tratores e máquinas agrícolas e florestais — Rede serial para comunicação de dados e controle – Parte 1: Padrão geral para comunicação de dados móveis especifica uma rede serial de dados para controle e comunicações em tratores agrícolas ou florestais e implementos montados, semimontados, rebocados ou autopropelidos. Sua finalidade é padronizar o método e o formato de transferência de dados entre sensores, atuadores, elementos de controle, unidades de armazenamento e exibição de informações, montados ou se forem parte do trator ou implemento. Ela é destinada a fornecer interligação de sistema aberto (Open System Interconnect – OSI) para sistemas eletrônicos utilizados por equipamentos agrícolas e florestais. Fornece uma visão geral da NBR ISO 11783.

Para desenvolvedores de aplicações segundo a NBR ISO 11783, o conteúdo desta base de dados eletrônicos fornece a listagem atual das designações de endereços, designações de identidade e definições de parâmetros da NBR ISO 11783-1 que foram designadas e que estão oficialmente registradas pela SAE J1939. Estas informações são encontradas na base de dados on-line no website da ISOBUS (http://www.isobus.net/).

Acesse algumas questões relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais os termos abreviados usados nessa norma?

Qual seria uma estrutura de conexão física típica da rede do trator/implemento?

Qual seria uma topologia típica da rede da NBR ISO 11783?

Como seria a interface do computador de gerenciamento da fazenda?

O que contém a base de dados eletrônicos da NBR ISO 11783-1?

A NBR ISO 11783 especifica um sistema de comunicações para equipamentos agrícolas com base no protocolo da ISO 11898-2. Os documentos SAE J19391, em que as partes da NBR ISO 11783 são baseadas, foram desenvolvidos em conjunto para uso em aplicações de caminhões e ônibus e para aplicações na construção e agricultura. Documentos conjuntos foram concluídos para permitir que as unidades eletrônicas que atendem às especificações SAE J1939 de caminhões e ônibus sejam utilizadas por equipamentos agrícolas e florestais com alterações mínimas.

Informações gerais sobre a NBR ISO 11783 podem ser encontradas nesta parte da NBR ISO 11783. O objetivo da NBR ISO 11783 é fornecer um sistema aberto e interligado para sistemas eletrônicos embarcados. Ela é destinada a permitir que unidades de controle eletrônico (ECU) se comuniquem entre si, fornecendo um sistema padronizado.

A interligação de sistemas abertos (OSI) especificada na ISO/IEC 7498-1 é um modelo de arquitetura de comunicações por computador que possui sete camadas, conforme mostrado na figura abaixo. Pretende-se que as redes de comunicações de dados, como a serie ABNT NBR ISO 11783, sejam desenvolvidas para realizar as funções de cada uma das camadas OSI, conforme requerido.

Camada 1 – Física – Esta camada refere-se à transmissão de um fluxo de bits não estruturado sobre mídia física; ela trata das características mecânicas, elétricas, funcionais e de processo para acessar a mídia física.

Camada 2 – Dados – Esta camada fornece a transferência confiável de informações pela da camada física; ela envia blocos de dados com o sincronismo, controle de erros, controle sequencial e controle de fluxo.

Camada 3 – Rede – Esta camada fornece camadas superiores com independência das tecnologias de transmissão e comutação de dados utilizados para conectar sistemas; ela é responsável por estabelecer, manter e encerrar conexões.

Camada 4 – Transporte – Esta camada fornece transferência confiável e transparente de dados entre pontos finais, recuperação de erros de ponta a ponta e controle de fluxo, e segmentação e remontagem de mensagens muito grandes.

Camada 5 – Sessão – Esta camada fornece a estrutura de controle para comunicação entre aplicações; ela estabelece, gerencia e encerra conexões (sessões) entre aplicações de cooperação.

Camada 6 – Apresentação – Esta camada fornece independência ao processo da aplicação das diferenças na representação de dados (sintaxe).

Camada 7 – Aplicação – Esta camada fornece acesso ao ambiente OSI para usuários e também fornece serviços de informações distribuídas.

Não é requerido que qualquer norma baseada no modelo OSI, incluindo a NBR ISO 11783, seja particionada explicitamente nas sete camadas OSI, desde que a funcionalidade fundamental seja suportada. Nem todas as camadas OSI são requeridas para a rede NBR ISO 11783, porque esta rede é um sistema de comunicações específico, suportando conjuntos específicos de aplicações para uma indústria específica.

Somente as camadas requeridas para o uso previsto são definidas na NBR ISO 11783, com uma parte separada da NBR ISO 11783 especificando cada uma das camadas e com outras partes fornecendo suporte de funcionalidade para as camadas. Em redes concordantes com a série NBR ISO 11783, muitas mensagens são transmitidas. Estas redes incluem a rede do trator (6.6.2) e a rede do implemento (6.6.3). Portanto, os dados são transmitidos na rede sem direcioná-los para um destino específico.

Esta configuração permite que qualquer função de controle utilize os dados sem utilizar mensagens de solicitação adicionais. A NBR ISO 11783 também especifica que um endereço de destino específico seja incluído no identificador rede de área de controle (CAN) da mensagem, quando uma mensagem for direcionada para uma função de controle específica. O formato da mensagem específica de destino é, portanto, diferente do formato da mensagem global de destino.

A comunicação de propriedade também é permitida na NBR ISO 11783, utilizando formatos de mensagens específicas de destino ou mensagem globais de destino. A NBR ISO 11783-2 especifica a subcamada de acesso à mídia para as ECU e a subcamada dependente do meio físico para as redes do trator e do implemento. A interface da ECU deve estar em conformidade com a subcamada de sinalização física, conforme normalizado na ISO 11898-1:2015, e a subcamada de acesso à mídia física, conforme normalizado na ISO 11898-2:2016. A rede é composta de um único cabo linear torcido quadruplamente conectado a cada ECU em um nó. Um cabo curto fornece uma conexão do nó ao cabo torcido quadruplamente para cada ECU.

Circuitos de polarização da terminação ativos são especificados para cada extremidade de um segmento de rede. A NBR ISO 11783-2 também especifica os conectores requeridos para conectar implementos a tratores, ECUs adicionais a uma rede existente instalada no equipamento e uma ferramenta de serviço na rede. A NBR ISO 11783-2 também especifica as fontes de energia requeridas para a operação da rede e suas conexões.

As ECU concordantes com a série NBR ISO 11783 devem utilizar o Formato de Estrutura Estendida CAN Clássica, definido na ISO 11898-1:2015. Os formatos de estruturas CAN FD não podem ser utilizados. A NBR ISO 11783-3 define a estrutura do identificador CAN para especificar os formatos de mensagens. Os formatos de mensagem ou unidades de dados de protocolo são utilizados para identificar o conteúdo de uma mensagem.

A NBR ISO 11783-3 especifica um campo (PF) de formato PDU de 8 bits, um campo (PS) específico PDU de 8 bits e um campo de página de dados de 2 bits que é utilizado para identificar uma PDU. Para reduzir a sobrecarga de mensagens, a NBR ISO 11783-3 especifica que um número de itens ou parâmetros de dados relativos deve ser agrupado dentro de uma PDU. A NBR ISO 11783 especifica mensagens adicionais para mensagens proprietárias do fabricante.

As mensagens que necessitam de mais 8 bytes de dados são enviadas como mensagens multipacote. A NBR ISO 11783-3 especifica um protocolo de transporte para transmitir mensagens multipacote de até 1 785 bytes de comprimento. A NBR ISO 11783-6 especifica um segundo protocolo de transporte para transmitir mensagens de 1 786 bytes até 117 megabytes.

As definições individuais do formato de mensagem da aplicação, incluindo a taxa de transmissão da mensagem, o comprimento da estrutura de dados, a página de dados, PF, PS ou DA e a prioridade padrão, são fornecidas na parte da NBR ISO 11783 que especifica a aplicação específica. Quando duas redes com diferentes arquiteturas de rede forem conectadas, o integrador do sistema conectado deve utilizar uma unidade de interligação de rede para isolar cada segmento de rede do outro.

As unidades de interligação de rede estão detalhadas na NBR ISO 11783-4. Também é possível que sistemas complexos possam requerer mais do que o limite elétrico de 30 nós, conforme especificado na NBR ISO 11783-2, em uma série NBR ISO 11783. Nestes casos, o fabricante do sistema do implemento deve utilizar unidades de interligação de rede para manter os limites de carga elétrica requeridos da rede.

Cada função de controle que se comunica na rede de dados da ABNT NBR ISO 11783 requer um endereço da fonte (SA). Se uma ECU realizar as mais de uma função de controle, um endereço é requerido para cada função de controle. Para identificar exclusivamente cada função de controle, a NBR ISO 11783-5 especifica um NAME de 64 bits. A NBR ISO 11783-5 define o processo específico para determinar os endereços de fonte e resolver quaisquer conflitos de endereço que possam ocorrer.

O SA é pré-ajustado ou dinamicamente reivindicado por cada controlador, à medida que são ativados. Um NAME deve ser designado para cada função de controle que se comunica em uma rede NBR ISO 11783. Existem exemplos, como um terminal virtual e porta de gerenciamento em uma ECU comum, onde vários NAME e endereços coexistem dentro de uma única ECU.

A base de dados da NBR ISO 11783 em http://www.isobus.net/ lista os seguintes códigos para campos de um NAME: as indústrias que utilizam especificações de gerenciamento de rede ABNT NBR ISO 11783; endereços pré-ajustados ou preferidos para funções de controle não específicas; endereços iniciais designados para equipamentos agrícolas e florestais; os NAME a serem utilizados pelas funções de controle em uma rede de dados da NBR ISO 11783; os fabricantes que fornecem ECU para operar em uma rede de dados ABNT NBR ISO 11783. Os endereços utilizados pelas funções de controle também são ilustrados.

A NBR ISO 11783 suporta dois ou mais segmentos de rede. Um segmento é identificado como a rede do trator. Este segmento é destinado a fornecer as comunicações de controle e dados para o trem de acionamentos e chassi do trator ou a unidade de energia principal em um sistema. O segundo segmento é identificado como a rede do implemento que fornece as comunicações de controle e dados entre implementos e entre implementos e o trator ou a unidade de energia principal no sistema. Uma ECU do trator é requerida para conectar à rede do trator e a rede do implemento.

Dá para medir a eficácia da segurança da informação em sua empresa?

Os criminosos digitais estão cada vez mais querendo acessar as empresas e a segurança da informação, nesse contexto, passa a ser um ponto de extrema importância ligada à estratégia corporativa. Para se ter uma ideia, estima-se que o número de ataques cibernéticos aumentou entre 30 e 40% na América Latina nos últimos anos.

Assim, para garantir um bom nível de segurança, é fundamental ter uma infraestrutura robusta. Portanto, deve-se investir em vários aspectos: arquitetura, design de um esquema de proteção, operações e práticas seguras, além de uma boa gestão de riscos.

Quanto à arquitetura, pode-se pensar na análise do projeto de uma prisão ou de uma base militar. Sempre se deve levar em consideração qual é a finalidade de um edifício. Ele abrigará réus de alta periculosidade? Que informações e objetos ficarão dentro de uma área militar?

O sistema precisa ser projetado como um todo, já que ele é formado por um conjunto de componentes que devem ser protegidos individualmente. Uma infraestrutura segura leva em conta um design geral da solução sem deixar de prestar atenção à proteção dos dados. Dessa forma, há uma segurança específica para cada um dos elementos: servidores, computadores, a rede, os componentes de comunicação, etc.

Ao configurar um serviço ou registrar um usuário, essas ações estão relacionadas a uma interação com um sistema e também devem ser feitas com segurança. Uma pessoa pode até ter um automóvel extremamente seguro e equipado com os melhores acessórios de segurança, mas acabará sofrendo um acidente se dirigir bêbado ou ultrapassar o limite de velocidade da via.

É preciso considerar as boas práticas que estabelecem qual é a melhor forma de atuar na maioria dos casos e das vezes. Precisa-se saber como são essas boas práticas e adotá-las para ter uma referência de aprimoramento.

Todas as empresas são diferentes. Cada setor tem suas próprias ameaças e exposições a riscos específicos. Por isso, é importante contar com uma referência. Quais seriam as circunstâncias de uma pequena e média empresa? Depende da área de atuação e da importância das informações com as quais essa empresa trabalha. Traçar um panorama de riscos gera certeza na hora de avaliar até que ponto deve-se otimizar o sistema e o que é preciso priorizar.

Quanto à computação na nuvem, possibilita a realização de operações seguras por causa de sua arquitetura e de seu design de soluções. A arquitetura da nuvem assemelha-se a uma fortaleza. Ela já fica armada e as operações e configurações são feitas pelo provedor, motivo pelo qual há menos exposição aos riscos.

E pode-se medir a eficácia de todo esse sistema?A NBR ISO/IEC 27004 de 04/2010 – Tecnologia da informação – Técnicas de segurança – Gestão da segurança da informação – Medição fornece as diretrizes para o desenvolvimento e uso de métricas e medições a fim de avaliar a eficácia de um Sistema de Gestão de Segurança da Informação (SGSI) implementado e dos controles ou grupos de controles, conforme especificado na NBR ISO/IEC 27001. Esta norma é aplicável a todos os tipos e tamanhos de organizações.

O usuário deste documento precisa interpretar corretamente cada uma das formas verbais das expressões fornecidas (por exemplo: “deve”, “não deve”, “convém que”, “não convém que”, “pode”, “não precisa” e “não pode”) como sendo um requisito a ser atendido e/ou recomendações em que existe certa liberdade de escolha. Convém que seja consultado o Anexo A da ISO/IEC 27000:2009 para esclarecimentos adicionais.

Esta norma fornece diretrizes para elaboração e uso de medidas e medições a fim de avaliar a eficácia de um Sistema de Gestão de Segurança da Informação (SGSI) implementado e de controles ou grupos de controles, conforme especificado na NBR ISO/IEC 27001. Isto inclui a política, gestão de riscos de segurança da informação, objetivos de controles, controles, processos e procedimentos, e apoio ao processo de sua revisão, ajudando a determinar se algum processo ou controle do SGSI precisa ser modificado ou melhorado.

É necessário lembrar que nenhuma medição de controles pode garantir segurança completa. A implementação desta metodologia constitui um Programa de Medição de Segurança da Informação. O Programa de Medição de Segurança da Informação vai apoiar a gestão na identificação e avaliação de processos e controles do SGSI ineficazes e não conformes e na priorização de ações associadas com a melhoria ou modificação desses processos e/ou controles.

Também pode auxiliar a organização na demonstração da conformidade com a NBR ISO/IEC 27001 e prover evidências adicionais para os processos de análise crítica pela direção e de gestão de riscos em segurança da informação. Esta norma assume que o ponto de partida para o desenvolvimento das medidas e medições é o entendimento claro dos riscos de segurança da informação que a organização enfrenta e que as atividades de análise de riscos da organização têm sido executadas corretamente (por exemplo, baseada na NBR ISO/IEC 27005), conforme requerido pela NBR ISO/IEC 27001.

O Programa de Medição de Segurança da Informação encorajará que uma organização forneça informações confiáveis às partes interessadas pertinentes relacionadas com os riscos de segurança da informação e com a situação do SGSI implementado para gerenciar esses riscos. Se for eficazmente implementado, o Programa de Medição de Segurança da Informação aumentará a confiança das partes interessadas nos resultados das medições e possibilitará às partes interessadas a usarem essas medidas para realizar a melhoria contínua da segurança da informação e do SGSI.

Os resultados acumulados de medição permitirão a comparação do progresso em atingir os objetivos de segurança da informação sobre um período de tempo como parte de um processo de melhoria contínua do SGSI da organização. A NBR ISO/IEC 27001 exige que a organização “realize análises críticas regulares da eficácia do SGSI levando em consideração os resultados da eficácia das medições” e que “meça a eficácia dos controles para verificar se os requisitos de segurança da informação foram alcançados”.

A NBR ISO/IEC 27001 também exige que a organização “defina como medir a eficácia dos controles ou grupo de controles selecionados e especifique como essas medidas devem ser usadas para avaliar a eficácia dos controles para produzir resultados comparáveis e reproduzíveis”. A abordagem adotada por uma organização para atender os requisitos de medição especificados na NBR ISO/IEC 27001 vai variar de acordo com o número de fatores significantes, incluindo os riscos de segurança da informação que a organização enfrenta, o tamanho da organização, recursos disponíveis, e requisitos legais, regulatórios e contratuais aplicáveis.

A seleção e a justificativa criteriosa do método usado para atender aos requisitos de medição são importantes para assegurar que recursos em excesso não sejam direcionados a estas atividades do SGSI em detrimento de outras. Em condições ideais, as atividades de medição em curso devem ser integradas nas operações normais da organização com um acréscimo mínimo de recursos.

Os objetivos da medição de Segurança da informação no contexto de um SGSI incluem: avaliar a eficácia dos controles ou grupos de controles implementados (ver “4.2.2 d)” na Figura 1); avaliar a eficácia do SGSI implementado (ver 4.2.3 b)” na Figura 1); verificar a extensão na qual os requisitos de segurança da informação identificados foram atendidos (ver “4.2.3 c)” na Figura 1); facilitar a melhoria do desempenho da segurança da informação em termos dos riscos de negócio globais da organização; fornecer entradas para a análise crítica pela direção para facilitar as tomadas de decisões relacionadas ao SGSI e justificar as melhorias necessárias do SGSI implementado.

A Figura 1 ilustra o relacionamento cíclico de entrada e saída das atividades de medição em relação ao ciclo Planejar-Fazer-Checar-Agir (PDCA), especificado na NBR ISO/IEC 27001. Os números em cada figura representam as subseções relevantes da NBR ISO/IEC 27001:2006.

Clique nas figuras para uma melhor visualização

Convém que a organização estabeleça objetivos de medição baseados em certas considerações, incluindo: o papel da segurança da informação em apoiar as atividades globais da organização e os riscos que ela encara; requisitos legais, regulatórios e contratuais pertinentes; estrutura organizacional; custos e benefícios de implementar as medidas de segurança da informação; critério de aceitação de riscos para a organização; e a necessidade de comparar diversos SGSI dentro da própria organização. Convém que uma organização estabeleça e gerencie um Programa de Medição de Segurança da Informação, a fim de alcançar os objetivos de medição estabelecidos e adotar um modelo PDCA nas atividades de medição globais da organização.

Também convém que uma organização desenvolva e implemente modelos de medições, a fim de obter resultados repetitivos, objetivos e úteis da medição baseado no Modelo de Medição da Segurança da Informação (ver 5.4). Convém que o Programa de Medição de Segurança da Informação e o modelo de medição desenvolvidos assegurem que uma organização alcance efetivamente os objetivos e as medições de forma repetitiva e forneça os resultados das medições para as partes interessadas pertinentes de modo a identificar as necessidades de melhorias do SGSI implementado, incluindo seu escopo, políticas, objetivos, controles, processos e procedimentos.

Convém que um Programa de Medição de Segurança da Informação inclua os seguintes processos: desenvolvimento de medidas e medição (ver Seção 7); operação da medição (ver Seção 8); relato dos resultados da análise de dados e da medição (ver Seção 9); e avaliação e melhoria do Programa de Medição de Segurança da Informação (ver Seção 10). Convém que a estrutura organizacional e operacional de um Programa de Medição de Segurança da Informação seja determinada levando em consideração a escala e a complexidade do SGSI do qual ele é parte.

Em todos os casos, convém que os papéis e responsabilidades para o Programa de Medição de Segurança da Informação sejam explicitamente atribuídos ao pessoal competente ( ver 7.5.8). Convém que as medidas selecionadas e implementadas pelo Programa de Medição de Segurança da Informação, estejam diretamente relacionadas à operação de um SGSI, a outras medidas, assim como aos processos de negócio da organização.

As medições podem ser integradas às atividades operacionais normais ou executadas a intervalos regulares determinados pela direção do SGSI. Assim, o Modelo de Medição de Segurança da Informação é uma estrutura que relaciona uma necessidade de informação com os objetos relevantes da medição e seus atributos. Objetos de medição podem incluir processos planejados ou implementados, procedimentos, projetos e recursos.

O Modelo de Medição de Segurança da Informação descreve como os atributos relevantes são quantificados e convertidos em indicadores que fornecem uma base para a tomada de decisão. A Figura 2 mostra o modelo de medição de Segurança da Informação.

Uma medida básica é a medida mais simples que pode ser obtida. A medida básica resulta da aplicação do método de medição aos atributos selecionados de um objeto de medição. Um objeto de medição pode ter muitos atributos, dos quais somente alguns podem fornecer valores úteis a serem atribuídos a uma medida básica. Um dado atributo pode ser usado para diversas medidas básicas.

Um método de medição é uma sequência lógica de operações usadas para quantificar um atributo de acordo com uma escala especificada. A operação pode envolver atividades, tais como a contagem de ocorrências ou observação da passagem do tempo. Um método de medição pode aplicar atributos a um objeto de medição.

Exemplos de um objeto de medição incluem mas não estão limitados a: desempenho dos controles implementados no SGSI; situação dos ativos de informação protegidos pelos controles; desempenho dos processos implementados no SGSI; comportamento do pessoal que é responsável pelo SGSI implementado; atividades de unidades organizacionais responsáveis pela segurança da informação; e grau da satisfação das partes interessadas.

Um método de medição pode usar objetos de medição e atributos de variadas fontes, tais como: análise de riscos e resultados de avaliações de riscos; questionários e entrevistas pessoais; relatórios de auditorias internas e/ou externas; registros de eventos, tais como logs, relatórios estatísticos, e trilhas de auditoria; relatórios de incidentes, particularmente aqueles que resultaram na ocorrência de um impacto; resultados de testes, por exemplo, testes de invasão, engenharia social, ferramentas de conformidade, e ferramentas de auditoria de segurança; ou registros de segurança da informação da organização relacionados a programa e procedimentos, por exemplo, resultados de treinamentos de conscientização em segurança da informação.

Uma medida derivada é um agregado de duas ou mais medidas básicas. Uma dada medida básica pode servir como entrada para diversas medidas derivadas. Uma função de medição é um cálculo usado para combinar medidas básicas para criar uma medida derivada. A escala e a unidade da medida derivada dependem das escalas e unidades das medidas básicas das quais ela é composta, assim como da forma como elas são combinadas pela função de medição.

A função de medição pode envolver uma variedade de técnicas, como média de medidas básicas, aplicação de pesos a medidas básicas, ou atribuição de valores qualitativos a medidas básicas. A função de medição pode combinar medidas básicas usando escalas diferentes, como porcentagens e resultados de avaliações qualitativas. Um exemplo do relacionamento de elementos adicionais na aplicação do modelo de medição de Segurança da informação, por exemplo, medidas básicas, função de medição e medidas derivadas são apresentadas na Tabela 2.

Um indicador é uma medida que fornece uma estimativa ou avaliação de atributos especificados derivados de um modelo analítico de acordo com a necessidade de informação definida. Indicadores são obtidos pela aplicação de um modelo analítico a uma medida básica e/ou derivada, combinando-as com critérios de decisão. A escala e o método de medição afetam a escolha das técnicas analíticas utilizadas para produzir os indicadores. Um exemplo de relacionamentos entre medidas derivadas, modelo analítico e indicadores para o modelo de medição de Segurança da informação é apresentado na Tabela 3.

Se um indicador for representado em forma gráfica, convém que possa ser usado por usuários visualmente debilitados e que cópias monocromáticas possam ser feitas. Para tornar a representação possível, convém que ela inclua cores, sombreamento, fontes ou outros métodos visuais.

Os resultados de medição são desenvolvidos pela interpretação de indicadores aplicáveis baseados em critérios de decisão definidos e convém que sejam considerados no contexto global dos objetivos de medição para avaliação da eficácia do SGSI. O critério de decisão é usado para determinar a necessidade de ação ou investigação futura, bem como para descrever o nível de confiança nos resultados de medição.

Os critérios de decisão podem ser aplicados a uma série de indicadores, por exemplo, para conduzir análise de tendências baseadas em indicadores recebidos a intervalos de tempo diferente. Alvos fornecem especificações detalhadas para desempenho, aplicáveis à organização ou partes dela, derivados dos objetivos de segurança da informação tais como os objetivos do SGSI e objetivos de controle, e que precisam ser definidos e atendidos para se alcançar esses objetivos.