Autenticidade: propriedade que assegura a correspondência entre o autor de determinada informação e a pessoa, processo ou sistema a quem se atribui a autoria.
Aquisição de evidência: processo de coleta e cópia das evidências relacionadas a incidente de segurança em redes computacionais.
Autoridade nacional de proteção de dados: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da Lei 13.709, de 2018, em todo o território nacional.
Ciclo de vida da informação: compreende etapas e eventos de produção, recebimento, armazenamento, acesso, uso, alteração, cópia, transporte e descarte da informação.
Colaborador: prestador de serviço terceirizado, estagiário ou qualquer pessoa com vínculo transitório com o COGES/RO que tenha acesso, de forma autorizada, às informações ou às dependências da Contabilidade Geral de Estado de Rondônia.
Coleta de evidências de segurança em redes computacionais: processo de obtenção de itens físicos que contém um potencial risco ou evidência, mediante a utilização de metodologia e ferramentas adequadas. Este processo inclui a aquisição, ou seja, a geração das cópias das mídias, ou coleção de dados que contenham evidências do incidente.
Confidencialidade: propriedade que garante que a informação seja acessada somente pelas pessoas ou processos que tenham autorização para tal.
Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais.
Controle de acesso: conjunto de procedimentos, recursos e meios utilizados com a finalidade de conceder ou bloquear o acesso ao uso de recursos físicos ou computacionais.
Controles de privacidade: medidas que tratam os riscos de privacidade por meio da redução de sua probabilidade ou de suas consequências.
Controles de segurança: medidas adotadas para evitar ou diminuir o risco de ocorrência de um incidente de segurança da informação.
Custodiante da informação: qualquer pessoa física ou jurídica, interna ou externa, ou unidade do Tribunal que detém a posse, mesmo que transitória, de informação produzida ou recebida pela Contabilidade Geral de Estado de Rondônia.
Dados Anonimizados: dados relativos a titulas que não possa ser identificado ou se tornar identificável, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião do seu tratamento.
Dados Pseudonimizado: é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro
Dado pessoal: informação relacionada à pessoa natural identificada ou identificável.
Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Disponibilidade: propriedade que garante que as informações estejam acessíveis às pessoas e aos processos autorizados, no momento requerido.
Dispositivos móveis: equipamentos portáteis dotados de capacidade computacional ou dispositivos removíveis de memória para armazenamento, entre os quais se incluem, não limitando a estes: notebooks, notebooks, smartphones, tablets, pen drives, USB drives, HD externo e cartões de memória.
Encarregado de proteção de dados pessoais – data protection officer (DPO): pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
EQUIPE DE TRATAMENTO A INCIDENTES (ETI) – Equipe de tratamento e resposta a incidentes em redes computacionais: grupo de pessoas com responsabilidade de receber, analisar e responder às notificações e atividades relacionadas a incidentes cibernéticos.
Gestão de riscos em segurança da informação e privacidade: processo de natureza permanente, estabelecido, direcionado e monitorado pela alta administração, que contempla as atividades de identificação, avaliação e gerenciamento de potenciais eventos que possam afetar a organização, destinado a fornecer segurança razoável quanto à realização de seus objetivos.
Gestão de vulnerabilidades: conjunto de atividades coordenadas que tem por objetivo a redução, a níveis aceitáveis, das vulnerabilidades de segurança encontradas durante o processo de “Análise de Segurança” ou “Análise de Vulnerabilidades” em um determinado ativo ou conjunto de ativos de Tecnologia da Informação e Comunicação – TIC.
Incidente: interrupção não planejada ou redução na qualidade de um serviço.
Incidente de segurança da informação: evento adverso, confirmado ou sob suspeita, que pode comprometer, real ou potencialmente, a disponibilidade, a integridade, a confidencialidade ou a autenticidade de sistema de informação ou das informações processadas, armazenadas ou transmitidas por esse sistema.
Informação: conjunto de dados, textos, imagens, métodos, sistemas ou quaisquer formas de representação dotadas de significado em determinado contexto, independentemente do suporte em que resida ou da forma pela qual seja veiculado.
Integridade: propriedade que garante a não violação das informações com intuito de protegê-las contra alteração, gravação ou exclusão indevida, acidental ou proposital.
Invasão: incidente de segurança no qual o ataque foi bem-sucedido, resultando no acesso, na manipulação ou na destruição de informações em um computador ou em um sistema da organização.
Log ou registro de auditoria: registro de eventos relevantes em um dispositivo ou sistema computacional.
Medidas de segurança: medidas destinadas a garantir sigilo, inviolabilidade, integridade, autenticidade e disponibilidade da informação classificada em qualquer grau de sigilo.
Níveis de acesso: especificam quanto de cada recurso ou sistema o usuário pode utilizar. Notificação de incidente: ato de informar eventos ou incidentes para uma equipe de tratamento de incidentes de rede ou grupo de segurança.
Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
Perfil de acesso: conjunto de atributos de cada usuário, definidos previamente como necessários para credencial de acesso.
Plano de continuidade de negócio: documentação dos procedimentos e informações necessárias para que a Contabilidade Geral de Estado de Rondônia mantenha seus ativos de informação críticos e a continuidade de suas atividades críticas em local alternativo em um nível previamente definido, em casos de incidentes.
Plano de resposta a incidentes: plano de ação claramente definido e documentado, para ser usado em caso de incidente que basicamente englobe os principais recursos, serviços e outras ações que sejam necessárias para implementar o processo de gerenciamento de incidentes.
Privacy by default: conceito de garantir que o uso e o tratamento de dados pessoais sejam minimizados ao máximo. Somente as informações estritamente necessárias para a proposta do produto, serviço ou software devem ser coletadas, utilizadas, armazenadas e difundidas.
Privacy by design: conceito de utilizar a privacidade de dados desde a concepção de um determinado projeto, produto ou serviço, integrando-a desde a criação, desenvolvimento e planejamento.
Programa corporativo de gestão da segurança da informação e privacidade de dados: programa de governança em privacidade com base nas normas ISO da família 27000, que objetiva aumentar o nível de confidencialidade, integridade e disponibilidade das informações e processos críticos de informação da Contabilidade Geral de Estado de Rondônia, além de adequar-se à Lei n. 13.709, de 2018, delineando ações para a aplicação de diretrizes visando a maximizar o desempenho do Tribunal nos aspectos de segurança da informação e privacidade.
Programa de gestão da continuidade de negócios: processo contínuo de gestão e governança suportado pela alta direção e que recebe recursos apropriados para garantir que os passos necessários estão sendo tomados de forma a identificar o impacto de perdas em potencial, manter estratégias e planos de recuperação viáveis e garantir a continuidade de fornecimento de produtos e serviços por intermédio de análises críticas, testes, treinamentos e manutenção.
Responsável pela informação: órgão colegiado da DTI, autoridade da COGES ou dirigente de área ou unidade responsável por informação em matéria de sua competência ou inerente a sua área de atuação.
Security by design: conceito de incorporar boas práticas de segurança da informação desde a concepção de um determinado projeto, produto ou serviço, integrando-a desde a criação, desenvolvimento e planejamento.
Segurança da informação: proteção da informação contra ameaças a sua confidencialidade, integridade, disponibilidade e autenticidade, para minimizar riscos, garantir a eficácia das ações do negócio e preservar a imagem da Contabilidade Geral de Estado de Rondônia.
Termo de responsabilidade: termo assinado pelo usuário concordando em contribuir com a disponibilidade, a integridade, a confidencialidade, a autenticidade e a privacidade das informações a que tiver acesso, bem como assumir responsabilidades decorrentes de tal acesso.
Time de resposta a incidentes de segurança: time responsável por receber, analisar e responder a notificações e atividades relacionadas a incidentes de segurança em computadores.
Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Trilha de auditoria: registro ou conjunto de registros gravados em arquivos de log ou outro tipo de documento ou mídia, que possam indicar, de forma cronológica e inequívoca, o autor e a ação realizada em determinada operação, procedimento ou evento.
Usuário externo: qualquer pessoa física ou jurídica que tenha acesso, de forma autorizada, a informações produzidas ou custodiadas pelo Tribunal e que não seja usuário interno ou usuário colaborador.
Usuário interno: qualquer servidor ou unidade da COGES que tenha acesso, de forma autorizada, a informações produzidas ou custodiadas pelo própria Contabilidade Geral de Estado.
Vazamento de dados: transmissão não autorizada de dados de dentro de uma organização para um destino ou recipiente externo. O termo pode ser usado para descrever dados que são transferidos eletronicamente ou fisicamente. Pode ocorrer de forma acidental ou intencional (pela ação de agentes internos, pela ação de agentes externos ou pelo uso de software malicioso).
Violação de privacidade: situação em que os dados pessoais são tratados em violação de um ou mais requisitos pertinentes de salvaguarda da privacidade.