Aprender

O tanto de risco que uma organização está disposta a aceitar para alcançar seus objetivos, antes de agir para reduzi-lo.

O processo de identificar quais processos de negócio são críticos, o impacto de cada um parar, e em quanto tempo precisam voltar a funcionar.

RTO é o tempo máximo aceitável para restaurar um sistema. RPO é a quantidade máxima de dado que se pode perder (medida em tempo). MTD é o tempo total que o negócio tolera ficar sem aquele processo antes de sofrer dano grave.

Risco inerente é o risco antes de qualquer controle ser aplicado; risco residual é o que sobra depois dos controles existentes.

Um documento estruturado que justifica formalmente uma decisão de risco pontual — por exemplo, a frequência de um controle ou uma abordagem personalizada — identificando o ativo analisado, a ameaça mitigada, os fatores de probabilidade/impacto, e a decisão resultante com sua justificativa.

O nível específico e mensurável de variação aceitável em torno de um objetivo, dentro do apetite a risco já definido.

A decisão formal sobre o que fazer com um risco identificado: mitigar, aceitar, transferir ou evitar.

Um controle alternativo usado quando o controle originalmente exigido não pode ser implementado, mas que reduz o mesmo risco por outro caminho.

Preventivo impede que o problema aconteça. Detectivo identifica que o problema já aconteceu. Corretivo corrige o problema depois de detectado.

Usar várias camadas de controle independentes, para que a falha de uma camada não signifique comprometimento total.

Dividir uma tarefa crítica entre pessoas diferentes, para que nenhuma pessoa sozinha consiga completar um processo sensível do início ao fim sem supervisão.

Não conformidade é quando um requisito não está sendo atendido. Ação corretiva é o que se faz para eliminar a causa da não conformidade, não só o sintoma.

Política é a diretriz de alto nível (o quê e por quê). Norma detalha regras específicas dentro da política. Procedimento é o passo a passo de como executar.

A estrutura de políticas, processos e responsabilidades que uma organização usa para gerir um tema de forma contínua — não uma ação única, mas um ciclo permanente.

Modelo de governança que separa quem opera o risco no dia a dia (1ª linha), quem supervisiona e dá suporte técnico de risco/compliance (2ª linha), e quem audita de forma independente (3ª linha).

Uma análise formal do risco à privacidade de um tratamento de dado pessoal antes de ele começar, feita quando o tratamento é de maior risco (grande volume, dado sensível, monitoramento sistemático, decisão automatizada).

O fundamento jurídico que autoriza um tratamento específico de dado pessoal — consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse, entre outras hipóteses previstas em lei.

Controlador é quem decide a finalidade e os meios de um tratamento de dado pessoal; operador (ou processador) é quem trata o dado só seguindo instrução do controlador, sem decidir a finalidade.

Um problema, lacuna ou desvio identificado durante uma auditoria, geralmente classificado por severidade e associado a uma recomendação.

O registro concreto (documento, print, log, link) que comprova que um controle está sendo executado de fato, não só declarado.

Comparar o estado atual de um controle ou processo contra o que um framework exige, para identificar exatamente o que falta.

BCP (Business Continuity Plan) é o plano organizacional amplo. DRP (Disaster Recovery Plan) foca na recuperação de infraestrutura de TI. ISCP (Information System Contingency Plan) é o plano técnico de um sistema de informação específico.

Uma localização de backup pronta para assumir operações se o site principal ficar indisponível — varia de 'frio' (infraestrutura básica, sem dados prontos) a 'quente' (réplica ativa, pronta em minutos).