ANEXO DE SEGURANÇA

    1. CONTROLO DE ACESSO LÓGICO
      1. Acesso
        1. A Riskonnect nega, por defeito, todo o acesso a sistemas de informação e recursos. O acesso é concedido mediante pedido para fins empresariais específicos e em conformidade com os princípios do privilégio mínimo e da separação de funções. A Riskonnect controla a utilização de privilégios administrativos através do acompanhamento, prevenção e correção da utilização, atribuição e configuração de privilégios administrativos em computadores, redes e aplicações, mediante um processo formal de recertificação de acessos.
        2. A Riskonnect mantém restrições de utilização adequadas e requisitos de configuração/ligação para o acesso a sistemas de informação (incluindo sem fios), o que exige autorização prévia para acesso aos sistemas antes de permitir tais ligações. Todo o acesso aos sistemas de informação e recursos da Riskonnect requer aprovação da gestão.
        3. A Riskonnect mantém restrições de utilização adequadas, requisitos de configuração/ligação e orientações de implementação para dispositivos móveis controlados pela organização e autoriza (conforme descrito acima) a ligação de dispositivos móveis aos sistemas de informação organizacionais.
      2. Gestão de Contas. A Riskonnect configura os seus sistemas de informação e recursos para aplicar políticas e normas de controlo de acesso e exige ou força os utilizadores a terminar sessão após um período de inatividade previamente determinado.
    2. CONSCIENCIALIZAÇÃO E FORMAÇÃO
      1. Formação de Consciencialização em Segurança
        1. A Riskonnect mantém, revê regularmente, documenta e administra formação de consciencialização em segurança para todo o pessoal da Riskonnect.
        2. A formação é administrada como parte do processo de integração de novos colaboradores e, posteriormente, de forma anual.
    3. AUDITORIA E RESPONSABILIZAÇÃO
      1. Registos de Auditoria. Os sistemas de informação da Riskonnect irão gerar registos de auditoria contendo o tipo de evento, a data e hora do evento, a localização do evento, a origem do evento, o resultado e a resposta ao evento e o(s) indivíduo(s) associado(s) ao evento, e disponibilizarão, de forma razoável, tais informações relevantes para a aplicação específica do Cliente, mediante pedido.
      2. Registo e Revisão do Sistema
        1. Os sistemas de informação da Riskonnect protegem a informação de auditoria, incluindo registos de auditoria, definições de auditoria, relatórios de auditoria e ferramentas de auditoria, contra acesso não autorizado, modificação e eliminação. A informação de auditoria deve ser objeto de cópia de segurança para um sistema ou componente de sistema fisicamente diferente do sistema ou componente que está a ser auditado. Os sistemas de informação da Riskonnect implementam proteção criptográfica para assegurar a integridade da informação de auditoria e aplicam os princípios da separação de funções e do privilégio mínimo na revisão, análise e reporte dos registos de auditoria.
        2. A Riskonnect retém os registos de auditoria para prestar suporte a investigações posteriores a incidentes de segurança e para cumprir requisitos regulamentares e organizacionais de retenção de informação.
        3. Dependendo do ambiente de alojamento relevante em que a Aplicação Riskonnect irá residir e os Dados do Cliente serão tratados, e conforme detalhado no Plano de Produto aplicável, tal ambiente de alojamento estará (a) sujeito a uma auditoria anual SOC2 Tipo2 (exceto para as aplicações Active Risk e Ventiv) e (b) terá obtido a certificação ISO 27001. Adicionalmente, como parte da auditoria anual SOC2 Tipo2 ou do processo de certificação ISO 27001, a Riskonnect contrata um terceiro qualificado para realizar uma auditoria ao ambiente de alojamento em causa e efetuar testes de penetração ao mesmo. Em vez de autorizar o Cliente a realizar a sua própria auditoria ou testes de penetração ao ambiente de alojamento em causa (mas sujeito a um requisito ao abrigo da legislação aplicável para que o Cliente tenha tal auditoria realizada), a Riskonnect disponibiliza, a pedido dos seus clientes: (1) conforme aplicável, uma cópia do seu mais recente relatório SOC 2 Tipo2 e/ou uma cópia do seu mais recente certificado ISO 27001; e (2) um resumo dos resultados anuais relacionados dos testes de penetração. Por fim, a Riskonnect responderá a questionários adicionais de segurança da informação do Cliente desde que tais questionários sejam (i) submetidos à Riskonnect não mais do que uma vez por cada período de doze (12) meses e (ii) limitados à utilização do formato SIG Lite ou CAIQ.
    4. AVALIAÇÃO E AUTORIZAÇÃO DE SEGURANÇA
      1. Autorização de Segurança. A Riskonnect designa um executivo ou gestor de nível sénior como responsável pela autorização dos sistemas de informação, assegura que tal responsável autoriza os sistemas de informação para tratamento antes do início das operações e atualiza periodicamente a autorização de segurança conforme necessário.
      2. Monitorização Contínua. A Riskonnect mantém uma estratégia de Prevenção de Perda de Dados (“DLP”) para prevenir a exfiltração de dados, mitigar os efeitos de dados exfiltrados e assegurar a privacidade e a integridade de informação sensível. A Riskonnect mantém um programa de monitorização contínua que inclui o estabelecimento de métricas a monitorizar, a frequência de monitorização, ações de resposta para tratar os resultados de tal análise e o reporte do estado de segurança do sistema de informação da Riskonnect ao pessoal apropriado.
    5. GESTÃO DE CONFIGURAÇÃO
      1. Inventário de Componentes do Sistema de Informação. A Riskonnect desenvolve, documenta e atualiza regularmente um inventário de componentes do sistema de informação. A Riskonnect deteta, acompanha e restringe todos os dispositivos de hardware nas suas redes não públicas, de modo a que apenas dispositivos autorizados tenham acesso, e deteta, acompanha e restringe todo o software nessas redes, de modo a que apenas software autorizado seja instalado.
      2. Plano de Gestão de Configuração. A Riskonnect estabelece e implementa um plano de gestão de configuração, aplicando o princípio da funcionalidade mínima. A Riskonnect estabelece, implementa e acompanha ativamente, corrige e reporta a configuração de segurança de dispositivos de infraestrutura de rede, utilizando um processo rigoroso de gestão de configuração e controlo de alterações, razoavelmente concebido para impedir que atacantes explorem serviços e definições vulneráveis. O plano de gestão de configuração aborda funções e responsabilidades e a correção de falhas, bem como define processos e procedimentos detalhados sobre como a gestão de configuração é utilizada para suportar o ciclo de vida de desenvolvimento de sistemas da Riskonnect. O plano descreve como fazer avançar alterações através do sistema, como atualizar baselines e definições de configuração, como manter inventários de componentes do sistema e como controlar ambientes de desenvolvimento, teste e operação.
      3. Configuração de Referência e Endurecimento. A Riskonnect desenvolve, documenta e mantém requisitos atuais de configuração de referência e de endurecimento para os sistemas de informação da Riskonnect. As configurações de referência e os requisitos de endurecimento são revistos e atualizados regularmente e como parte das instalações e atualizações de componentes do sistema de informação. As avaliações de conformidade de segurança são realizadas em novos servidores e aplicações antes da migração para produção e repetidas periodicamente com base no risco, para assegurar a conformidade com os requisitos de endurecimento de sistemas da Riskonnect. A Riskonnect retém versões anteriores das configurações de referência dos sistemas de informação para suportar rollback e mantém uma configuração de referência para ambientes de desenvolvimento e teste de sistemas de informação, geridos separadamente da configuração de referência operacional.
      4. Controlo de Alterações de Configuração. A Riskonnect estabelece e implementa um processo formal de controlo de alterações concebido para impedir alterações não autorizadas e documenta todas as alterações à infraestrutura de rede. A Riskonnect testa, valida e documenta alterações aos sistemas de informação antes de as implementar nos sistemas operacionais e exige que um representante de segurança da informação seja membro da equipa de controlo de alterações de configuração.
    6. PLANEAMENTO DE CONTINGÊNCIA
      1. Plano de Contingência. A Riskonnect desenvolve um plano de contingência para os sistemas de informação, que identifica missões/funções empresariais essenciais e requisitos de contingência associados, fornece objetivos de recuperação e respostas de restauro, aborda funções e responsabilidades de contingência, aborda a manutenção de funções empresariais essenciais em caso de interrupção ou falha do sistema e aborda o restauro completo do sistema sem deterioração das salvaguardas de segurança em vigor. O plano de contingência é revisto e atualizado regularmente, pelo menos anualmente, e conforme necessário para responder a alterações no ambiente de ameaças.
      2. Cópia de Segurança do Sistema de Informação e Local Alternativo de Armazenamento. A Riskonnect realiza cópias de segurança de informação ao nível do utilizador, informação ao nível do sistema e documentação do sistema, incluindo documentação relacionada com segurança. A Riskonnect mantém localizações alternativas de armazenamento que permitem o armazenamento e a recuperação rápida de informação de cópias de segurança do sistema de informação. O armazenamento de cópias de segurança do sistema de informação é protegido com salvaguardas de segurança da informação de força equivalente à do sistema primário e do local de armazenamento.
      3. Recuperação e Reconstituição do Sistema de Informação. A Riskonnect assegura prontamente a recuperação e reconstituição dos sistemas de informação para um estado de operação normal após interrupção, comprometimento ou falha. Este plano de recuperação inclui recuperação baseada em transações e protege hardware, software e firmware de cópia de segurança e restauro.
    7. IDENTIFICAÇÃO E AUTENTICAÇÃO
      1. Identificação Única. Os sistemas de informação da Riskonnect identificam e autenticam de forma única tanto utilizadores organizacionais como não organizacionais e/ou processos que atuem em nome de utilizadores, de modo que toda a atividade do utilizador possa ser rastreada até ao(s) indivíduo(s) que a realizou(aram). Os sistemas da Riskonnect utilizam encriptação padrão da indústria para todos os mecanismos de autenticação, disponibilizam capacidades de identidade federada e implementam mecanismos de autenticação resistentes a replay. Os sistemas de informação implementam autenticação multifator para acesso de rede e local a contas privilegiadas e não privilegiadas.
      2. Não Repúdio. Os sistemas de informação da Riskonnect aplicam o não repúdio, de modo que a validade e autenticidade de uma ação ou tarefa não possam ser contestadas, incluindo criar e/ou alterar informação, enviar e receber mensagens, aprovar informação, assinar contratos e aprovar pedidos de aquisição.
      3. Identificação e Autenticação de Dispositivos. Os dispositivos que tentem aceder à rede da Riskonnect são identificados e autenticados de forma única através de um sistema de Controlo de Acesso à Rede (ou outros meios comparáveis) antes de estabelecer uma ligação de rede.
      4. Gestão de Autenticação. A Riskonnect gere credenciais/autenticadores de sistemas de informação utilizando as melhores práticas do setor. A Riskonnect tem em consideração o tipo de autenticação (por exemplo, baseada em token de hardware, baseada em PKI, baseada em palavra-passe, baseada em biometria, etc.) e aplica controlos de segurança adicionais conforme apropriado.
    8. RESPOSTA A INCIDENTES
      1. Programa de Resposta a Incidentes. A Riskonnect mantém um programa de resposta a incidentes por escrito que aborda a preparação, deteção, análise, contenção, erradicação e recuperação de eventos de cibersegurança. Este programa inclui procedimentos que descrevem: (i) funções e responsabilidades da equipa de resposta a incidentes; (ii) requisitos de comunicação com parceiros internos e externos; (iii) planos para detetar, responder e conter categorias comuns de incidentes; (iv) métodos para preservar evidências, manter a cadeia de custódia e realizar análise forense; (v) coordenação de processos de recuperação; (vi) processos de acompanhamento; e (vii) reporte para assegurar que detalhes críticos dos incidentes são acompanhados e que as lições aprendidas são incorporadas em procedimentos contínuos de resposta, formação e testes. O programa de resposta a incidentes inclui a coordenação de atividades de tratamento de incidentes envolvendo eventos da cadeia de fornecimento com outras organizações envolvidas na cadeia de fornecimento. O programa de resposta a incidentes é revisto e atualizado pelo menos anualmente.
      2. Tratamento de Incidentes. Se a Riskonnect descobrir ou for notificada de qualquer incidente de segurança que afete ou possa afetar os Dados do Cliente e/ou sistemas, a Riskonnect irá prontamente: (i) investigar o incidente de segurança; (ii) corrigir, mitigar, ou mitigar e corrigir, o risco para os Dados do Cliente ou sistemas e outros efeitos do incidente de segurança; (iii) preservar todos os registos relacionados e outras evidências; e (iv) implementar um plano para impedir que tal incidente de segurança volte a ocorrer.
      3. Notificação de Incidente. Se a Riskonnect descobrir ou for notificada de qualquer incidente de segurança, a Riskonnect notificará imediatamente o Cliente por escrito, mas o mais tardar no prazo de setenta e duas (72) horas a contar do momento em que a Riskonnect tome conhecimento de um incidente de segurança, incluindo a divulgação de (i) a data, hora e causa do incidente, se conhecida; (ii) os Dados do Cliente e/ou sistemas que foram expostos ou razoavelmente se acredita terem sido expostos; e (iii) se foi acedida informação pessoal identificável não pública.
      4. Reporte. A Riskonnect fornecerá ao Cliente um relatório por escrito sobre o resultado da sua investigação, incluindo qualquer risco para os Dados do Cliente e/ou sistemas e a ação corretiva que a Riskonnect tomou para responder ao incidente de segurança.
    9. MANUTENÇÃO
      1. Manutenção Não Local. A Riskonnect: (i) aprova, documenta e monitoriza atividades de manutenção e diagnóstico não locais; (ii) permite a utilização de ferramentas de manutenção e diagnóstico não locais apenas em conformidade com a política organizacional e conforme documentado no plano de segurança do sistema de informação; (iii) exige autenticação multifator para estabelecer sessões de manutenção e diagnóstico não locais através de ligações de rede externas; (iv) mantém registos das atividades de manutenção e diagnóstico não locais; e (v) termina a sessão e as ligações de rede quando a manutenção não local estiver concluída. A Riskonnect protege sessões de manutenção não local empregando autenticadores resistentes a replay e separando as sessões de manutenção de outras sessões de rede através de vias de comunicação física ou logicamente separadas com base em encriptação.
      2. Manutenção Oportuna. A Riskonnect aprova, obtém e documenta a manutenção, suporte e reparação de sistemas de informação e componentes do sistema de informação, em tempo útil após falha do sistema ou componente. A Riskonnect realiza manutenção preventiva em componentes críticos do sistema de informação em intervalos regulares, ou conforme necessário, para assegurar que estão em condições de funcionamento. Os controlos de segurança potencialmente afetados durante atividades de manutenção ou reparação são inspecionados quanto ao funcionamento adequado após a atividade. A Riskonnect aplica prontamente patches de software, atualizações e correções de código, quando disponíveis.
    10. PROTEÇÃO DE SUPORTES
      1. Utilização de Suportes. A Riskonnect emprega salvaguardas técnicas e não técnicas para restringir a utilização de suportes amovíveis e dispositivos de armazenamento portátil.
      2. Armazenamento de Suportes. A Riskonnect controla fisicamente e armazena de forma segura suportes digitais e não digitais e protege os suportes do sistema de informação até que tais suportes sejam destruídos ou higienizados utilizando técnicas seguras de destruição de dados. A Riskonnect restringe o acesso a áreas de armazenamento de suportes e mantém registos de acesso tanto para tentativas de acesso bem-sucedidas como mal-sucedidas.
      3. Transporte de Suportes. A Riskonnect: (i) protege e controla suportes do sistema de informação durante o transporte fora de áreas controladas, utilizando salvaguardas físicas e técnicas; (ii) mantém a responsabilização pelos suportes do sistema de informação durante o transporte fora de áreas controladas; (iii) documenta atividades associadas ao transporte de suportes do sistema de informação; e (iv) restringe as atividades associadas a suportes do sistema de informação a pessoal autorizado. Os sistemas de informação implementam mecanismos criptográficos para proteger a confidencialidade e a integridade da informação armazenada em suportes digitais durante o transporte fora de áreas controladas.
      4. Higienização de Suportes. A Riskonnect higieniza suportes do sistema de informação antes da eliminação, libertação do controlo organizacional ou libertação para reutilização, em conformidade com as políticas organizacionais, empregando mecanismos de higienização com força e integridade proporcionais à categoria de segurança ou classificação da informação. A Riskonnect: (i) revê e aprova suportes a higienizar para assegurar eficácia e conformidade com políticas de retenção de registos e (ii) acompanha e documenta o processo de higienização de suportes, incluindo o pessoal que manuseou tais suportes, e verifica que a higienização dos suportes foi eficaz antes da eliminação. Os sistemas de informação, componentes do sistema e dispositivos do sistema são capazes de ser purgados/apagados remotamente para proteger dados obtidos por indivíduos não autorizados.
    11. PROTEÇÃO FÍSICA E AMBIENTAL
      1. Controlo de Acesso Físico. A Riskonnect: (i) aplica autorizações de acesso físico nos pontos de entrada/saída das instalações, verificando as autorizações de acesso individuais antes de conceder acesso às instalações; (ii) mantém registos de auditoria de acesso físico para pontos de entrada/saída; e (iii) utiliza salvaguardas de segurança para controlar o acesso a tais instalações, incluindo a utilização de seguranças (apenas em instalações de processamento de dados onde os Dados do Cliente são armazenados) e dispositivos de controlo de acesso físico (por exemplo, alarmes, leitura de cartões, teclados numéricos).
      2. Localização de Componentes do Sistema de Informação. A Riskonnect posiciona componentes do sistema de informação dentro das instalações para minimizar potenciais danos decorrentes de perigos ambientais (por exemplo, inundações, incêndios, tornados, sismos, furacões, vandalismo, atos de terrorismo, pulso eletromagnético, interferência elétrica, etc.), bem como perigos físicos, incluindo a oportunidade de acesso não autorizado.
    12. PLANEAMENTO
      1. Arquitetura de Segurança da Informação. A Riskonnect mantém uma arquitetura de segurança da informação para os sistemas de informação que inclui uma descrição arquitetónica, a colocação/alocação de funcionalidade de segurança (incluindo controlos de segurança), informação relacionada com segurança para interfaces externas, informação a ser trocada através das interfaces e os mecanismos de proteção associados a cada interface. A arquitetura de segurança da informação é revista e atualizada regularmente para refletir atualizações na arquitetura empresarial, impactos externos e práticas do setor.
    13. SEGURANÇA DO PESSOAL
      1. Triagem do Pessoal. A Riskonnect realiza triagem de indivíduos antes de autorizar o acesso aos sistemas de informação da Riskonnect. A triagem inclui (mas pode não se limitar a, dependendo da localização) verificação de identidade, verificação de registo criminal e verificação de habilitações. O pessoal da Riskonnect é obrigado a auto reportar qualquer condenação por crime grave, furto ou crimes de quebra de confiança durante o seu período de emprego, no prazo de 30 dias após a condenação.
      2. Cessação de Funções do Pessoal. Aquando da cessação, a Riskonnect prontamente: (i) desativa o acesso do indivíduo ao sistema de informação; (ii) termina/revoga quaisquer autenticadores/credenciais associados ao indivíduo; (iii) realiza entrevistas de saída que incluem tópicos de segurança da informação; (iv) recupera toda a propriedade organizacional relacionada com segurança e com o sistema de informação (por exemplo, tokens de autenticação de hardware, manuais técnicos de administração de sistemas, chaves, cartões de identificação, passes de edifício, etc.); e (v) retém o acesso à informação organizacional e aos sistemas de informação anteriormente controlados pelo indivíduo cessante.
    14. AVALIAÇÃO DE RISCO
      1. Avaliação de Risco. A Riskonnect: (i) realiza uma avaliação de risco, incluindo a probabilidade e magnitude do dano, decorrente do acesso, utilização, divulgação, interrupção, modificação ou destruição não autorizados dos sistemas de informação e da informação que estes tratam, armazenam ou transmitem; (ii) documenta e revê os resultados da avaliação de risco; e (iii) atualiza a avaliação de risco pelo menos anualmente e sempre que existam alterações significativas ao sistema de informação ou ao ambiente de operação (por exemplo, a identificação de novas ameaças e vulnerabilidades).
      2. Varredura de Vulnerabilidades. A Riskonnect: (i) realiza varredura de vulnerabilidades na aplicação alojada pelo menos anualmente e quando são identificadas novas vulnerabilidades que possam afetar o sistema/aplicações; (ii) utiliza ferramentas e técnicas de varredura de vulnerabilidades que facilitam a interoperabilidade entre ferramentas e automatizam partes do processo de gestão de vulnerabilidades, utilizando normas para enumerar plataformas, falhas de software e configurações incorretas, formatar checklists e procedimentos de teste e medir o impacto das vulnerabilidades; (iii) analisa relatórios e resultados de varredura de vulnerabilidades de avaliações de controlos de segurança; (iv) corrige vulnerabilidades em conformidade com a avaliação de risco organizacional; (v) partilha informação proveniente da varredura de vulnerabilidades e das avaliações de controlos de segurança com o pessoal apropriado para ajudar a eliminar vulnerabilidades semelhantes noutros sistemas de informação; e (vi) utiliza varredura periódica externa de vulnerabilidades e testes de penetração anuais para avaliar a robustez global das defesas da Riskonnect (tecnologia, processos e colaboradores). Mediante pedido por escrito do Cliente, a Riskonnect entregará ao Cliente um resumo dos resultados dos testes de penetração externos mais recentes e das avaliações de segurança da aplicação.
    15. CICLO DE VIDA DE DESENVOLVIMENTO DE SISTEMAS
      1. A Riskonnect gere sistemas de informação utilizando um Ciclo de Vida de Desenvolvimento de Sistemas (“SDLC”) padrão da indústria que incorpora considerações de segurança da informação, define e documenta funções e responsabilidades de segurança da informação ao longo do SDLC, identifica indivíduos com tais funções ou responsabilidades e integra o processo de gestão de risco de segurança da informação da Riskonnect nas atividades do SDLC.
    16. GESTÃO DE RISCO DA CADEIA DE FORNECIMENTO
      1. A Riskonnect (i) protege contra ameaças da cadeia de fornecimento aos sistemas de informação, componentes ou serviço, empregando salvaguardas de segurança como parte de uma estratégia abrangente de segurança da informação, incluindo a utilização de estratégias seguras de aquisição, contratos, ferramentas e métodos de procurement para a compra de sistemas de informação, componentes e serviços a fornecedores; (ii) realiza revisões de fornecedores antes de celebrar um acordo contratual para adquirir sistemas de informação, componentes ou serviços; (iii) mantém salvaguardas de segurança para limitar danos decorrentes de potenciais adversários que visem a cadeia de fornecimento organizacional; e (iv) realiza avaliações dos sistemas de informação, componentes ou serviços antes da seleção, aceitação ou atualização no âmbito do envolvimento.
    17. PROTEÇÃO DE SISTEMAS E COMUNICAÇÕES
      1. Proteção de Perímetro. A Riskonnect (i) monitoriza e controla comunicações nos perímetros externos e em perímetros internos-chave do sistema organizacional; (ii) implementa sub-redes para componentes de sistema acessíveis publicamente que estão física ou logicamente separadas de redes internas; (iii) limita o número de ligações de rede externas; e (iv) utiliza uma política de negar por defeito e permitir por exceção para o tráfego de comunicações de rede, tanto para comunicações de entrada como de saída. O Serviço Riskonnect liga-se a redes externas ou a sistemas de informação apenas através de interfaces geridas. A Riskonnect gere a utilização operacional contínua de portas, protocolos e serviços em dispositivos em rede para minimizar janelas de vulnerabilidade disponíveis para atacantes.
      2. Confidencialidade e Integridade da Transmissão. Os sistemas de informação protegem a confidencialidade e a integridade da informação transmitida por meios físicos e lógicos, incluindo a utilização de procedimentos de distribuição protegidos e a limitação do acesso a periféricos (por exemplo, servidores, computadores, impressoras, scanners, máquinas de fax), e através da utilização de encriptação.
    18. INTEGRIDADE DO SISTEMA E DO SISTEMA DE INFORMAÇÃO
      1. Correção de Falhas. A Riskonnect: (i) identifica, reporta e corrige falhas do sistema de informação; (ii) testa atualizações de software e firmware quanto à eficácia e potenciais efeitos secundários antes da instalação; e (iii) instala atualizações de software e firmware relevantes para a segurança, incluindo patches, service packs, hot fixes e assinaturas antivírus, assim que estejam disponíveis. A Riskonnect gere centralmente o processo de correção de falhas, que mede o tempo entre a identificação da falha e a correção da falha e estabelece um processo para a adoção de ações corretivas.
      2. Proteção contra Código Malicioso. A Riskonnect: (i) emprega mecanismos de proteção contra código malicioso nos pontos de saída e entrada do sistema de informação (incluindo navegadores web e email) para detetar e erradicar código malicioso; (ii) atualiza mecanismos de proteção contra código malicioso sempre que novas versões estejam disponíveis e mantém a política e procedimentos de gestão de configuração organizacional para gerir tais atualizações; (iii) configura mecanismos de proteção contra código malicioso para realizar varreduras periódicas dos sistemas de informação; (iv) bloqueia, coloca em quarentena, ou ambos, código malicioso e mantém sistemas que enviam alertas ao(s) administrador(es) do sistema em resposta à deteção de código malicioso; e (v) aborda a receção de falsos positivos durante a deteção e erradicação de código malicioso, bem como todo o potencial impacto resultante na disponibilidade dos sistemas de informação.
      3. Monitorização do Sistema de Informação. A Riskonnect: (i) monitoriza os sistemas de informação para detetar ataques e indicadores de potenciais ataques, e ligações locais, de rede e remotas não autorizadas, e identifica utilização não autorizada do sistema de informação; (ii) implementa dispositivos de monitorização estrategicamente dentro do sistema de informação e em localizações ad hoc dentro do sistema; (iii) protege informação obtida a partir de ferramentas de monitorização de intrusões contra acesso não autorizado, modificação e eliminação; (iv) intensifica a atividade de monitorização quando é indicado um risco acrescido para operações organizacionais, ativos, indivíduos, outras organizações ou a nação; (v) obtém parecer jurídico relativamente a atividades de monitorização do sistema de informação em conformidade com legislação aplicável, Ordens Executivas, diretivas, políticas ou regulamentos; e (vi) fornece informação de monitorização do sistema de informação ao pessoal apropriado conforme necessário.