COBIT: visão de prova (governança e gestão)
COBIT é um framework de governança e gestão de TI orientado a objetivos, usado para assegurar que a TI gere valor, mantenha riscos em níveis aceitáveis e utilize recursos de forma responsável. Em provas, é comum cobrar a distinção entre governança (definir direção e monitorar) e gestão (planejar, construir, operar e monitorar para executar a que foi definido).
Princípios e conceitos-chave cobrados
- Foco em objetivos: traduz necessidades das partes interessadas em objetivos corporativos e de TI.
- Valor: equilíbrio entre benefícios, risco e recursos.
- Componentes do sistema de governança (termos recorrentes): processos, estruturas organizacionais, políticas/procedimentos, informação, cultura/comportamento, pessoas/competências, serviços/infra/aplicações.
Domínios do COBIT (estrutura típica de prova)
Em muitos editais, a cobrança aparece pela lógica de domínios e seus objetivos. A organização mais recorrente em concursos é:
- EDM (Evaluate, Direct and Monitor): domínio de governança. Avalia necessidades, direciona por meio de decisões e monitora desempenho e conformidade.
- APO (Align, Plan and Organize): domínio de gestão voltado a alinhamento, planejamento, arquitetura, portfólio, orçamento, riscos e fornecedores.
- BAI (Build, Acquire and Implement): domínio de gestão para aquisição/desenvolvimento, mudanças, testes, implantação e transição.
- DSS (Deliver, Service and Support): domínio de gestão para operação, suporte, incidentes, continuidade e segurança operacional.
- MEA (Monitor, Evaluate and Assess): domínio de gestão para monitoramento, controles internos, conformidade e auditoria.
Objetivos (governança e gestão) e como caem em prova
Questões costumam pedir: (1) identificar se o enunciado descreve governança (EDM) ou gestão (APO/BAI/DSS/MEA); (2) apontar o domínio mais adequado para um cenário.
- Exemplo 1 (governança/EDM): “Definir diretrizes para priorizar investimentos em sistemas judiciais e acompanhar indicadores de disponibilidade.” → EDM (direcionar e monitorar).
- Exemplo 2 (gestão/APO): “Elaborar plano de capacidade e orçamento de TI para o próximo exercício.” → APO (planejar e organizar).
- Exemplo 3 (gestão/BAI): “Implantar nova versão do PJe com plano de testes e janela de mudança.” → BAI (construir/adquirir/implementar).
- Exemplo 4 (gestão/DSS): “Atender chamados de indisponibilidade do sistema de sessões e restaurar serviço.” → DSS (entregar e suportar).
- Exemplo 5 (gestão/MEA): “Executar auditoria de controles e reportar não conformidades.” → MEA (monitorar e avaliar).
COBIT no contexto de tribunais: central de serviços e sistemas críticos
Em tribunais, a TI costuma operar serviços críticos (processo eletrônico, sistemas de sessões, portal institucional, autenticação, e-mail, redes). O COBIT ajuda a organizar responsabilidades e controles: governança define prioridades e apetite a risco; gestão executa processos de operação e mudança com rastreabilidade e métricas.
- Central de Serviços: tipicamente se relaciona a DSS (operações e suporte), com métricas de tempo de resposta, tempo de solução, satisfação e reincidência.
- Gestão de mudanças em sistemas críticos: tipicamente se relaciona a BAI (mudanças e implantação) e a APO (planejamento, riscos), com monitoramento em MEA.
ITIL: gestão de serviços em nível de prova
ITIL é um conjunto de boas práticas para Gestão de Serviços de TI (ITSM). Em provas, a cobrança é muito centrada em terminologia e na capacidade de mapear um cenário para o conceito/processo correto.
Continue em nosso aplicativo
Você poderá ouvir o audiobook com a tela desligada, ganhar gratuitamente o certificado deste curso e ainda ter acesso a outros 5.000 cursos online gratuitos.
ou continue lendo abaixo...
Baixar o aplicativo
Conceito de serviço
Serviço é um meio de entregar valor ao usuário/cliente, facilitando resultados desejados sem que ele precise gerenciar custos e riscos específicos. Em tribunais, exemplos: “Serviço de Processo Judicial Eletrônico”, “Serviço de e-mail institucional”, “Serviço de autenticação (SSO)”, “Serviço de videoconferência para audiências”.
Catálogo de serviços
Catálogo de serviços é a lista estruturada de serviços oferecidos, com descrição, como solicitar, prazos, janelas, elegibilidade e níveis de serviço. Em central de serviços, o catálogo orienta triagem e padroniza solicitações (ex.: “criar usuário”, “reset de senha”, “acesso a sistema”, “instalação de certificado”).
SLA (Acordo de Nível de Serviço)
SLA define metas mensuráveis do serviço (ex.: disponibilidade, tempo de resposta, tempo de solução por prioridade). Em prova, atenção: SLA é acordo com o cliente/negócio; internamente podem existir acordos de apoio (ex.: com equipes técnicas ou fornecedores) para viabilizar o SLA.
Incidente
Incidente é uma interrupção não planejada ou redução da qualidade de um serviço. Objetivo: restaurar o serviço o mais rápido possível, minimizando impacto. Exemplo: “PJe indisponível para protocolo” ou “falha no login do sistema de sessões”.
Problema
Problema é a causa (ou causa potencial) de um ou mais incidentes. Objetivo: eliminar causa raiz e reduzir recorrência. Exemplo: incidentes repetidos de lentidão no PJe podem levar à abertura de problema para análise de gargalo (banco, rede, aplicação) e correção definitiva.
Mudança (Change)
Mudança é a adição, modificação ou remoção de algo que possa afetar serviços. Objetivo: controlar o ciclo de vida de mudanças para reduzir risco e interrupções. Em sistemas críticos do Judiciário, mudanças exigem avaliação de impacto, janela, plano de reversão e comunicação.
Continuidade de serviço
Continuidade trata da capacidade de manter e/ou recuperar serviços em níveis acordados após incidentes graves (ex.: indisponibilidade de datacenter, ransomware, falha elétrica). Em prova, costuma aparecer ligado a planos, testes e priorização por criticidade.
Relacionando COBIT e ITIL na prática do tribunal
Uma forma frequente de cobrança é entender que COBIT fornece a visão de governança e controles (o que deve ser garantido e monitorado), enquanto ITIL detalha práticas operacionais (como organizar o dia a dia do serviço).
- COBIT (EDM): define diretrizes para disponibilidade de serviços judiciais, apetite a risco e prioridades (ex.: “PJe deve ter disponibilidade X e RTO/RPO definidos”).
- COBIT (APO/BAI): planeja e implementa mudanças com gestão de riscos e portfólio (ex.: atualização de versão, aquisição de módulos, integração com órgãos externos).
- ITIL: operacionaliza atendimento (incidentes, requisições), investiga recorrências (problemas), controla mudanças e mantém catálogo/SLA.
Passo a passo prático: operação de Central de Serviços (Service Desk) em tribunal
O fluxo abaixo é um modelo prático alinhado a ITIL para atendimento de usuários (magistrados, servidores, estagiários, unidades judiciais) e serviços críticos.
1) Registro e categorização
- Registrar chamado com: serviço afetado, unidade, usuário, impacto, urgência, evidências (prints/logs), horário e canal.
- Categorizar: incidente, requisição de serviço (ex.: acesso), dúvida, ou evento de segurança (quando aplicável).
2) Priorização (impacto x urgência)
- Definir prioridade (P1, P2, P3...) com base em: número de unidades afetadas, serviço crítico (sessões/audiências), prazo processual, indisponibilidade total/parcial.
- Associar metas de SLA por prioridade (tempo de resposta e de solução).
3) Diagnóstico inicial e tentativa de solução
- Consultar base de conhecimento e histórico de incidentes.
- Executar procedimentos padrão (ex.: reset de senha, validação de certificado, checagem de conectividade, verificação de status do serviço).
- Se resolver, registrar solução e encerrar com validação do usuário.
4) Escalonamento funcional e/ou hierárquico
- Funcional: encaminhar para equipe especializada (aplicação, banco, infraestrutura, redes, segurança) com dados completos.
- Hierárquico: acionar coordenação/gestão quando P1, risco institucional, ou necessidade de decisão (ex.: janela emergencial).
5) Comunicação e gestão de status
- Atualizar usuário/unidade com status e previsão.
- Para incidentes maiores, emitir comunicados oficiais (ex.: indisponibilidade do PJe) com canal e periodicidade definidos.
6) Encerramento e lições aprendidas
- Confirmar restauração do serviço e satisfação mínima.
- Classificar causa aparente e registrar dados para análise posterior.
- Se houver recorrência, abrir/relacionar a um problema.
Passo a passo prático: gestão de mudanças em sistema crítico (ex.: PJe)
Um roteiro de mudança controlada (ITIL) com pontos de controle que dialogam com COBIT (BAI/APO/MEA).
1) Solicitação de mudança (RFC)
- Descrever: o que muda, motivação, serviços afetados, criticidade, janela desejada, responsáveis.
- Classificar: padrão (pré-aprovada), normal (passa por avaliação), emergencial (risco alto, mas necessidade imediata).
2) Avaliação de impacto e risco
- Impacto em unidades judiciais, integrações, autenticação, banco de dados, relatórios, prazos processuais.
- Riscos: indisponibilidade, regressão funcional, segurança, desempenho.
- Definir requisitos de teste e critérios de sucesso.
3) Aprovação (governança/controle)
- Submeter a instância de aprovação (comitê/gestão responsável) conforme criticidade.
- Garantir segregação de funções quando aplicável (quem desenvolve não é quem aprova/implanta sozinho, conforme política).
4) Planejamento da implantação
- Plano de implantação: passos, responsáveis, tempo estimado, dependências.
- Plano de comunicação: quem será avisado, quando e por qual canal.
- Plano de reversão (rollback): como voltar ao estado anterior, tempo e gatilhos para acionar.
5) Testes e validações
- Testes em ambiente de homologação (funcional, regressão, desempenho quando necessário).
- Checklist de pré-implantação (backup, espaço, versões, permissões, monitoramento).
6) Execução na janela e monitoramento
- Executar conforme roteiro e registrar evidências.
- Monitorar logs, métricas e disponibilidade após a mudança.
- Se falhar critério de sucesso, acionar rollback.
7) Revisão pós-implementação
- Registrar resultados, incidentes gerados, tempo real, ajustes necessários.
- Atualizar base de conhecimento e, se necessário, abrir problema para causa raiz.
Terminologia: como diferenciar o processo correto (pegadinhas comuns)
- Incidente x Problema: incidente restaura serviço; problema elimina causa raiz. “Caiu o sistema” → incidente. “Cai toda sexta após rotina” → problema.
- Mudança x Incidente: mudança é planejada/controlada; incidente é interrupção não planejada. “Aplicar patch” → mudança. “Patch causou indisponibilidade” → incidente (e possivelmente problema).
- SLA x Catálogo: catálogo descreve serviços e como solicitar; SLA define metas mensuráveis do nível do serviço.
- Requisição de serviço x Incidente: requisição é pedido padrão (acesso, instalação, informação); incidente é falha/interrupção.
- Continuidade x Backup: continuidade envolve estratégia e capacidade de manter/recuperar serviço (RTO/RPO, testes, planos); backup é um controle/técnica que pode compor a continuidade.
Estudo de caso: fluxo de atendimento e decisão do processo adequado
Cenário: Em dia de pauta, múltiplas unidades relatam que o sistema de sessões está lento e, em seguida, indisponível. Após restauração, o problema volta a ocorrer em dias específicos. A equipe identifica que uma atualização recente alterou parâmetros de conexão e aumentou consumo de recursos.
Etapa A: tratamento como Incidente (restauração rápida)
- Registro: incidente no serviço “Sistema de Sessões”.
- Prioridade: P1 (impacto alto: várias unidades; urgência alta: sessões/audiências).
- Ação imediata: acionar equipe de aplicação e infraestrutura; aplicar procedimento de contingência (ex.: reinício controlado de serviço, aumento temporário de recursos, desativação de funcionalidade não essencial).
- Comunicação: boletins periódicos para unidades e gestão.
- Encerramento: após estabilização, registrar causa aparente e tempos (resposta/solução) para SLA.
Etapa B: abertura de Problema (causa raiz e prevenção)
- Gatilho: recorrência do incidente e alto impacto institucional.
- Análise: correlacionar logs, métricas e mudanças recentes; identificar causa raiz (parâmetros alterados na atualização).
- Erro conhecido e workaround: documentar workaround (ex.: ajuste temporário) enquanto a correção definitiva é preparada.
Etapa C: execução de Mudança (correção definitiva controlada)
- RFC: mudança normal para ajustar parâmetros e/ou aplicar hotfix validado.
- Avaliação: impacto em integrações e risco de regressão.
- Planejamento: janela fora do horário crítico; plano de rollback.
- Implantação: executar, monitorar e validar com unidades piloto.
Etapa D: atualização de Catálogo/SLA e base de conhecimento
- Atualizar artigos de suporte (sintomas, diagnóstico, solução).
- Revisar metas e alertas de monitoramento para detectar degradação antes de indisponibilidade.
Exercícios de identificação (estilo prova)
1) Assinale o conceito/processo mais adequado
- “Usuário solicita instalação de certificado digital em estação corporativa.” → Requisição de serviço (atendimento padronizado via catálogo).
- “Após atualização, o sistema passou a apresentar erro intermitente em vários módulos.” → Incidente (restaurar) e provável Problema (investigar causa raiz).
- “Definir metas de disponibilidade do PJe e acompanhar indicadores mensais.” → Governança (COBIT/EDM) e monitoramento (MEA).
- “Planejar e aprovar janela para atualização de componente que afeta autenticação.” → Mudança (ITIL) e domínio BAI no COBIT.
2) Questões de terminologia (verdadeiro/falso para treino)
- “SLA é a lista de serviços oferecidos pela TI.” → Falso (isso é catálogo).
- “Problema é qualquer interrupção não planejada do serviço.” → Falso (isso é incidente).
- “Mudança emergencial dispensa registro e avaliação.” → Falso (pode ter fluxo acelerado, mas deve ser registrada e controlada).
- “COBIT separa governança (EDM) de gestão (APO/BAI/DSS/MEA).” → Verdadeiro.
