Questões de Tecnologia da Informação - Gestão de segurança da informação - ISO 27001 - 2014

eliminar a causa e a repetição de qualquer não conformidade observada nas fases do SGSI.

eliminar as causas de não conformidades potenciais com os requisitos do SGSI, de forma a evitar a sua ocorrência.

realizar auditorias internas das não conformidades para corrigir e adequar o SGSI.

realizar análise crítica das não conformidades para corrigir e adequar o SGSI.

determinar as responsabilidades dos indivíduos em relação às não conformidades e aplicar as punições previstas.

deve conter procedimentos e controles de apoio ao sistema de gerenciamento da segurança da informação.

não contempla um relatório de análise de riscos do sistema de gerenciamento da segurança da informação.

não inclui uma descrição do escopo do sistema de gerenciamento da segurança da informação.

não contempla um plano de tratamento de riscos do sistema de gerenciamento da segurança da informação.

deve contemplar a listagem completa dos programas fonte inseridos no sistema de gerenciamento da segurança da informação.

um problema de indisponibilidade de ao menos um dos servidores.

um incidente de segurança da informação.

a detecção de uma vulnerabilidade nos servidores.

a ocorrência de um risco.

uma falha na segurança da informação.

A medição da eficácia dos controles permite que gestores e equipe determinem o quanto esses controles alcançaram satisfatoriamente os objetivos planejados. Essa medição, assim como implementar programas de conscientização e treinamento, deve ser realizada na fase Check — monitorar e analisar criticamente o SGSI.

Assegurar que as melhorias atinjam os objetivos pretendidos bem como ajudar a detectar eventos de segurança da informação fazem parte da fase Check — monitorar e analisar criticamente o SGSI.

A declaração de aplicabilidade documentada que descreve tanto os objetivos de controle como os controles que são pertinentes ao SGSI da organização deve fazer parte do planejamento geral do SGSI; no entanto, como medida de segurança, essa declaração não deve ser incluída na documentação do SGSI.

Ao estabelecer um SGSI, as organizações devem definir uma política específica para esse sistema nos termos das características do negócio. Essa política, por sua vez, é considerada o documento maior da política de segurança da informação das organizações.

Elicitar e identificar riscos fazem parte da fase Plan — estabelecer o SGSI —, ao passo que analisar e avaliar os riscos devem ser realizados na fase Do — implementar e operar o SGSI.

melhorar

estabelecer

implementar

operar

monitorar