ser analisada criticamente a intervalos planejados ou quando mudanças significativas ocorrerem, para assegurar a sua contínua pertinência, adequação e eficácia.

ser estabelecida a priori e não deve sofrer modificações, já que dela dependem os controles que asseguram a integridade e confidencialidade dos ativos da organização.

ser sólida o suficiente para não ter que ser criticada na presença de mudanças no ambiente organizacional, nas circunstâncias do negócio ou no ambiente técnico.

gerar um documento que será mantido com a classificação mais alta possível de confidencialidade, disponível apenas aos gestores, já que estabelece critérios de natureza crítica para a organização e que não devem ser amplamente divulgados sob pena de comprometer a segurança como um todo.

isentar-se de estabelecer responsabilidades específicas de gestão da segurança da informação, já que as estruturas organizacionais podem ser modificadas, e essas responsabilidades teriam que ser modificadas também.

Confidencialidade

Integridade

Identidade

Autenticidade

Prazos de Retenção

gestão de vulnerabilidades técnicas

gestão da continuidade do negócio

proteção de registros organizacionais

atribuição de responsabilidades para a segurança da informação

conscientização, educação e treinamento em segurança da informação

definição de escopo e limites do SGSI.

elaboração de plano de tratamento de riscos.

implementação de plano de tratamento de riscos.

condução de auditorias internas no SGSI.

identificação de tentativas e falhas de segurança.

a segurança de recursos humanos.

o gerenciamento da segurança em redes.

a segurança física e do ambiente.

a gestão de incidentes de segurança da informação.

a gestão de ativos.

aquisição, desenvolvimento e manutenção de sistemas de informação.

gestão da continuidade do negócio.

gestão de incidentes de segurança da informação.

segurança de recursos humanos.

acessos.

Em um processo de auditoria interna os auditores auditam seu próprio trabalho.

Em uma auditoria interna, a definição das responsabilidades e dos requisitos é dispensável para o planejamento e a execução de um procedimento documentado.

As atividades de acompanhamento devem abranger a verificação das ações executadas e o relato dos resultados de verificação.

O responsável pela área a ser auditada deve assegurar que as ações sejam executadas com qualidade, para eliminar as não conformidades detectadas e as suas causas, não importando a quantidade de tempo despendido.

A objetividade e a imparcialidade são princípios que devem ser observados na seleção dos auditores; na execução de auditorias, contudo, em virtude de a auditoria ser uma atividade caracterizada pela discricionariedade, esses princípios não devem ser plenamente adotados.

O sistema de gestão da segurança da informação (SGSI), componente do sistema de gestão global que se fundamenta na abordagem de riscos do negócio, é responsável pelo estabelecimento, implementação, operação, monitoramento, análise crítica, manutenção e melhoramento da segurança da informação.

Gestão de riscos consiste no processo de comparar o risco estimado com os critérios de risco predefinidos, a fim de determinar a importância do risco.

Evento de segurança da informação é um evento (ou uma série de eventos) que ocorre de maneira indesejada ou inesperada, podendo comprometer as operações do negócio e ameaçar a segurança da informação.

O incidente de segurança da informação consiste em um incidente que, caso seja identificado em um estado de sistema, serviço ou rede, indica a ocorrência de uma possível violação da política de segurança da informação, bem como de uma falha de controles ou de uma situação previamente desconhecida que possa ser relevante à segurança da informação.

Confidencialidade corresponde à propriedade de classificar uma informação sigilosa como confidencial.

Análise crítica da Política de Segurança da Informação.

Classificação e tratamento da informação.

Estruturação e manutenção do inventário dos ativos.

Identificação e análise crítica de acordos de confidencialidade.

Identificação dos riscos relacionados com partes externas.