Contexto interno e externo
Inclui a atividade da empresa, a sua exposição a ameaças do setor e fatores externos como a regulamentação de proteção de dados aplicável.
Partes interessadas e os seus requisitos
Clientes com cláusulas de confidencialidade, RGPD, reguladores setoriais, seguradoras... é preciso identificar quais têm requisitos relevantes para o sistema.
Âmbito do SGSI
Define que ativos, localizações, sistemas e processos o sistema de gestão da segurança da informação cobre, com as interfaces e dependências de terceiros.
O que o auditor costuma pedir
- Documento de contexto revisto anualmente
- Lista de partes interessadas com os seus requisitos de segurança
- Declaração do âmbito do SGSI
- Inventário de ativos de informação com proprietário
Como cobrir o contexto no Kimobox
- 1Documente o contexto do SGSI como mais um registo do sistema.
- 2Registe as partes interessadas e os seus requisitos de segurança numa tabela com versões.
- 3Construa o inventário de ativos de informação com proprietário e classificação.
O inventário de ativos fica ligado aos processos que os utilizam, não numa folha à parte.
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022