Avaliação e tratamento de riscos
Identificar os riscos para a confidencialidade, integridade e disponibilidade de cada ativo, avaliá-los e decidir o tratamento: aceitar, mitigar, transferir ou evitar.
Declaração de aplicabilidade
Documento que justifica que controlos do Anexo A se aplicam e quais se excluem, com o seu estado de implementação.
Objetivos de segurança e planeamento
Objetivos coerentes com a política, mensuráveis, com um plano de ação: o que será feito, com que recursos, quem é responsável e como serão avaliados os resultados.
O que o auditor costuma pedir
- Matriz de riscos de segurança com tratamento definido
- Declaração de aplicabilidade (SoA) atualizada
- Objetivos de segurança com indicador, responsável e data
- Plano de tratamento de riscos com acompanhamento
Como cobrir o planeamento no Kimobox
- 1Registe a análise de riscos de cada ativo com o seu tratamento e o seu proprietário.
- 2Mantenha a declaração de aplicabilidade ligada à evidência de cada controlo.
- 3Defina objetivos de segurança com indicador e deixe o sistema calcular o acompanhamento.
A declaração de aplicabilidade deixa de ser um Excel: cada controlo fica ligado à sua evidência real.
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022