ISO 27001

ISO 27001

0 - GERAL
1. PROVER UM MODELO PARA (EIOMAMM)
2. FOCADA EM REQUISITOS
3. BASEADA NO CICLO PDCA
4. COMPATÍVEL COM OUTROS SISTEMAS DE GESTÃO (EX: 9001)
1 - OBJETIVOS
1. ENGLOBA TODOS OS TIPOS DE ORGANIZAÇÕES
2. ESPECIFICA REQUISITOS PARA (EIOMAMM) E CONTROLES
2 - REFERÊNCIAS
1. EM CONJUNTO COM A ISO 27002 (INDISPENSÁVEL)
3 - TERMOS
1. ATIVO
  1. QUALQUER COISA QUE TENHA VALOR PARA A ORGANIZAÇÃO
2. DISPONIBILIDADE
  1. PROPRIEDADE DE SEMPRE ESTAR ATIVA (ONLINE)
3. CONFIDENCIALIDADE
  1. PROPRIEDADE DE NÃO ESTAR DISPONÍVEL A QUEM NÃO TEM AUTORIZAÇÃO
4. SEGURANÇA DA INFORMAÇÃO
  1. PRESERVAÇÃO, INTEGRIDADE (ITENS, INFORMAÇÃO...)
5. EVENTO DE SI
  1. MUDANÇA DE ESTADO IDENTIFICADA
6. INCIDENTE DE SI
  1. UM OU MAIS EVENTOS QUE PODEM COMPROMETER O NEGÓCIO
7. SISTEMA DE GESTÃO DE SI
  1. ABORDAGEM DE RISCOS PARA EIOMAMM
8. INTEGRIDADE
  1. PROPRIEDADE DE SALVAGUARDA DA EXATIDÃO E COMPLETEZA DOS ATIVOS
9. RISCO RESIDUAL
  1. RISCO REMANESCENTE (APÓS TRATADO)
10. ACEITAÇÃO DO RISCO
  1. ACEITAÇÃO DO RISCO RESIDUAL (PELA ALTA GESTÃO)
11. ANÁLISE DE RISCO
  1. IDENTIFICAR E ESTIMAR RISCOS
12. ANÁLISE/AVALIAÇÃO DE RISCO
  1. PROCESSO COMPLETO DA ANÁLISE E AVALIAÇÃO DOS RISCOS
13. AVALIAÇÃO DE RISCO
  1. COMPARAR OS RISCOS COM OS CRITÉRIOS E CLASSIFICAR A INPORTÂNCIA
14. GESTÃO DE RISCO
  1. COORDENAR A ORGANIZAÇÃO PARA GERIR OS RISCOS
15. TRATAMENTO DE RISCO
  1. SELECIONAR E IMPLEMENTAR MEDIDAS PARA MODIFICAR UM RISCO
16. DECLARAÇÃO DE APLICABILIDADE
  1. DOCUMENTAÇÃO QUE DESCREVE OS OBJETIVOS DE CONTROLE E CONTROLES QUE SÃO APLICADOS AO SGSI
4 - SGSI
1. REQUISITOS
  1. BASEADO NO CICLO PDCA - (PLAIN, DO,CHECK, ACT)
2. ESTABELECENDO E GERENCIAMENTO DO SGSI
  1. ESTABELECER O GSI
    1. DEFINIR O ESCOPO E OS LIMITES DO SGSI
    2. DEFINIR AS POLÍTICAS DO SGSI NOS TERMOS DO NEGOCIO
    3. DEFINIR A ABORDAGEM DE ANÁLISE E AVALIAÇÃO DE RISCOS
    4. IDENTIFICAR OS RISCOS
    5. ANALISAR E AVALIAR OS RISCOS
    6. IDENTIFICAR AS OPÇÕES PARA TRATAR RISCOS
    7. SELECIONAR OBJETOS DE CONTROLE E CONTROLES (P/ O TRATAMENTO)
    8. OBTER A APROVAÇÃO DA DIREÇÃO SOBRE OS RISCOS RESIDUAIS
    9. OBTER APROVAÇÃO DA DIREÇÃO PARA IMPLANTAR E OPERAR O SGSI
    10. PREPARAR UMA DECLARAÇÃO DE APLICABILIDADE
  2. IMPLEMENTAR E OPERAR O SGSI
    1. FORMULAR UM PLANO PARA TRATAMENTO DE RISCOS
    2. IMPLEMENTAR O PLANO PARA TRATAMENTO DE RISCOS
    3. IMPLEMENTAR OS CONTROLES
    4. DEFINIR (COMO) MEDIR A EFICÁCIA DOS CONTROLES
    5. IMPLEMENTAR PROGRAMAS DE CONSIENTIZAÇÃO E TREINAMENTO
    6. GERENCIAR AS OPERAÇÕES DO SGSI
    7. GERENCIAR OS RECURSOS PARA O SGSI
    8. IMPLEMENTAR PROCEDIMENTOS E OUTROS CONTOLES PARA DETECÇÃO DE EVERNTOS E RESPOSTA A INCIDENTES
  3. MONITORAR E ANALISAR CIRTICAMENTE
    1. EXECUTAR PROCESSOS DE MONITORAÇÃO E ANÁLISE (P/ DETECTAR ERROS VIOLAÇÕES...)
    2. REALIZAR ANÁLISE CRÍTICAS REGULARES (SEM PRAZO ESPECÍFICO)
    3. MEDIR A EFICÁCIA DOS CONTROLES
    4. CONDUZIR AUDITORIAS INTERNAS A INTERVALOS PLANEJADOS (SEM PRAZO ESPECÍFICO)
    5. ATUALIZAR OS PLANOS DE SEGURANÇA DA INFORMAÇÃO
    6. REGISTRAR AÇÕES OU INFORMAÇÕES QUE POSSAM TER UM IMPACTO DO SGSI
  4. MANTER E MELHOR O SGSI
    1. IMPLEMENTAR MELHORIAS IDENTIFICADAS
    2. EXECUTAR AÇÕES PREVENTIVAS E CORRETIVAS
    3. COMUNICAR AS INFORMAÇÕES DAS MELHORIAS A TODAS AS PARTES INTERESSADAS
    4. ASSEGURAR QUE AS MELHORIAS ATINJAM OS OBJETIVOS
3. REQUISITOS DA DOCUMENTAÇÃO
  1. GERAL
    1. REGISTRO DE DECISÕES DA DIREÇÃO, ASSEGURANDO QUE SEJAM RASTREÁVEIS
    2. DEVE INCLUIR: POLÍTICAS E OBJETIVOS ; O ESCOPO ; OS PROCEDIMENTOS DE CONTROLE ; UMA DESCRIÇÃO DA METODOLOGIA DE ANÁLISE/AVALIAÇÃO DE RISCOS ; O RELATÓRIO DE ANÁLISE E AVALIAÇÃO DE RISCOS ; O PLANO PARA TRATAMENTOS DE RISCOS ; PROCEDIMENTOS DOCUMENTADOS PARA O PLANEJAMENTO EFETIVO (COMO MEDIR...) ; OS REGISTROS DA NORMA E A DECLARAÇÃO DE APLICABILIDADE
  2. CONTROLE DE DOCUMENTOS
    1. APROVAR OS DOCUMENTOS ANTES DE EMITI-LOS
    2. ANALISAR CRITICAMENTE OS DOCUMENTOS E QUANDO NECESSÁRIO REPROVA-LOS
    3. ASSEGURAR REVISÃO DOS DOCUMENTOS E SUAS VERSÕES
    4. ASSEGURAR QUE A DOCUMENTAÇÃO ESTEJA DISPONÍVEL NOS LOCAIS DE USO
    5. ASSEGURAR QUE ELES PERMANEÇAM LEGÍVEIS E IDENTIFICADOS
    6. ASSEGURAR QUE OS DOCUMENTOS DE ORIGEM EXTERNA ESTEJAM IDENTIFICADOS
    7. ASSEGURAR A DISTRIBUIÇÃO CONTROLADO DOS DOCUMENTOS
    8. PREVENIR O USO DOS DOCUMENTOS SÓ A QUEM É AUTORIZADO
5 - RESPONSABILIDADES DA DIREÇÃO
1. EVIDENCIAR O COMPROMETIMENTO COM O GSI - (EIOMAMM)
  1. ESTABELECIMENTO DA POLITICA DO SGSI
  2. GARANTINDO QUE SÃO ESTABELECIDOS PLANOS E OBJETIVOS
  3. ESTABELECENDO PAPEIS E RESPONSABILIDADES
  4. COMUNICAÇÃO COM A ORGANIZAÇÃO PARA ATENDER OS OBJETIVOS DA SEGURANÇA DA INFORMAÇÃO (EX: PORTARIA, MEMORANDO...)
  5. PROVISÃO DE RECURSOS SUFICIENTES
  6. DEFINIR CRITÉRIO PARA DEFINIR A ACEITAÇÃO DOS RISCOS
  7. GARANTIR QUE AS AUDITORIAS INTERNAS SEJAM REALIZADAS
  8. CONDUZIR ANÁLISES CRÍTICAS DO SGSI PELA DIREÇÃO (REVISÃO DE TUDO)
2. GESTÃO DOS RECURSOS
  1. DETERMINAR E PROVER RECURSOS PARA (EIOMAMM)
  2. ASSEGURAR QUE OS PROCEDIMENTOS DA SI APOIAM OS NEGOCIOS
  3. IDENTIFICAR E TRATAR: REQUESITOS LEGAIS, REGULAMENTARES,OBRIGAÇÕES CONTRATUAIS
  4. MANTER A SEGURANÇA DA INFORMAÇÃO PARA MANTER A SI ATRAVÉS DOS CONTROLES
  5. REALIZAR ANÁLISES CRÍTICAS QUANDO NECESSÁRIO E REAGIR AOS RESULTADOS
  6. ONDE PRECISAR, MELHORAR A EFICÁCIA DO SGSI
  7. TREINAMENTO, CONSCIENTIZAÇÃO E COMPETÊNCIA
    1. DETERMINAR AS COMPETÊNCIAS NECESSÁRIAS PARA O PESSOAL QUE EXECUTA TRABALHOS
    2. FORNECER TREINAMENTO OU EXECUTAR OUTRAS AÇÕES
    3. AVALIAR A EFICÁCIA DAS AÇÕES (DOS TREINAMENTOS)
    4. MANTER O REGISTRO DE EDUCAÇÃO, TREINAMENTO, HABILIDADES, EXPERIÊNCIA E QUALIFICAÇÕES
    5. ASSEGURAR QUE TODOS (DO TI) SEJAM CONSCIENTE DA RELEVÂNCIA DE SUAS ATIVIDADES E COMO ELES CONTRIBUEM PARA O ALCANCE DOS OBJETIVOS DO SGSI
6 - AUDITORIAS INTERNAS
1. CONDUZIR AUDITORIAS INTERNAS DO SGSI A INTERVALOS PLANEJADOS
2. AVERIGUAR SE OS REQUESITOS DESSA NORMA ESTÃO SENDO ATENDIDOS
3. AVERIGUAR SE ATENDEM AOS REQUESITOS DE SEGURANÇA DA INFORMAÇÃO
4. AVERIGUAR SE ESTÃO SENDO MANTIDOS E IMPLEMENTADOS EFICAZMENTE
5. AVERIGUAR SE SÃO EXECUTADOS CONFORME ESPERADO
6. O PROGRAMA DE AUDITORIA DEVE SER PLANEJADO (DEFINIR OS CRITÉRIOS DE ESCOPO, FREQUENCIA E METODOS)
7. A SELEÇÃO DOS AUDITORES DEVEM ASSEGURAR QUE AS AUDITORIAS SERÃO OBJETIVAS E IMPARCIAIS (NÃO PODEM AUDITAR O PRÓPRIO TRABALHO)
7 - ANÁLISE CRÍTICA
1. GERAL
  1. ANALISAR CRITICAMENTE O SGSI A INTERVALOS PLANEJADOS (PELO MENOS UMA VEZ POR ANO)
  2. ANALISAR AVALIAÇÃO DE OPORTUNIDADES PARA MELHORIA E A NECESSIDADE DE MUDANÇAS
  3. OS RESULTADOS DA ANÁLISE DEVEM SER DOCUMENTADOS E OS REGISTROS MANTIDOS
2. ENTRADAS
  1. RESULTADOS DA AUDITORIA E ANÁLISE CRITICA
  2. REALIMENTAÇÃO DAS PARTES INTERESSADAS (FEED BACK)
  3. TÉCNICAS OI PRODUTOS QUE PODEM SER USADOS PARA MELHORAR O DESEMPENHO DO SGSI
  4. SITUAÇÃO DAS AÇÕES PREVENTIVAS E CORRETIVAS
  5. VULNERABILIDADES OU AMEAÇAS NÃO CONTEMPLADAS
  6. RESULTADOS DA EFICÁCIA DAS MEDIÇÕES
  7. RESULTADOS DAS ANÁLISES CRÍTICAS ANTERIORES
  8. RECOMENDAÇÕES PARA MUDANÇAS
3. SAÍDAS
  1. MELHORIA DA EFICÁCIA DO SGSI
  2. ATUALIZAÇÃO DA ANÁLISE/AVALIAÇÃO DE RISCOS E DO PLANO DE TRATAMENTO
  3. MODIFICAÇÃO DE PROCEDIMENTOS E CONTROLE QUE AFETAM A SI
  4. NECESSIDADE DE RECURSOS
  5. MELHORIA DA EFICÁCIA DE MEDIÇÃO DOS CONTROLES
8 - MELHORIAS
1. MELHORIA CONTÍNUA
  1. MELHORAR CONTINUAMENTE A EFICÁCIA DO SGSI POR MEIO DAS POLÍTICAS, DOS OBJETIVOS, DAS ANÁLISES, DOS RESULTADOS DAS AUDITORIAS....
2. ÃÇÃO CORRETIVA
  1. IDENTIFICAR AS NÃO CONFIRMIDADES
  2. DETERMINAR AS CAUSAS DA NÃO CONFORMIDADE
  3. AVALIAR AÇÕES AÇÕES PARA ASSEGURAR QUE AQUELA NÃO CONFORMIDADE NÃO VOLTE A ACONTECER
  4. DETERMINAR E IMPLEMENTAR AS AÇÕES CORRETIVAS NECESSÁRIAS
  5. REGISTRAR OS RESULTADOS DAS AÇÕES EXECUTADAS
  6. ANALISAR CRITICAMENTE AS AÇÕES CORRETIVAS EXECUTADAS
3. AÇÃO PREVENTIVA
  1. ELIMINAR AS CAUSAS DE NÃO CONFORMIDADE (ANTES DE ACONTECER)
  2. IDENTIFICAR AS NÃO CONFORMIDADES EM POTENCIAL
  3. DETERMINAR AS AÇÕES PREVENTIVAS
  4. REGISTRAR OS RESULTADOS DAS AÇÕES EXECUTADAS
  5. ANALISAR CRITICAMENTE AS AÇÕES

Next up

Description

Resource summary

Similar

	Created by Raul Maia over 10 years ago