A certificação deve ser consequência de um sistema de gestão de segurança da informação que funciona. Começar apenas pela produção de documentos costuma criar evidências frágeis e controles desconectados do risco real.
Defina contexto e escopo
A organização precisa definir quais unidades, processos, ativos, tecnologias e interfaces estarão no escopo. Um limite mal definido deixa dependências críticas fora da análise ou torna o trabalho amplo demais para ser governado.
Riscos orientam controles
- 01Critérios para avaliar e tratar riscos de segurança da informação.
- 02Responsáveis por ativos, riscos, controles e aprovações.
- 03Políticas e procedimentos coerentes com a prática real.
- 04Registros que demonstrem operação, monitoramento e correção.
- 05Revisões internas e tratamento de não conformidades.
Evidência não pode ser criada na véspera
Treinamentos, análises de risco, revisões de acesso, incidentes, auditorias e decisões de gestão precisam deixar registros consistentes ao longo do tempo. A evidência comprova que o sistema opera, não apenas que foi desenhado.
iso 27001segurançacompliance
