9 Avaliação do desempenho
9.1 Monitoramento, medição, análise e avaliação
A organização deve avaliar o desempenho da segurança da informação e a eficácia do sistema de gestão da segurança da informação.
A organização deve determinar:
a) o que precisa ser monitorado e medido, incluindo controles e processos de segurança da informação;
b) os métodos para monitoramento, medição, análise e avaliação, conforme aplicável, para assegurar resultados válidos;
NOTA Os métodos selecionados devem produzir resultados comparáveis e reproduzíveis para serem válidos.
c) Quando o monitoramento e a medição devem ser realizados;
d) o que deve ser monitorado e medido;
e) quando os resultados do monitoramento e da medição devem ser analisados e avaliados;
f) quem deve analisar e avaliar estes resultados.
A organização deve reter informação documentada apropriada como evidência do monitoramento e dos resultados da medição.
Fonte: ISO 27001:2013