Gab certo , item 7.5 da norma 27.001
7.5 Informação documentada
7.5.1 Geral
O sistema de gestão da segurança da informação da organização deve incluir:
a) informação documentada requerida por esta Norma;
b) informação documentada determinada pela organização como sendo necessária para a eficácia do sistema de gestão da segurança da informação.
NOTA A abrangência da informação documentada para o sistema de gestão da segurança da informação pode variar de uma organização para outra devido:
1) ao tamanho da organização e seu tipo de atividades, processos, produtos e serviços;
2) à complexidade dos processos e suas interações;
3) à competência das pessoas.
7.5.2 Criando e atualizando
Quando da criação e atualização da informação documentada, a organização deve assegurar, de forma apropriada:
a) identificação e descrição (por exemplo, título, data, autor ou um número de referência);
b) formato (por exemplo, linguagem, versão do software, gráfi cos) e o seu meio (por exemplo, papel, eletrônico); e
c) análise crítica e aprovação para pertinência e adequação.
7.5.3 Controle da informação documentada
A informação documentada requerida pelo sistema de gestão da segurança da informação e por esta Norma deve ser controlada para assegurar que:
a) esteja disponível e adequada para o uso, onde e quando necessário;
b) esteja protegida adequadamente (por exemplo, contra perda de confi dencialidade, uso indevido ou perda de integridade).
Para o controle da informação documentada, a organização deve considerar as seguintes atividades, conforme aplicadas:
a) distribuição, acesso, recuperação e uso;
b) armazenagem e preservação, incluindo a preservação da legibilidade;
c) controle de mudanças (por exemplo, controle de versão);
d) retenção e disposição.
A informação documentada de origem externa, determinada pela organização como necessária para o planejamento e operação do sistema de gestão da segurança da informação, deve ser identifi cada como apropriado, e controlada.
NOTA O acesso implica em uma decisão quanto à permissão para apenas ler a informação documentada ou a permissão e autoridade para ver e alterar a informação documentada.