-
4 Sistema de gestão de segurança da informação
4.1 Requisitos gerais
A organização deve estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar um
SGSI documentado dentro do contexto das atividades de negócio globais da organização e os riscos que ela
enfrenta.
FONTE: ISO27001
-
Existem três fontes principais.
A primeira fonte é derivada da avaliação de risco dos ativos da organização. Através da avaliação de risco são identificadas as ameaças aos ativos, as vulnerabilidades e sua probabilidade de ocorrência é avaliada, bem como o impacto potencial é estimado.
A segunda fonte é a legislação vigente, os estatutos, a regulamentação e as cláusulas contratuais que a organização, seus parceiros, contratados e prestadores de serviço têm que atender.
A terceira fonte é o conjunto particular de princípios, objetivos e requisitos para o processamento da informação que uma organização tem que desenvolver para apoiar suas operações.
Fonte: http://www.webartigos.com/articles/20197/1/SEGURANCA-DA-INFORMACAO/pagina1.html#ixzz1IZg8S8TU
-
O comentário anterior pode ser encontrado no item 0.3 da ISO 27002, assim descrito:
0.3 Como estabelecer requisitos de segurança da informação
É essencial que uma organização identifique os seus requisitos de segurança da informação. Existem três fontes principais de requisitos de segurança da informação. - Uma fonte é obtida a partir da análise/avaliação de riscos para a organização, levando-se em conta os objetivos e as estratégias globais de negócio da organização. Por meio da análise/avaliação de riscos, são identificadas as ameaças aos ativos e as vulnerabilidades destes, e realizada uma estimativa da probabilidade de ocorrência das ameaças e do impacto potencial ao negócio.
- Uma outra fonte é a legislação vigente, os estatutos, a regulamentação e as cláusulas contratuais que a organização, seus parceiros comerciais, contratados e provedores de serviço têm que atender, além do seu ambiente socioculturual.
- A terceira fonte é um conjunto particular de princípios, objetivos e requisitos do negócio para o processamento da informação que uma organização tem que desenvolver para apoiar suas operações.
-
AINDA CORRETO CONFORME A VERSÃO DE 2013 DA NORMA
SEGUNDO A ISO 27002:2013,"0.2 Requisitos de segurança da informação
É essencial que uma organização identifique os seus requisitos de segurança da informação.
Existem três fontes principais de requisitos de segurança da informação.
c)A terceira fonte são os conjuntos particulares de princípios, objetivos e os requisitos do negócio para o manuseio, processamento, armazenamento, comunicação e arquivo da informação, que uma organização tem que desenvolver para apoiar suas operações."