ISO 27005: gestão de riscos de segurança da informação
Metodologia para identificar, analisar e tratar riscos de segurança da informação, a base sobre a qual a ISO 27001 se apoia.
- Inventário de ativos de informação
- Identificação de riscos
- Análise e avaliação
- Tratamento
Recebemos!
Em breve alguém da GESS Gestão e Negócios fala com você.
Sinais de que é hora de agir
Onde a GESS entra
Inventário de ativos de informação
O que precisa ser protegido, com dono e criticidade.
Identificação de riscos
Ameaças e vulnerabilidades por ativo e processo.
Análise e avaliação
Probabilidade, impacto e nível de risco, com critério documentado.
Tratamento
Decisão por risco: reduzir, transferir, evitar ou aceitar, com plano e responsável.
Monitoramento
Rotina de revisão e realimentação do sistema de gestão.
Um método claro, em 4 etapas
Diagnóstico
Situação atual frente às diretrizes da norma.
Estruturação
Método, critérios e responsabilidades definidos.
Implantação
Práticas e controles instalados na operação real.
Monitoramento
Indicadores e revisão em rotina de gestão.
Empresas implantando ou mantendo a ISO 27001, e organizações que precisam justificar investimento em segurança com base em risco.
O que muda na sua empresa
Método reconhecido em vez de improviso
A empresa passa a seguir uma referência internacional consolidada, e não a opinião de quem estiver na sala.
Evidência para clientes e auditorias
Mesmo sem certificado, fica registro estruturado que sustenta questionamento de cliente, banco ou órgão.
Base pronta para certificar depois
Se a certificação passar a ser exigida, boa parte do caminho já estará construída.
Risco tratado antes de virar custo
O que hoje é sabido informalmente vira risco mapeado, com responsável e ação.
Custo proporcional
Sem taxa de organismo certificador, o investimento fica concentrado na melhoria em si.
Gestão que sobrevive à troca de pessoas
O conhecimento fica documentado na empresa, não na memória de um profissional.
Dúvidas rápidas
A ISO 27005 é certificável?
Não. Ela dá o método de gestão de riscos que sustenta o SGSI da ISO 27001, que é a norma certificável.
Serve sem a ISO 27001?
Serve. A análise de risco tem valor por si só: ela mostra onde investir e onde não vale a pena.
Qual a relação com a ISO 31000?
A 31000 é o método geral de gestão de riscos; a 27005 aplica esse método ao contexto específico de segurança da informação.
Com que frequência revisar?
Ao menos anualmente, e sempre que houver mudança relevante de tecnologia, processo, fornecedor ou incidente.
Outros serviços da GESS
ISO 9001: Sistema de Gestão da Qualidade
Implantação e manutenção do SGQ conforme a ISO 9001, processos padronizados, indicadores de qualidade e preparação completa para a auditoria de…
Saiba maisISO 14001: Sistema de Gestão Ambiental
Gestão ambiental conforme a ISO 14001, levantamento de aspectos e impactos, requisitos legais, controle operacional e preparação para a certificação.
Saiba maisISO 45001: Saúde e Segurança Ocupacional
Implantação do sistema de gestão de SSO conforme a ISO 45001, identificação de perigos, controle de riscos, participação dos trabalhadores e…
Saiba maisVamos conversar sobre a ISO 27005: Gestão de Riscos de Segurança da Informação?
Peça um diagnóstico de lacunas: a gente mostra o que já está pronto e o que falta para atender a norma.