ISO/IEC 27002:2005 Objetivos de Controle e Controles

A.5.1.1 Documento da política de segurança da informação

A.5.1.2 Análise crítica da política de segurança da informação

A.6.1.1 Comprometimento da direção com a segurança da informação

A.6.1.2 Coordenação da segurança da informação

A.6.1.3 Atribuição de responsabilidades para a segurança da informação

A.6.1.4 Processo de autorização para os recursos de processamento da informação

A.6.1.5 Acordos de confidencialidade

A.6.1.6 Contato com autoridades

A.6.1.7 Contato com grupos especiais

A.6.1.8 Análise crítica independente de segurança da informação

A.6.2.1 Identificação dos riscos relacionados com partes externas

A.6.2.2 Identificando a segurança da informação quando tratando com os clientes

A.6.2.3 Identificando segurança da informação nos acordos com terceiros

A.7.1.1 Inventário dos ativos

A.7.1.2 Proprietário dos ativos

A.7.1.3 Uso aceitável dos ativos

A.7.2.1 Recomendações para classificação

A.7.2.2 Rótulos e tratamento da informação

A.8.1.1 Papéis e responsabilidades

A.8.1.2 Seleção

A.8.1.3 Termos e condições de contratação

A.8.2.1 Responsabilidades da direção

A.8.2.2 Conscientização, educação e treinamento em segurança da informação

A.8.2.3 Processo disciplinar

A.8.3.1 Encerramento de atividades

A.8.3.2 Devolução de ativos

A.8.3.3 Retirada de direitos de acesso

A.9.1.1 Perímetro de segurança física

A.9.1.2 Controles de entrada física

A.9.1.3 Segurança em escritórios, salas e instalações

A.9.1.4 Proteção contra ameaças externas e do meio ambiente

A.9.1.5 Trabalhando em áreas seguras

A.9.1.6 Acesso do público, áreas de entrega e de carregamento

A.9.2.1 Instalação e proteção do equipamento

A.9.2.2 Utilidades

A.9.2.3 Segurança do cabeamento

A.9.2.4 Manutenção dos equipamentos

A.9.2.5 Segurança de equipamentos fora das dependências da organização

A.9.2.6 Reutilização e alienação segura de equipamentos

A.9.2.7 Remoção de propriedade

A.10.1.1 Documentação dos procedimentos de operação

A.10.1.2 Gestão de mudanças

A.10.1.3 Segregação de funções

A.10.1.4 Separação dos recursos de desenvolvimento, teste e de produção

A.10.2.1 Entrega de serviços

A.10.2.2 Monitoramento e análise crítica de serviços terceirizados

A.10.2.3 Gerenciamento de mudanças para serviços terceirizados

A.10.3.1 Gestão de capacidade

A.10.3.2 Aceitação de sistemas

A.10.4.1 Controle contra códigos maliciosos

A.10.4.2 Controles contra códigos móveis

A.10.5.1 Cópias de segurança das informações

A.10.6.1 Controles de redes

A.10.6.2 Segurança dos serviços de rede

A.10.7.1 Gerenciamento de mídias removíveis

A.10.7.2 Descarte de mídias

A.10.7.3 Procedimentos para tratamento de informação

A.10.7.4 Segurança da documentação dos sistemas

A.10.8.1 Políticas e procedimentos para troca de informações

A.10.8.2 Acordos para a troca de informações

A.10.8.3 Mídias em trânsito

A.10.8.4 Mensagens eletrônicas

A.10.8.5 Sistemas de informações do negócio

A.10.9.1 Comércio eletrônico

A.10.9.2 Transações on-line

A.10.9.3 Informações publicamente disponíveis

A.10.10.1 Registros de auditoria

A.10.10.2 Monitoramento do uso do sistema

A.10.10.3 Proteção das informações dos registros (logs)

A.10.10.4 Registros (log) de administrador e operador

A.10.10.5 Registros (logs) de falhas

A.10.10.6 Sincronização dos relógios

A.11.1.1 Política de controle de acesso

A.11.2.1 Registro de usuário

A.11.2.2 Gerenciamento de privilégios

A.11.2.3 Gerenciamento de senha do usuário

A.11.2.4 Análise crítica dos direitos de acesso de usuário

A.11.3.1 Uso de senhas

A.11.3.2 Equipamento de usuário sem monitoração

A.11.3.3 Política de mesa limpa e tela limpa

A.11.4.1 Política de uso dos serviços de rede

A.11.4.2 Autenticação para conexão externa do usuário

A.11.4.3 Identificação de equipamento em redes

A.11.4.4 Proteção e configuração de portas de diagnóstico remotas

A.11.4.5 Segregação de redes

A.11.4.6 Controle de conexão de rede

A.11.4.7 Controle de roteamento de redes

A.11.5.1 Procedimentos seguros de entrada no sistema (logon)

A.11.5.2 Identificação e autenticação de usuário

A.11.5.3 Sistema de gerenciamento de senha

A.11.5.4 Uso de utilitários de sistema

A.11.5.5 Desconexão de terminal por inatividade

A.11.5.6 Limitação de horário de conexão

A.11.6.1 Restrição de acesso à informação

A.11.6.2 Isolamento de sistemas sensíveis

A.11.7.1 Computação e comunicação móvel

A.11.7.2 Trabalho remoto

A.12.1.1 Análise e especificação dos requisitos de segurança

A.12.2.1 Validação dos dados de entrada

A.12.2.2 Controle do processamento interno

A.12.2.3 Integridade de mensagens

A.12.2.4 Validação de dados de saída

A.12.3.1 Política para o uso de controles criptográficos

A.12.3.2 Gerenciamento de chaves

A.12.4.1 Controle de software operacional

A.12.4.2 Proteção dos dados para teste de sistema

A.12.4.3 Controle de acesso ao código- fonte de programa

A.12.5.1 Procedimentos para controle de mudanças

A.12.5.2 Análise crítica técnica das aplicações após mudanças no sistema operacional

A.12.5.3 Restrições sobre mudanças em pacotes de software

A.12.5.4 Vazamento de informações

A.12.5.5 Desenvolvimento terceirizado de software

A.12.6.1 Controle de vulnerabilidades técnicas

A.13.1.1 Notificação de eventos de segurança da informação

A.13.1.2 Notificando fragilidades de segurança da informação

A.13.2.1 Responsabilidades e procedimentos

A.13.2.2 Aprendendo com os incidentes de segurança da informação

A.13.2.3 Coleta de evidências

A.14.1.1 Incluindo segurança da informação no processo de gestão da continuidade de negócio

A.14.1.2 Continuidade de negócios e análise/avaliação de risco

A.14.1.3 Desenvolvimento e implementação de planos de continuidade relativos à segurança da informação

A.14.1.4 Estrutura do plano de continuidade do negócio

A.14.1.5 Testes, manutenção e reavaliação dos planos de continuidade do negócio

A.15.1.1 Identificação da legislação vigente

A.15.1.2 Direitos de propriedade intelectual

A.15.1.3 Proteção de registros organizacionais

A.15.1.4 Proteção de dados e privacidade da informação pessoal

A.15.1.5 Prevenção de mau uso de recursos de processamento da informação

A.15.1.6 Regulamentação de controles de criptografia

A.15.2.1 Conformidade com as políticas e normas de segurança da informação

A.15.2.2 Verificação da conformidade técnica

A.15.3.1 Controles de auditoria de sistemas de informação

A.15.3.2 Proteção de ferramentas de auditoria de sistemas de informação