Não conformidade é o descumprimento de um requisito de uma norma, regulamentação ou procedimento interno, identificado em uma auditoria. Em normas como a ISO/IEC 27001, costuma ser classificada como maior, quando compromete o sistema de gestão, ou menor, quando é uma falha pontual, e exige análise de causa raiz e ação corretiva. Por exemplo, faltar evidência das revisões de acesso.
Como a TecnetOne resolve isso: TecnetGRC (conformidade)
não conformidade maior, não conformidade menor, achado de auditoria, ação corretiva, não conformidade ISO
Termos relacionados
Maturidade em segurança da informação
Maturidade em segurança da informação é o grau em que as práticas de segurança de uma organização estão estabelecidas, documentadas e em melhoria contínua, medido por um modelo de maturidade em níveis que vão de processos informais a processos medidos e otimizados. Uma avaliação de maturidade mostra onde a empresa está, compara com um framework de referência e ajuda a priorizar o próximo passo.
Declaração de aplicabilidade (SoA)
A declaração de aplicabilidade (SoA, Statement of Applicability) é o documento obrigatório da ISO/IEC 27001 que lista os controles do Anexo A, indica quais a organização aplica e justifica a inclusão ou exclusão de cada um. É um dos primeiros documentos que o auditor de certificação revisa, porque liga a avaliação de riscos aos controles efetivamente implementados.
CISO virtual (vCISO)
Um CISO virtual (vCISO) é um serviço em que um especialista externo assume as funções de diretor de segurança da informação (CISO, Chief Information Security Officer) por hora ou assinatura: estratégia, políticas, gestão de riscos e reporte à diretoria. É frequente em empresas de médio porte que precisam dessa liderança para uma auditoria ou exigência de cliente, mas não justificam uma contratação em tempo integral.
ISO 27017 e ISO 27018
A ISO/IEC 27017 e a ISO/IEC 27018 são normas internacionais que estendem os controles da ISO/IEC 27002 aos serviços em nuvem. A ISO 27017 acrescenta controles de segurança para provedores e clientes de nuvem, enquanto a ISO 27018 protege os dados pessoais que um provedor de nuvem pública trata em nome do cliente. Ambas costumam ser avaliadas com a ISO/IEC 27001.
Apetite e tolerância ao risco
Apetite ao risco é o nível de risco que uma organização aceita para cumprir seus objetivos, definida pela alta direção ou pelo conselho. Tolerância ao risco é a variação aceitável desse nível em uma métrica específica. Por exemplo, o apetite pode ser baixo para vazamento de dados de clientes, com tolerância de poucas horas de indisponibilidade por ano no sistema de pagamentos.
Quer levar o conceito para a sua operação?
Conte o que você precisa e um engenheiro da TecnetOne responde.
Falar com um engenheiroFalar com um engenheiro
Conte o que você precisa e respondemos em português.