Competências avaliadas

• Cláusula 4 — como definir o contexto, identificar partes interessadas e delimitar o escopo do SGSI
• Partes interessadas — quem são, quais requisitos impõem e como isso afeta o escopo
• Escopo do SGSI — critérios para incluir ou excluir processos, locais e sistemas
• Cláusula 5 — o que a norma exige da alta direção e o que não pode ser delegado
• Política de segurança da informação — o que precisa conter e como é diferente de procedimento
• Papéis e responsabilidades no SGSI — quem faz o quê e como é documentado
• Cláusula 6 — planejamento: ações para riscos e oportunidades antes de avaliar risco
• Avaliação de risco — metodologia, critérios de risco e como a norma orienta o processo
• Identificar, analisar e avaliar riscos — o que cada etapa exige e qual é o output
• Tratamento de risco — as quatro opções e como a escolha se conecta ao Anexo A
• Declaração de Aplicabilidade (SoA) — o que lista, por que é obrigatória e como justificar exclusões
• Objetivos de segurança da informação — o que a norma exige e como torná-los mensuráveis
• Cláusula 7 — recursos, competência e o que a norma entende por pessoa qualificada
• Conscientização e comunicação — o que a cláusula 7 exige e como evidenciar
• Informação documentada — o que manter, o que reter e a diferença entre documento e registro
• Cláusula 8 — operação: executar o plano de tratamento e controlar mudanças
• Controle de mudanças no SGSI — quando é necessário reavaliar risco
• Cláusula 9 — monitoramento, medição e como demonstrar que o SGSI está funcionando
• Auditoria interna — programa, escopo, critérios e o que torna um auditor interno válido
• Análise crítica pela direção — entradas obrigatórias, saídas esperadas e frequência
• Cláusula 10 — não-conformidade, ação corretiva e a diferença entre correção e causa-raiz
• Anexo A — os 93 controles em 4 temas e como a norma os relaciona à avaliação de risco
• Controles organizacionais, de pessoas, físicos e tecnológicos — o que cada tema cobre
• Sistemas de IA no processo de avaliação de risco — fatores específicos e ISO 27005
• ISO 42001 como extensão do SGSI — o que muda quando IA entra na gestão de segurança