Guia de processo
NIST SP 800-37 Rev. 2
Relacionar provas dos controlos e autorização do risco ao longo do ciclo de vida.
Nesta página
Finalidade, âmbito e autoridade
Sete passos interativos para sistemas, controlos comuns, segurança e privacidade. O contexto federal não cria obrigações iguais em todos os países ou sistemas de segurança nacional. [1]
Princípios e lógica operacional [1]
1. Prepare · Preparar
Definir funções, estratégia, limites, restrições e controlos comuns.
2. Categorize · Categorizar
Justificar impactos e tipos de informação pelo método aplicável, não contar vulnerabilidades.
3. Select · Selecionar
Adaptar a base e definir parâmetros, responsabilidades, herança e monitorização.
4. Implement · Implementar
Descrever funcionamento real e desvios, não apenas o projeto.
5. Assess · Avaliar
Verificar implementação, funcionamento e resultados; determinar provas e independência necessária.
6. Authorize · Autorizar
Apresentar risco e condições à autoridade. O avaliador não é automaticamente dono do risco.
7. Monitor · Monitorizar
Acompanhar alterações e deficiências, atualizando planos e decisões.
Aplicação · recomendações editoriais
Identificar autoridade e fronteira, mantendo rastreabilidade até à decisão. Provar controlos herdados e rever alterações relevantes de missão, arquitetura, ameaça e eficácia.
Provas para o CISO · dossier proposto
Planos de segurança/privacidade, avaliações, resultados pendentes, ações e marcos, condições de autorização. Atribuir responsáveis e datas, distinguindo fornecedor e cliente.
Erros e limites
Evitar documentação apenas final, autorização permanente e aceitação automática de atestados. As tarefas oficiais detalham entradas, resultados e funções.
Fontes oficiais e percurso de leitura
Secções a consultar na fonte: Chapter 3; Appendices D–F.
Comentário original, não reprodução integral. Consultar a fonte para cada requisito, extensão, condição e exceção. A aplicabilidade depende da organização e das suas obrigações.