Fundamentos e base teórica

Não existe um conjunto único e abrangente de regras internacionais que se apliquem diretamente ao SGSI em si. Ele atua como uma estrutura que ajuda as organizações a gerir os riscos de segurança da informação e pode ser adaptado para cumprir vários regulamentos. Eis a razão pela qual não existe um manual de normas único para a conformidade com o SGSI:

• -foco na gestão de riscos:

SGSI dá ênfase à identificação e priorização dos riscos de segurança da informação específicos da organização. As regulamentações internacionais podem ter objetivos de segurança da informação mais amplos, mas muitas vezes permitem flexibilidade na forma como esses objetivos são alcançados. 

• -especificidade do setor e da localização:

os regulamentos de segurança da informação podem variar conforme o setor em que opera e a localização geográfica da sua organização. Por exemplo, um prestador de cuidados de saúde poderá ter de cumprir o HIPAA nos EUA, enquanto uma empresa que lida com dados financeiros na Europa poderá ter de cumprir RGPD.

Neste contexto, a International Organisation for Standardisation (ISO) disponibiliza várias normas de segurança da informação, incluindo a norma ISO 27001, amplamente adotada no âmbito do SGSI. Embora não seja um regulamento em si, a ISO 27001 fornece uma estrutura robusta que pode ser utilizada para cumprir vários regulamentos de segurança da informação.