Convém que os recursos utilizados para a troca de informações estejam de acordo com os requisitos legais
A troca de informações pode ocorrer através do uso de vários tipos diferentes de recursos de comunicação,
A troca de softwares pode ocorrer de diferentes formas, incluindo a baixa (download) da internet ou a aquisição
Convém que sejam consideradas as possíveis implicações nos negócios, nos aspectos legais e na segurança,
relacionadas com a troca eletrônica de dados, com o comércio eletrônico, comunicação eletrônica e com os
As informações podem ser comprometidas devido à falta de conscientização, de políticas ou de procedimentos
no uso de recursos de troca de informações, como, por exemplo, a escuta de conversas ao telefone celular em
mensagens gravadas em secretárias eletrônicas, acesso não autorizado a sistemas de correio de voz ou o
As operações do negócio podem ser prejudicadas e as informações podem ser comprometidas se os recursos
de comunicação falharem, forem sobrecarregados ou interrompidos (ver 10.3 e seção 14). As informações
h) utilização de um sistema acordado de identificação para informações críticas e sensíveis, garantindo
k) quaisquer controles especiais que possam ser necessários para proteção de itens sensíveis, tais como
(ver também 10.8.3) sejam estabelecidos e mantidos, além de serem referenciados nos mencionados acordos
Os acordos podem ser eletrônicos ou manuais, e podem estar no formato de contratos formais ou condições
de contratação. Para informações sensíveis, convém que os mecanismos específicos usados para a troca de
Convém que mídias contendo informações sejam protegidas contra acesso não autorizado, uso impróprio ou
d) a embalagem seja suficiente para proteger o conteúdo contra qualquer dano físico, como os que podem
e) sejam adotados controles, onde necessário, para proteger informações sensíveis contra divulgação não
As informações podem estar vulneráveis a acesso não autorizado, uso impróprio ou alteração indevida durante
Mensagens eletrônicas como correio eletrônico, Eletronic Data Interchange (EDI) e sistemas de mensagens
Convém que políticas e procedimentos sejam desenvolvidos e implementados para proteger as informações
Convém que as considerações sobre segurança da informação e implicações no negócio das interconexões de
h) identificação da condição do usuário, como, por exemplo,funcionários da organização ou fornecedores
computadores, dispositivos móveis, comunicação sem fio, correio, correio de voz, comunicação de voz em
eletrônico, incluindo transações on-line e os requisitos de controle, sejam consideradas. Convém que a
protegidas de atividades fraudulentas, disputas contratuais e divulgação e modificações não autorizadas.
j) nível de proteção requerida para manter a confidencialidade e integridade das informações de pedidos;
Muitas das considerações acima podem ser endereçadas pela aplicação de controles criptográficos (ver 12.3),
levando-se em conta a conformidade com os requisitos legais (ver 15.1, especialmente 15.1.6 para legislação
Convém que os procedimentos para comércio eletrônico entre parceiros comerciais sejam apoiados por um
acordo formal que comprometa ambas as partes aos termos da transação, incluindo detalhes de autorização
(ver b) acima). Outros acordos com fornecedores de serviços de informação e redes de valor agregado podem
eletrônico contra ataques e as implicações de segurança de qualquer interconexão que seja necessária na
Comércio eletrônico é vulnerável a inúmeras ameaças de rede que podem resultar em atividades fraudulentas,
Comércio eletrônico pode utilizar métodos seguros de autenticação, como, por exemplo, criptografia de chave
pública e assinaturas digitais (ver 12.3) para reduzir os riscos. Ainda, terceiros confiáveis podem ser utilizados
incompletas, erros de roteamento, alterações não autorizadas de mensagens, divulgação não autorizada,
A extensão dos controles adotados precisará ser proporcional ao nível de risco associado a cada forma de
Convém que aplicações, dados e informações adicionais que requeiram um alto nível de integridade e que
sejam disponibilizados em sistemas publicamente acessíveis sejam protegidos por mecanismos apropriados,
Convém que haja um processo formal de aprovação antes que uma informação seja publicada. Adicionalmente,
d) acesso a sistemas de publicação não permita acesso não intencional a redes às quais tal sistema está
acessíveis por meio da internet, podem necessitar estar de acordo com leis, regras e regulamentações na
jurisdição em que o sistema está localizado, onde a transação está ocorrendo ou onde o proprietário reside.
Modificações não autorizadas de informações publicadas podem trazer prejuízos à reputação da organização
Convém que registros (log) de operador e registros (log) de falhas sejam utilizados para assegurar que os
Convém que as organizações estejam de acordo com todos os requisitos legais relevantes aplicáveis para
Convém que registros (log) de auditoria contendo atividades dos usuários, exceções e outros eventos de
segurança da informação sejam produzidos e mantidos por um período de tempo acordado para auxiliar em
Os registros (log) de auditoria podem conter dados pessoais confidenciais e de intrusos. Convém que medidas
administradores de sistemas não tenham permissão de exclusão ou desativação dos registros (log) de suas
processamento da informação e os resultados das atividades de monitoramento sejam analisados criticamente,
Convém que o nível de monitoramento requerido para os recursos individuais seja determinado através de
uma análise/avaliação de riscos. Convém que a organização esteja de acordo com todos os requisitos legais