• Confidencialidade: um princípio de segurança que requer que dados devam somente ser acessados por pessoas autorizadas.
• Integridade: um princípio de segurança que garante que dados e itens de configuração somente sejam modificados por pessoas e atividades autorizadas. A integridade considera todas as possíveis causas de modificação, incluindo falhas de hardware e software, eventos ambientais e intervenção humana.
• Disponibilidade: o princípio de segurança que que garante que a informação que requer que dados devam ser acessados por pessoas autorizadas, no momento que requisitados.

• Assegurar o direito à privacidade e à proteção de dados pessoais dos usuários, por meio de práticas transparentes e seguras, garantindo direitos fundamentais.
• Estabelecer regras claras sobre o tratamento de dados pessoais.
• Fortalecer a segurança das relações jurídicas e a confiança do titular no tratamento de dados pessoais, garantindo a livre iniciativa, a livre concorrência e a defesa das relações comerciais e de consumo.
• Promover a concorrência e a livre atividade econômica, inclusive com portabilidade de dados.

Atuação do Sebrae

¹ - Não necessariamente um sistema automatizado. 

• Definição do escopo do SGSI (a quais processos organizacionais, departamentos e partes interessadas se aplica).
• A Política do SGSI (que inclui objetivo, diretrizes, alinhamento ao negócio, critérios de avaliação de riscos, dentre outros aspectos).
• Abordagem de gestão (a metodologia da organização utilizada para identificação, análise, avaliação e tratamento de riscos).
• Objetivos de controle e controles selecionados (a empresa deve declarar quais medidas foram selecionadas para tratar a segurança da informação).
• Declaração de aplicabilidade (com os objetivos de controle selecionados).

• Formular um plano de tratamento de riscos que identifique a ação de gestão apropriada, recursos, responsabilidades e prioridades para a #Gestão de Riscos.    
• Implementar o plano de tratamento de riscos para alcançar os objetivos de controle identificados, que inclua considerações de financiamentos e atribuição de papéis e responsabilidades.
• Implementar os controles selecionados.
• Definir como medir a eficácia dos controles ou grupos de controles selecionados, e especificar como estas medidas devem ser usadas para avaliar a eficácia dos controles de modo a produzir resultados comparáveis e reproduzíveis.
• Implementar programas de conscientização e treinamento.
• Gerenciar as operações do SGSI.
• Gerenciar os recursos para o SGSI.
• Implementar procedimentos e outros controles capazes de permitir a pronta detecção de eventos de segurança da informação e resposta a incidentes de segurança da informação.

• Executar procedimentos de monitoração e análise crítica
• Realizar análises críticas regulares da eficácia do SGSI (incluindo o atendimento da política e dos objetivos do SGSI, e a análise crí tica de controles de segurança), levando em consideração os resultados de auditorias de segurança da informação, incidentes de segurança da informação, resultados da eficácia das medições, sugestões e realimentação de todas as partes interessadas.
• Medir a eficácia dos controles para verificar que os requisitos de segurança da informação foram atendidos.
• Analisar criticamente as análises/avaliações de riscos a intervalos planejados e analisar criticamente os riscos residuais e os níveis de riscos aceitáveis identificados.
• Conduzir auditorias internas do SGSI a intervalos planejados.
• Realizar uma análise crítica do SGSI pela direção em b ases regulares para assegurar que o escopo permanece adequado e que são identificadas melhorias nos processos do SGSI.
• Atualizar os planos de segurança da informação para levar em consideração os resultados das ativid ades de monitoramento e análise crítica.
• Registrar açõ es e eventos que possam ter um impacto na eficácia ou no desempenho do SGSI.

• Implementar as melhorias identificadas no SGSI.    
• Executar as ações preventivas e corretivas apropriadas.
• Aplicar as lições aprendidas de experiências de segurança da informação de outras organizações e aquelas da própria organização.
• Comunicar as ações e melhorias a todas as partes interessadas com um nível de detalhe apropriado às circunstâncias e, se relevante, obter a concordância sobre como proceder.
• Assegurar -se de que as melhorias atinjam os objetivos pretendidos.