O que ter em conta
- As questões externas e internas (cláusula 4.1).
- Os requisitos das partes interessadas (cláusula 4.2).
- As interfaces e dependências com atividades realizadas por outros, como fornecedores cloud.
Como o redigir
- Parta do que os clientes ou os reguladores precisam de ver abrangido.
- Nomeie as atividades, produtos e serviços.
- Nomeie as instalações, equipas e sistemas.
- Diga o que fica de fora e como as interfaces são protegidas.
- Mantenha-o curto o suficiente para constar do certificado.
Escolher a amplitude
Um âmbito estreito certifica-se mais depressa, mas pode não responder ao que os clientes pedem. Um âmbito largo dá mais garantia e custa mais. Um âmbito limitado a um produto ou serviço é aceite se os seus limites forem claros e os controlos o protegerem.
Erros frequentes
- Excluir um fornecedor ou uma equipa sem os quais o serviço não funciona, e ignorar a interface.
- Um âmbito que não corresponde ao que a equipa comercial diz aos clientes.
- Um âmbito não atualizado após uma mudança de instalações, uma aquisição ou um novo produto.
Perguntas
- Um SGSI pode abranger apenas parte da empresa?
- Sim, desde que os limites, as interfaces e as dependências estejam definidos e os controlos protejam o que está no âmbito.
- O âmbito consta do certificado?
- Sim, uma declaração de âmbito consta do certificado, para que os clientes possam verificar que abrange o serviço que compram.