- 1 -O auditor de segurança é uma pessoa singular ou colectiva, independente da entidade certificadora, de reconhecida idoneidade, experiência e qualificações comprovadas na área da segurança de informação, na execução de auditorias de segurança e na utilização da norma ISO/IEC 17799, devidamente credenciada pela Autoridade Nacional de Segurança.
- 2 -A entidade certificadora comprova através do relatório anual de auditoria de segurança, efectuada por auditor de segurança acreditado, que realizou uma avaliação de riscos e identificou e implementou os controlos necessários à segurança da informação.
- 3 -As auditorias de segurança são efectuadas tendo por base a norma ISO/IEC 17799, devendo o respectivo relatório de auditoria ser enviado à autoridade credenciadora até 31 de Março de cada ano civil.
- 4 -O auditor de segurança garante que os membros da sua equipa não actuam de forma parcial ou discriminatória e não prestaram serviços de consultoria à entidade certificadora nos últimos três anos nem mantêm com esta qualquer outro acordo ou vínculo contratual.
- 5 -Em caso de subcontratação, o auditor deve:
- a)Informar previamente a entidade certificadora e obter a concordância desta para a subcontratação;
- b)Garantir a existência de contrato reduzido a escrito no qual estão claramente identificadas as funções subcontratadas e em que se estabelecem as obrigações entre as partes, nomeadamente no que respeita à confidencialidade e à independência de interesses comerciais ou outros, assim como à inexistência de qualquer tipo de vínculo com a entidade certificadora a ser auditada;
- c)Garantir que está apto a comprovar a competência técnica, idoneidade e isenção da entidade subcontratada, bem como a sua credenciação de segurança pela Autoridade Nacional de Segurança, nos casos legalmente exigíveis, e que esta cumpre o disposto no número anterior;
- d)Assumir a completa responsabilidade pelo trabalho subcontratado e pelo relatório final da auditoria.
Artigo 30.º — Auditorias
Vigente desde: 15/07/2004