Com base nas ISO/IEC 27001 e 27002, é correto afirmar que

foram preparadas para prover um modelo para estabelecer, implantar, operar, monitorar, rever, manter e melhorar o Sistema de Governança de TI da empresa.

uma organização deve conduzir auditorias internas de segurança da informação em intervalos estritamente aleatórios, para que os funcionários sempre estejam preparados para serem auditados externamente.

a inclusão da segurança da informação no processo de gerenciamento da continuidade de negócios é facultativa em todos os casos.

no que tange à monitoração e 􀄮 revisão do ISMS (INFORMATION SECURITY MANAGEMENT SYSTEM), a metodologia do risco e os riscos residuais devem ser revistos em intervalos planejados.

o único benefício da segurança da informação está na proteção da imagem da instituição, evitando-se futuras ações indenizatórias na justiça.