De acordo com a ABNT NBR ISO/IEC 27001:2013, quando uma não conformidade ocorre, a organização deve reter informação documentada
como evidência dos resultados de qualquer ação corretiva.
dos resultados das avaliações de risco de segurança da informação.
dos resultados do tratamento dos riscos de segurança da informação.
como evidência dos programas da auditoria e dos resultados desta.
como evidência dos resultados das análises críticas pela direção.