Uma empresa busca um documento que apresente um catálogo de controles práticos de segurança da informação para orientar a implementação desses controles, sem que esse catálogo seja, por si só, certificável. Qual é a norma que atende a essa finalidade?