Avaliação de riscos ISO 27001

Definição

A secção 6.1.2 pede critérios de aceitação de riscos e critérios sobre a forma de realizar as avaliações. Os resultados devem ser coerentes, válidos e comparáveis, e os riscos considerados são os que afetam a confidencialidade, a integridade e a disponibilidade da informação no âmbito do sistema de gestão.

A norma não impõe nenhum método e, desde a edição de 2013, deixou de ser obrigatório partir de uma lista de ativos. A ISO/IEC 27005 dá orientações sobre como fazer o trabalho.

Porque é importante

O resto do sistema de gestão depende deste trabalho. A escolha dos controlos do anexo A, a declaração de aplicabilidade e o plano de tratamento decorrem todos dos seus resultados, e é por isso que os auditores o examinam tão cedo.

Como funciona

Comece por definir e aprovar os critérios. Dentro do âmbito, identifique os riscos para a confidencialidade, a integridade e a disponibilidade, e nomeie um proprietário para cada um.

Avalie as consequências e a probabilidade realistas, determine o nível de risco, compare-o com os critérios e ordene os resultados.

Mantenha informação documentada tanto sobre o processo (secção 6.1.2) como sobre os resultados (secção 8.2). Repita nos seus intervalos planeados e sempre que ocorra uma alteração significativa.

Um caso prático

Uma empresa de software com 60 pessoas limita o seu sistema de gestão à sua plataforma SaaS e aprova uma matriz de 5×5 com um nível de aceitação de 8. Identifica 32 cenários, 11 dos quais acima do nível.

Esses 11 passam para o plano de tratamento, e os proprietários aceitam os outros 21. Para a auditoria, a empresa entrega a metodologia, os resultados datados e a ata da aprovação pela direção.

Boas práticas

• Faça aprovar os critérios de aceitação pela gestão de topo. Caso contrário, é o avaliador que decide quanto risco a empresa pode assumir.
• Inclua o registo de incidentes em cada ciclo, porque os eventos reais são a sua melhor calibração.
• Guarde versões datadas, para mostrar que o processo se repete de facto.
• Confronte depois os seus resultados com o anexo A para detetar controlos em falta. É uma rede de segurança e nunca deve tornar-se a sua lista de riscos.
• Inclua os fornecedores e os serviços cloud na discussão se o âmbito depender deles.

Erros frequentes

• Partir do anexo A e chamar ao resultado avaliação de riscos. Isso é uma revisão de controlos, e um auditor verá a diferença.
• Não ter critérios de aceitação escritos, o que deixa cada aceitação aberta a contestação.
• Avaliar uma vez para obter o certificado e nunca mais, de modo que a auditoria de acompanhamento encontra um processo desatualizado.

Perguntas

É preciso um inventário de ativos para a avaliação de riscos?

A secção 6.1.2 deixou de o exigir em 2013. No entanto, o controlo 5.9 do anexo A pede um inventário, e muitas empresas continuam a partir dele.

Que metodologia exige a ISO 27001?

Nenhuma. Define requisitos para os critérios e para os resultados.

Com que frequência deve ser feita a avaliação?

Em intervalos planeados definidos por si e quando ocorrem alterações significativas (secção 8.2). Uma vez por ano é comum.

O que quer ver um auditor de certificação?

O processo e os critérios documentados, os resultados datados, os proprietários e um caminho claro dos resultados até ao plano de tratamento e à declaração de aplicabilidade.

O que mudou na edição de 2022?

O essencial da secção 6.1.2 manteve-se. O anexo A foi reorganizado em 93 controlos distribuídos por quatro temas.