Depois de ler, poderá construir a declaração a partir do tratamento de riscos e redigir justificações que resistam a uma auditoria.
Definição
A cláusula 6.1.3 d detalha o seu conteúdo: os controlos necessários, a razão da sua inclusão, se estão implementados e a razão da exclusão de qualquer controlo do anexo A.
O tratamento de riscos decide que controlos são necessários. Podem vir do anexo A, de outro referencial ou da sua própria conceção.
Porque é importante
Liga os riscos aos controlos e mostra que controlos o sistema certificado aplica. Os compradores pedem muitas vezes uma cópia, e os auditores usam-na para decidir o que testar.
Como funciona
Parta do plano de tratamento de riscos e liste os controlos escolhidos. Depois percorra os 93 controlos do anexo A para confirmar que nada de necessário ficou esquecido.
Para cada controlo, escreva a razão da inclusão ou da exclusão, o estado de implementação e uma referência ao documento ou registo que o comprova.
Faça-a aprovar, mantenha o controlo de versões e atualize-a quando os riscos ou os controlos mudarem.
Um caso prático
Controlo 7.10, suportes de armazenamento. Uma empresa sem suportes amovíveis no âmbito exclui-o, explicando que todos os dados ficam na sua plataforma cloud e que a política dos postos desativa as portas USB.
Controlo 8.13, cópias de segurança da informação. É incluído para tratar o risco de perda de dados e está implementado, com uma referência ao procedimento de cópias e ao teste de reposição de 12 de maio.
Boas práticas
- Ligue cada controlo a um risco ou a uma obrigação.
- Remeta para a evidência. Copiá-la para dentro torna o documento ilegível e depressa desatualizado.
- Atualize a declaração depois de cada revisão de riscos e verifique a que versão o certificado se refere.
Erros frequentes
- Excluir um controlo por ser incómodo. A razão tem de vir dos seus riscos e do seu âmbito.
- Preenchê-la antes da avaliação de riscos, o que inverte a lógica da norma.
- Marcar tudo como implementado. Uma amostra de três registos basta para o desmentir.
- Escrever «aplicável» como justificação, o que não explica nada.
Perguntas
- É preciso incluir todos os controlos do anexo A?
- Não, mas cada um tem de ser tratado: incluído com uma razão ou excluído com uma razão.
- A declaração de aplicabilidade é pública?
- Não tem de ser. As empresas partilham-na muitas vezes com os compradores ao abrigo de um acordo de confidencialidade.
- Pode conter controlos fora do anexo A?
- Sim. A cláusula 6.1.3 admite controlos de qualquer origem, e são listados com os restantes.
- Quem aprova a declaração de aplicabilidade?
- A norma exige que a declaração seja produzida sem designar quem a aprova. A aprovação pelo responsável de segurança e pela direção é a prática corrente.
- Em que difere de um plano de tratamento de riscos?
- O plano diz como os riscos serão tratados, por quem e até quando. A declaração dá a posição sobre cada controlo.