Depois de ler, poderá perceber o que a norma exige, como decorre a certificação e por onde começar.
Definição
Para declarar conformidade, uma empresa tem de cumprir as cláusulas 4 a 10: contexto, liderança, planeamento, suporte, operação, avaliação do desempenho e melhoria.
O anexo A da edição de 2022 lista 93 controlos em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. A avaliação de riscos decide quais são necessários, e qualquer exclusão exige uma justificação.
Porque é importante
Os grandes compradores pedem-na constantemente, porque um certificado acreditado lhes poupa parte das verificações aos fornecedores.
O outro benefício vê-se internamente. Esforços de segurança dispersos tornam-se um único sistema, orientado pelo risco e revisto pela direção.
Como funciona
Defina o âmbito e garanta o compromisso da direção. Avalie os riscos, escolha os controlos e registe-os na declaração de aplicabilidade.
Ponha os controlos em funcionamento e deixe-os operar tempo suficiente para produzirem registos. Uma auditoria interna e uma revisão pela direção mostram depois o que tem de ser corrigido.
Para a certificação, um organismo acreditado audita primeiro os documentos e depois a prática. Um certificado dura geralmente três anos, com auditorias de acompanhamento pelo meio.
Um caso prático
Uma empresa SaaS de 40 pessoas limita o seu sistema ao produto e ao suporte. Exclui os controlos do anexo A sobre suportes físicos que não detém, e escreve porquê.
Depois de uma primeira auditoria interna e de uma revisão pela direção, a auditoria de certificação aponta duas não conformidades menores. A empresa fecha cada uma com um plano de ações corretivas.
Boas práticas
- Escolha um âmbito que corresponda ao que os clientes realmente lhe compram.
- Avalie os riscos antes de escrever políticas, para que os documentos respondam a necessidades reais.
- Reutilize como evidências os registos que as suas equipas já produzem.
- Faça a revisão pela direção a sério e saia dela com decisões.
- Inclua os fornecedores e serviços cloud de que o âmbito depende.
Erros frequentes
- Escrever dezenas de políticas no primeiro mês. Raramente correspondem à forma como as pessoas trabalham e depressa ficam desatualizadas.
- Preencher o anexo A como uma lista de verificação, saltando o raciocínio em que a norma assenta.
- Escolher um âmbito tão estreito que o certificado não tranquiliza ninguém.
- Deixar o sistema adormecer entre auditorias de acompanhamento e correr todos os anos.
Perguntas
- A ISO 27001 é obrigatória?
- Em geral nenhuma lei a impõe, mas os contratos e os concursos exigem-na muitas vezes.
- Quanto tempo demora a certificação ISO 27001?
- Depende do âmbito e do ponto de partida. As pequenas empresas precisam muitas vezes de vários meses, porque o auditor espera um histórico de funcionamento.
- Qual a diferença entre a ISO 27001 e a ISO 27002?
- A ISO/IEC 27001 contém os requisitos que são auditados. A ISO/IEC 27002 dá orientações para implementar os controlos.
- Quais são os documentos obrigatórios da ISO 27001?
- Entre outros: o âmbito, a política de segurança, o processo e os resultados da avaliação e do tratamento de riscos, a declaração de aplicabilidade e os resultados de auditorias e revisões.
- A ISO 27001 garante a conformidade com o RGPD?
- Não. Ajuda nas obrigações de segurança, enquanto o RGPD abrange também a licitude, os direitos das pessoas e mais.