Os quatro tipos
- Política: o que tem de acontecer e porquê. Curta, estável, aprovada pela direção.
- Norma interna: a regra concreta e mensurável, como um comprimento mínimo de palavra-passe.
- Procedimento: como fazer, passo a passo, e quem faz cada passo.
- Orientação: um conselho de boa prática, não obrigatório.
Como saber onde cabe cada coisa
- Se muda quando uma ferramenta muda, não pertence a uma política.
- Se diz quem faz o quê e por que ordem, é um procedimento.
- Se não o fazer o pode levar a falhar uma auditoria, não deve ser uma orientação.
- Se dois documentos dizem o mesmo, um acabará errado: mantenha-o num só e remeta para ele.
Quem aprova o quê
A direção aprova as políticas. Os donos dos processos aprovam normalmente os procedimentos e as normas internas. Cada documento indica o responsável, a versão, a data de aprovação e a data da próxima revisão.
Perguntas
- A ISO 27001 exige procedimentos?
- Exige informação documentada onde a norma o diz e onde o considere necessário. O controlo 5.37 do anexo A pede procedimentos operacionais documentados.
- Um documento pode conter a política e o procedimento?
- Numa pequena empresa, sim. Mantenha-os, porém, em partes separadas: as regras mudam menos vezes do que os passos.