Dois diretores esta semana. Mesma pergunta da minha parte: fale-me da última revisão pela gestão.
O primeiro: "A quê?"
O segundo: "Acho que assinei qualquer coisa em março."
A minha equipa na Cresco Cybersecurity, parte do grupo Integrity360, está a conduzir ambas as organizações à certificação ISO 27001. Ambas entram em Fase 2 dentro do mês. Ambos os ISMS estão em boas condições. Âmbito definido, avaliação de risco concluída, SoA justificado linha a linha, auditoria interna encerrada e ações acompanhadas. Nove meses de trabalho sólido por pessoas que sabiam o que faziam.
E ambas estavam prestes a colocar a pessoa mais sénior da organização numa sala com um auditor, sem qualquer preparação.
Ninguém avisa o diretor de que está no calendário
Consulte o seu plano de auditoria. A gestão de topo tem um bloco horário. Costuma ser cedo, muitas vezes antes de o auditor ter analisado qualquer outra coisa, e existe porque a ISO/IEC 17021-1 exige que a Fase 2 avalie a responsabilidade da gestão. Não se avalia a responsabilidade da gestão lendo uma política. É preciso falar com a gestão.
Assim, a primeira impressão real do seu ISMS vem da única pessoa na organização que nunca leu uma cláusula da norma.
E aqui está a aritmética que ninguém faz. Um controlo em falta dá-lhe uma não conformidade menor. Um responsável em falta leva-o à Cláusula 5. Uma fecha-se com uma captura de ecrã. A outra diz que o sistema inteiro não pertence a ninguém, e muda a forma como o auditor lê cada evidência até ao final da semana.
O seu diretor não precisa de saber o que é TLS. Se começar a explicá-lo, é pior, não melhor. Precisa de responder a seis perguntas.
As seis perguntas
"Qual é o âmbito do seu ISMS?"
A resposta fatal é "tudo o que fazemos." A segunda fatal é o silêncio, seguido de um olhar para o responsável pela segurança. Todos na sala veem esse olhar.
Cláusula 4.3. Fronteira, em linguagem de negócio. Que serviços, que equipas, que instalações. E uma coisa que está deliberadamente excluída, e porquê.
Esta última parte importa mais do que o resto. Qualquer pessoa consegue recitar o que está incluído. Só quem esteve na conversa sabe o que ficou de fora.
"Quais são os seus objetivos de segurança da informação?"
"Não ser atacado." Foi o que obtive esta semana. É honesto. Diz também ao auditor que nunca ninguém mediu nada.
Cláusula 6.2. Dois ou três, aproximadamente, com uma direção de evolução. Ninguém espera que um diretor cite números. Esperam, sim, que o diretor saiba em que é que a empresa decidiu melhorar e se está a resultar.
"Quais são os seus maiores riscos?"
Fique atento a esta. Nove em cada dez vezes, o diretor repete o que a equipa de TI lhe disse, e o que a equipa de TI lhe disse é uma lista de controlos em falta. Sem MFA. Atrasado no patching. Sem teste de DR desde o ano passado.
Isso não são riscos. São lacunas. Um auditor ouve isto e sabe exatamente o que aconteceu: a avaliação de risco foi construída por um único técnico, numa folha de cálculo, sozinho, e nunca saiu da equipa de segurança.
"Que recursos disponibilizou?"
Esta é a que os apanha. Sempre, sem exceção.
"Apoiamos totalmente o programa." Isso é uma frase, não um recurso. As Cláusulas 5.1 e 7.1 querem algo que se possa quantificar. Uma linha orçamental. Uma contratação. Uma ferramenta que pagou. Dias cedidos para que alguém pudesse efetivamente conduzir a auditoria interna. Formação que aprovou.
Se o seu diretor não consegue nomear nenhum, sente-se com a versão incómoda desta situação: alguma vez lhe pediu alguma coisa? Um diretor a quem nunca pediram nada não é um diretor sem apoio. É um diretor sem informação. E isso é da sua responsabilidade.
"Quem é responsável pela segurança da informação aqui?"
"O nosso CISO." Errado, e é um caminho rápido para uma constatação na Cláusula 5.3.
A responsabilidade operacional delega-se. A responsabilidade de topo não se transfere. A resposta é "sou eu", seguida de quem a gere no dia a dia e com que frequência lhe reporta.
"Fale-me da última revisão pela gestão."
A pergunta mais reveladora de toda a entrevista, razão pela qual comecei com ela.
Três coisas, esse é o mínimo. Aproximadamente quando. Quem estava na sala. Uma decisão que resultou dessa reunião.
Uma decisão. Só isso.
Se não conseguirem nomear uma, o auditor conclui o que qualquer pessoa concluiria no seu lugar: a revisão pela gestão aconteceu no papel, poucos dias antes da auditoria, e ninguém tomou uma decisão porque ninguém estava realmente presente. Depois vão verificar. Normalmente têm razão.
E uma que ninguém vê a chegar. Alguém determinou se as alterações climáticas são relevantes para o seu ISMS? A Emenda 1, de fevereiro de 2024, acrescentou uma frase à Cláusula 4.1: a organização deve determinar se as alterações climáticas constituem uma questão relevante. Os auditores têm feito esta pergunta desde que as auditorias de vigilância a incorporaram nesse ano.
"Analisámos a questão, tem impacto na disponibilidade na nossa instalação de Lisboa, e está registada na análise do contexto" é uma resposta perfeitamente válida. Tal como "analisámos, não é relevante para o nosso ISMS, e aqui está o registo dessa conclusão."
Pode concluir que não. Não pode concluir que nunca pensou nisso.
Regras para a sala
Responda à pergunta e pare de falar. O silêncio não é uma lacuna para o seu diretor preencher. É uma técnica. Os diretores detestam o silêncio e preenchem-no com detalhes, e cada detalhe é uma porta. Cada porta é uma nova linha de investigação, e agora está registada.
"Não sei, isso é com [nome]" é uma resposta válida. Adivinhar não é. Ninguém reprova porque um diretor não tem um detalhe operacional. Todos os auditores já perseguiram uma suposição que se revelou errada, e nessa altura tem um problema de credibilidade por cima de um problema factual.
Nunca diga "sempre" ou "nunca". Absolutos são um convite para fazer amostragem. Diga "revogamos sempre o acesso na data de saída" e o auditor vai encontrar a saída que ficou por tratar. "O processo prevê X, e revemo-lo trimestralmente" resiste ao escrutínio. Absolutos não resistem.
Não responda por outras pessoas. "Acho que isso é tratado pela equipa de TI" é um fio, e vai ser puxado. "Isso é da responsabilidade de [nome], que está disponível esta tarde" não é um fio.
Nada se promete para depois da auditoria. Tudo o que o seu diretor se ofereça a enviar mais tarde fica imediatamente nos apontamentos. Se não existia durante a auditoria, não existia. A mesma armadilha com "estamos a trabalhar nisso". Se o trabalho já está registado como ação de melhoria com um responsável e uma data, diga exatamente isso. Se não estiver, o seu diretor acaba de declarar em voz alta uma não conformidade.
Não desabafe. Os diretores desabafam. "Peço orçamento e nunca o consigo" é uma constatação na Cláusula 7.1, entregue voluntariamente, pela única pessoa na organização cujo testemunho tem mais peso.
Truques que realmente funcionam
Envie três linhas destacadas, não o dossier completo. Quarenta e oito horas antes, as atas da última revisão pela gestão chegam ao diretor com exatamente três coisas marcadas: a data, quem esteve presente, uma decisão. Ninguém lê um dossier de doze páginas na véspera. Toda a gente lê três linhas destacadas.
Dê-lhe um número. Os diretores recordam um número. Escolha o que demonstra envolvimento e torne-o deles. O valor orçamental, o número de pessoas, os dias cedidos para a auditoria interna. Um. Não um dashboard.
Escreva a frase sobre responsabilidade com eles, nas palavras deles. Quem é responsável, quem gere, com que frequência se reúnem. A formulação deles, não a sua. Uma frase que o diretor construiu ele próprio resiste à pergunta de seguimento. Uma frase que escreveu por eles desmorona-se na segunda.
Faça o primeiro ensaio sem o responsável pela segurança na sala. Percebe muito rapidamente o que o diretor realmente sabe versus o que normalmente lhe passam para as mãos. Traga o responsável pela segurança para a segunda ronda.
Coloque os registos em cima da mesa. Política, declaração de âmbito, objetivos, atas da última revisão pela gestão. Consultar um registo não é fazer batota, é exatamente esse o ponto. Um diretor que diz "deixe-me verificar nas atas" e depois verifica acabou de provar que as atas são efetivamente utilizadas.
Peça um bloco horário razoável. Não encaixado entre duas chamadas do conselho. Um diretor com pressa dá respostas curtas, respostas curtas lidas como desinteresse, e o auditor prolonga a sessão para perceber porquê. Vinte minutos tranquilos são mais curtos do que dez apressados.
Avise-o de que o auditor pode pedir-lhe para sair. Alguns fazem-no, e têm esse direito. Se a expressão do seu diretor mudar quando acontecer, essa é informação que o auditor recebe de borla.
Seja o que for que o ensaio revele, registe-o
Este é o passo que a maioria das pessoas falha.
Ensaia com uma semana de antecedência e identifica três lacunas reais. O instinto é ir corrigi-las discretamente como se nunca tivessem existido.
Faça o contrário. Registe-as no log de melhorias no próprio dia, com um responsável e uma data.
Uma lacuna que o auditor encontra e que já estava registada, com responsável e data, é evidência de que a Cláusula 10 funciona. A mesma lacuna, sem registo, é uma não conformidade. Pode escolher em qual delas se transforma, e essa escolha expira no momento em que o auditor se senta.
Não está a preparar o seu diretor. Está a auditar-se a si próprio.
Quarenta e cinco minutos, com uma semana de antecedência. Não apresento nada. Faço as seis perguntas em voz alta, por ordem, e deixo-os responder mal.
Depois analisamos o que não conseguiram responder, e é aí que deixa de ser uma preparação.
Não consegue nomear uma decisão da revisão pela gestão? A revisão pela gestão não é real.
Não consegue nomear um recurso? Nunca lhe pediram nenhum.
Não consegue descrever o âmbito? O âmbito pertence a quem o redigiu, e não foi ele.
Não construiu um ISMS mau. Construiu-o ao lado do negócio em vez de dentro dele. Os documentos estão bem. O sistema simplesmente não passa pelas pessoas que a norma diz que deve passar. Isso é uma não conformidade na Cláusula 5, e um auditor teria toda a razão em registá-la.
É melhor encontrá-la você do que eles. Uma semana é suficiente para torná-la verdadeira. Não é suficiente, de forma alguma, para a tornar apresentável.
Se a sua auditoria é segunda-feira
Três coisas, nesta ordem.
Uma decisão da última revisão pela gestão. Um número que comprove um recurso. Uma frase sobre quem é responsável.
Com estas três, o seu diretor entra na sala com algo real para dizer. Tudo o resto nesta página é para a próxima vez.
Ambas as empresas com quem estive esta semana mudaram algo nos dias seguintes. Nenhuma das mudanças foi um documento.
Por isso, faça hoje uma pergunta ao seu diretor. Nomeie uma decisão da última revisão pela gestão.
O que vier a seguir é a sua resposta.
Christophe Mazzola é Head of GRC Practice Development na Cresco Cybersecurity, parte do grupo Integrity360, e CISO em exercício.
Os nossos cursos ISO/IEC 27001 Lead Implementer e Lead Auditor abordam a Cláusula 5 e a Cláusula 9.3 da forma como são auditadas, não da forma como são resumidas. Cinco dias, certificação PECB, €2.499. Reprove no exame duas vezes e recebe o dinheiro de volta.