ISO/IEC 27001.

O que a ISO/IEC 27001 realmente certifica

A ISO/IEC 27001 é a norma internacional que especifica os requisitos para um sistema de gestão da segurança da informação, ou SGSI. O certificado não afirma que os seus sistemas são invioláveis. Afirma que um organismo acreditado examinou como identifica os riscos de informação, decide o que fazer a respeito e mantém essa decisão em funcionamento sob a supervisão da direção. A norma assenta no ciclo Plan-Do-Check-Act, pelo que a certificação nunca é um evento pontual: compromete-se com um ritmo recorrente de apreciação do risco, tratamento, auditoria interna, análise crítica pela direção e ação corretiva.

Uma confusão comum é tratar os controlos do Anexo A como se fossem a norma. Não o são. Os requisitos certificáveis residem nas cláusulas numeradas do sistema de gestão (contexto, liderança, planeamento, apoio, operação, avaliação do desempenho, melhoria). O Anexo A é um conjunto de referência de controlos entre os quais seleciona. Pode passar numa auditoria sem implementar todos os controlos, desde que a sua Declaração de aplicabilidade justifique o que excluiu e as suas evidências sustentem o que manteve.

A revisão de 2022 e os temas de controlos

A revisão de 2022 reorganizou o Anexo A em quatro temas em vez dos anteriores catorze domínios. Os temas agrupam os controlos consoante o tipo de elemento que é protegido ou governado:

• Os controlos organizacionais abrangem políticas, relações com fornecedores, inteligência sobre ameaças e segurança da informação na gestão de projetos.
• Os controlos relativos às pessoas abrangem a verificação, as condições de emprego, a sensibilização e o processo disciplinar.
• Os controlos físicos abrangem as áreas seguras, os equipamentos, a secretária limpa e a eliminação de suportes.
• Os controlos tecnológicos abrangem a gestão de acessos, a criptografia, o registo de eventos, o desenvolvimento seguro e a gestão de configurações.

Se se certificou ao abrigo da versão anterior, o trabalho de transição é maioritariamente um exercício de remapeamento: voltar a alinhar a sua Declaração de aplicabilidade face ao novo conjunto de controlos, confirmar que nada se perdeu pelas lacunas criadas por controlos fundidos ou recém-introduzidos, e atualizar as referências de evidência. As cláusulas do sistema de gestão mudaram muito menos do que o anexo.

Como se posiciona junto das suas vizinhas

A ISO 27001 é a âncora certificável de uma família. A ISO 27002 fornece orientação de implementação para os mesmos controlos do Anexo A, mas não é certificável por si só; os auditores recorrem a ela quando querem questionar a qualidade com que opera um controlo, e não apenas se este existe. A ISO 27005 fornece um método para a apreciação do risco de segurança da informação que a cláusula 6 exige mas deixa deliberadamente em aberto. O SGSI é a máquina em funcionamento que a norma certifica, e a SoA é o seu artefacto controlado central.

Do lado das pessoas, o trabalho divide-se em duas disciplinas complementares. Os implementadores constroem e operam o sistema de gestão. Os auditores planeiam e conduzem as auditorias que o põem à prova, trabalhando de acordo com as orientações de auditoria da ISO 19011. A maioria das funções de segurança maduras precisa de ambas as mentalidades, mesmo quando, no início, uma única pessoa veste os dois chapéus.

O que os profissionais realmente fazem

Operar bem a ISO 27001, em vez de apenas passar no certificado, na prática é assim:

1. Definir o âmbito com honestidade. Um âmbito demasiado amplo sepulta-o em evidências; um demasiado estreito não engana ninguém e mina o certificado.
2. Realizar uma apreciação do risco e um plano de tratamento reais, e mantê-los atualizados à medida que o negócio e o panorama de ameaças mudam.
3. Manter a Declaração de aplicabilidade como um documento vivo ligado a evidências reais, e não como uma folha de cálculo preenchida uma única vez para o auditor.
4. Realizar as auditorias internas e as análises críticas pela direção dentro do calendário, e encerrar as ações corretivas com provas em vez de promessas.
5. Tratar as auditorias de acompanhamento e o ciclo de recertificação como continuidade, e não como exercícios de emergência separados.