ISO/IEC 27005.

Para que serve a ISO/IEC 27005

A ISO/IEC 27005 é a norma de orientação para gerir o risco de segurança da informação. Não certifica nada e não substitui a ISO/IEC 27001. Em vez disso, fornece-lhe um método para realizar a apreciação e o tratamento do risco que a Cláusula 6 da ISO 27001 exige mas deixa deliberadamente em aberto. A ISO 27001 diz-lhe que deve identificar, analisar, avaliar e tratar os riscos de segurança da informação ; a ISO 27005 mostra-lhe uma forma defensável de o fazer. Essa divisão de tarefas é a coisa mais importante a compreender sobre a norma.

O método segue uma trajetória reconhecível : estabelecer o contexto, identificar os riscos, analisá-los, avaliá-los face aos seus critérios e depois tratá-los. O tratamento termina com uma decisão e um registo, não apenas com uma lista de controlos. Dois resultados importam aos auditores acima de todos os outros. O primeiro é o seu conjunto de critérios de aceitação do risco, acordados antes de começar a pontuação para que os resultados não possam ser ajustados a posteriori a uma resposta conveniente. O segundo é a aprovação documentada quando um risco residual é aceite pelo responsável adequado. São esses artefactos que transformam uma folha de cálculo de pontuações num processo gerido.

A revisão de 2022 e a ligação à ISO 31000

A revisão atual alinha o vocabulário e a estrutura com a ISO 31000, a norma de gestão do risco de toda a organização, para que o risco de segurança da informação fale a mesma linguagem que o risco empresarial. Também aprimora a relação com a ISO 27001 ao mapear as suas atividades para as cláusulas da ISO 27001 em vez de descrever um universo paralelo. Onde o pensamento mais antigo se apoiava fortemente na enumeração de ativos, ameaças e vulnerabilidades, a revisão acomoda tanto essa visão baseada em eventos como uma visão baseada em cenários, dando às equipas margem para apreciar o risco da forma que realmente se adequa ao seu ambiente.

A ISO 27005 ao lado do EBIOS RM

Os profissionais em França comparam constantemente a ISO 27005 com o EBIOS Risk Manager, o método mantido pela ANSSI. Não são tanto rivais como instrumentos diferentes. A ISO 27005 é menos prescritiva, reconhecida internacionalmente e constitui a língua comum com os auditores de certificação, o que a torna a escolha natural quando o seu objetivo é um certificado ISO 27001 com validade universal. O EBIOS RM é mais estruturado e orientado a cenários, construído em torno de cenários de ataque estratégicos e operacionais e de origens de risco explícitas, o que se adequa a contextos franceses de elevado risco ou regulados. Muitas organizações aplicam o EBIOS RM para a análise e depois exprimem os resultados em termos da ISO 27005 para o SGSI.

O que os profissionais realmente fazem

Usar bem a ISO 27005, em vez de produzir um documento pontual, na prática parece-se com isto :

1. Estabelecer primeiro o contexto : o âmbito, os critérios de impacto e probabilidade, e os limiares de aceitação do risco, todos acordados antes de qualquer pontuação começar.
2. Identificar os riscos da forma que se adequa ao ambiente, sejam cadeias ativo-ameaça-vulnerabilidade ou cenários de ponta a ponta, e evitar misturar métodos de forma incoerente dentro da mesma apreciação.
3. Analisar e avaliar face aos critérios acordados previamente para que a lista de prioridades seja reproduzível, e depois escolher uma opção de tratamento : modificar, reter, evitar ou partilhar.
4. Registar o risco residual e obter aceitação explícita do responsável do risco designado, porque é essa aprovação que liga a apreciação à responsabilização da liderança nos termos da ISO 27001.
5. Reexaminar a apreciação segundo uma cadência definida e após uma alteração significativa, para que o quadro do risco se mantenha atual em vez de envelhecer silenciosamente entre ciclos de certificação.