ISO 27001: Foundation, Lead Implementer, Lead Auditor, qual escolher?

A decisão que realmente importa: está a construir ou a auditar?

As três credenciais ISO 27001 não são uma escada única que se sobe por ordem. A Foundation é a base partilhada, mas acima dela o caminho bifurca-se em dois trabalhos diferentes. Um trabalho é conceber e operar um sistema de gestão da segurança da informação (ISMS) dentro de uma organização. O outro é examinar o ISMS de outra pessoa face à norma e formar uma opinião independente. Os títulos sinalizam isto: o Lead Implementer é um construtor, o Lead Auditor é um examinador. Escolher o errado desperdiça uma semana de formação e dá-lhe um certificado que não corresponde ao trabalho que tem à frente.

Faça uma pergunta antes de inscrever-se em seja o que for: nos próximos doze meses, será responsável por um ISMS existir e funcionar, ou responsável por julgar se um funciona? Se é o dono da Declaração de Aplicabilidade, do plano de tratamento do risco e da revisão pela gestão, está a construir. Se entra, recolhe evidências por amostragem e redige constatações, está a auditar. O verbo que mais pratica no dia a dia é toda a decisão.

De qualquer forma começa no mesmo sítio. O curso ISO 27001 Foundation dá-lhe o vocabulário, a estrutura de controlos do Anexo A e a lógica do sistema de gestão que ambos os percursos seniores pressupõem que já domina.

O que cada exame realmente avalia (para além da brochura)

As descrições dos níveis dizem-lhe a duração. Não lhe dizem o que a avaliação premeia, que é o que determina como se deve preparar.

Foundation

A Foundation é um exame de conhecimento. Verifica se consegue ler a norma sem se perder: as cláusulas 4 a 10, o ciclo Plan-Do-Check-Act, a diferença entre um controlo e um objetivo de controlo, e onde o Anexo A se situa face aos requisitos principais. Não lhe pede para aplicar nada sob pressão. Se conseguir explicar por que razão a SoA tem de justificar tanto as inclusões como as exclusões, está pronto.

Lead Implementer

A Lead Implementer é um exame de competência construído em torno de cenários. É-lhe dada uma organização fictícia e perguntam-lhe o que faria: como definiria o âmbito do ISMS, como conduziria a avaliação do risco, o que entraria no plano de tratamento do risco, como lidaria com um controlo não conforme. As perguntas premeiam o discernimento, não a memorização. O curso de Lead Implementer está estruturado em torno do projeto de implementação completo, de modo que os cenários do exame se sintam como trabalho que já realizou.

Lead Auditor

A Lead Auditor testa um músculo diferente: a metodologia de auditoria ISO 19011 aplicada à ISO 27001. Os cenários colocam-no na sala de auditoria. Decide que evidência prova que uma cláusula é cumprida, como fazer a amostragem, como formular uma constatação e como classificá-la como não conformidade maior ou menor. A armadilha em que os candidatos caem é auditar como se estivessem a implementar, dizendo ao auditado como corrigir as coisas em vez de declarar o que está não conforme. O curso de Lead Auditor treina a disciplina de primeiro a evidência, opinião e não conselho, que tanto o exame como as auditorias reais exigem.

Os três níveis lado a lado

Pré-requisitos e o que o próximo passo realmente traz

A Foundation é o pré-requisito para as credenciais seniores, mas leia isto com rigor: a maioria dos esquemas de acreditação exige conhecimento ao nível Foundation, não necessariamente um certificado Foundation separado realizado de antemão. Na prática, os cursos seniores abrem com uma recapitulação condensada dos fundamentos e depois pressupõem-nos. Se chegar sem essa base, passa o primeiro dia a recuperar atraso em vez de aprender o método, e o trabalho de cenário mais tarde na semana assenta em terreno raso. Fazer a Foundation primeiro não é burocracia para preencher caixinhas; é o que permite ao curso de cinco dias ensinar com toda a profundidade.

O que o próximo passo traz é alavancagem, não apenas uma linha no currículo. A Foundation dá-lhe a capacidade de participar numa conversa sobre o ISMS sem ficar perdido. A Lead Implementer dá-lhe a capacidade de ser responsável pela existência do sistema: consegue definir o seu âmbito, defender a SoA perante um auditor e operar o ciclo. A Lead Auditor dá-lhe independência: consegue assinar constatações em que um organismo de certificação ou uma administração se vai basear. Estas são formas genuinamente diferentes de autoridade, razão pela qual fazer ambas ao longo de doze a dezoito meses é comum e útil. Um implementador que também se formou como auditor constrói um ISMS que sobrevive à auditoria, porque sabe o que o auditor vai procurar.

Erros comuns que custam uma semana

Alguns padrões surgem repetidamente quando as pessoas escolhem ou fazem estes cursos. São evitáveis.

1. Tratar a Lead Auditor como a versão de maior estatuto da Lead Implementer. Não está acima dela; está ao lado. Inscrever-se nela por prestígio quando o seu trabalho é construir o ISMS dá-lhe uma competência que raramente usará.
2. Saltar a base Foundation para poupar dois dias e depois perder mais de dois dias dentro do curso sénior a recuperar atraso no vocabulário enquanto todos os outros o aplicam.
3. Implementadores que auditam dando conselhos, e auditores que auditam redigindo planos de melhoria. O auditor declara o que está não conforme e aponta para a cláusula; a correção pertence ao auditado. Cruzar essa linha reprova os cenários do exame e compromete auditorias reais.
4. Confundir a norma com os controlos. O Anexo A é um conjunto de referência a partir do qual seleciona através da SoA. Os requisitos certificáveis vivem nas cláusulas 4 a 10. Os candidatos que memorizam controlos mas não conseguem explicar as cláusulas do sistema de gestão sofrem em ambos os exames seniores.

A realidade da sala de auditoria, e por que molda ambos os percursos

Seja qual for o lado para o qual se forma, imagine a auditoria de certificação, porque é onde os dois papéis se encontram. O auditor pede evidências de que uma cláusula é cumprida e de que um controlo selecionado opera tal como a SoA afirma. O implementador tem de produzir essa evidência a pedido: registos da avaliação do risco, as decisões de tratamento, as atas da revisão pela gestão, os resultados da auditoria interna, as ações corretivas. Nada impressiona um auditor; só a evidência o faz. Um controlo que existe mas não deixa registo é, para efeitos de auditoria, um controlo que não existe.

É por isto que os profissionais mais fortes compreendem ambas as perspetivas mesmo quando só desempenham um trabalho. O implementador concebe o ISMS de modo a que fazer o trabalho também crie o rasto. O auditor lê esse rasto sem que lhe contem uma história sobre ele. Se está a escolher o seu primeiro curso, escolha o papel em que irá viver e depois planeie o segundo curso para quando quiser a outra metade do quadro. A norma é um só sistema visto de duas cadeiras, e a credencial que escolher deve corresponder à cadeira em que se senta.