Padrão ISO 27001 e Gestão da Segurança da Informação

Se a melhoria da segurança da informação é uma prioridade atual na gestão do seu negócio, vale a pena conhecer o padrão ISO 27001.

Devido à vigência da LGPD e também em função do aumento dos crimes cibernéticos, os cuidados relativos à segurança cibernética têm se tornado cada vez mais essenciais.

Além disso, a necessidade de lidar com uma quantidade crescente de dados diariamente é um grande desafio que requer o estabelecimento de regras e padrões.

Porém, apesar de reconhecerem esta necessidade, muitos gestores têm dificuldades na definição de padrões a serem seguidos para mensurar em que medida o armazenamento, a transmissão e o tratamento de dados acontecem de maneira segura nas rotinas de suas empresas.

Nesse contexto surge a necessidade de implementação de uma boa política de segurança da informação, que pode se basear no padrão da ISO 27001.

Se você já ouviu falar sobre esta certificação mas ainda não sabe exatamente o que ela significa, a leitura deste artigo vai esclarecer as suas principais dúvidas.

A obtenção do certificado ISO 27001 não é tão complicada, desde que sejam compreendidos os seus objetivos e as suas exigências.

Na verdade, longe de complicar as suas rotinas, esse padrão tem a função de facilitar a sua gestão de segurança da informação a partir do apontamento de diretrizes claras a serem seguidas.

Em um contexto de grande preocupação com a segurança cibernética e de poucos direcionamentos realmente eficazes, a ISO 27001 pode ser a sua grande aliada.

Ao longo dos próximos tópicos, vamos explicar o que é ISO 27001, por que ela é tão importante para a segurança da informação, como implementar suas diretrizes e quais são os requisitos para obter a certificação.

Aproveite a leitura!

O que é a ISO 27001?

Para entender como implementar os direcionamentos da ISO 27001 em seu negócio para melhorar sua segurança digital e obter a certificação, é preciso primeiramente saber em que consiste esse padrão.

A norma é internacional e foi publicada em 2005 por duas instituições: a International Electrotechnical Commission (ICE) e o International Organization for Standardization (ISO).

O objetivo da publicação é o fornecimento de diretrizes para que as empresas implementem de forma eficaz suas políticas de segurança da informação.

Ou seja, a ISO 27001 oferece uma gama de referências e uma lista de boas práticas para que você possa identificar e implementar os devidos controles de gerenciamento de riscos de segurança da informação, protegendo a integridade, a disponibilidade e confidencialidade dos dados que são essenciais para o funcionamento do seu negócio.

Nesse sentido, fala-se em padrão ISO 27001 porque esta publicação padroniza o processo de melhoria da segurança da informação pelos gestores com base em regras objetivas e claras.

Por isso, a obtenção do certificado ISO 27001 requer o cumprimento de uma série de pré-requisitos, controles e processos que objetivam a gestão eficaz dos riscos de segurança da informação.

Quando a empresa conquista esta certificação, ela conta com o reconhecimento de que tem um compromisso formal com a proteção dos dados com os quais lida, apesar de não significar que ela está adequada à LGPD.

Ou seja, a ISO 27001 possibilita ao seu negócio a comprovação de uma efetiva atuação com foco na integridade e na disponibilidade das informações sob sua guarda.

É claro que um dos principais resultados destes esforços é o aumento da credibilidade da sua empresa no mercado, que é um grande diferencial competitivo.

Clientes e parceiros em potencial se sentirão seguros para fornecer suas informações, já que terão a confiança de que elas serão tratadas de forma segura.

Como a segurança da informação é um ativo de alto valor, muitas empresas direcionam sua atenção para a obtenção do certificado ISO 27001.

E se você pensa que este padrão só serve para as grandes empresas, saiba que a certificação nada tem a ver com o porte ou o segmento do negócio.

Aliás, diante da dificuldade de padronização das políticas de segurança e do avanço do cibercrime, a tendência é que o certificado ISO 27001 passe a ser amplamente exigido.

Atualmente, ele é um diferencial competitivo, mas nos próximos anos deve se tornar essencial para toda empresa que deseja manter-se firme no mercado.

Vamos ver, em seguida, quais são os requisitos mínimos para pleitear esta certificação.

Requisitos da certificação ISO 27001

O caminho para melhorar a segurança da informação dentro das rotinas do seu negócio com base nas diretrizes da ISO 27001 passa pelo cumprimento de alguns requisitos.

Vejamos os principais entre eles.

• Implementação da sua política de segurança da informação: este documento interno possibilita a gestão dos riscos de segurança e o cumprimento das regulamentações que dizem respeito ao seu segmento de negócios;
• Organização da estratégia de segurança: você precisa gerir a segurança da informação de forma orientada para a manutenção da integridade dos dados;
• Segurança física e ambiental: também é preciso pensar na infraestrutura física do negócio, com foco no impedimento do acesso não autorizado a instalações e dados;
• Gestão de ativos: a segurança da informação e os demais ativos do negócio precisam ser geridos de maneira orientada à manutenção de sua integridade seja qual for a situação;
• Gestão de operações e comunicações: as informações precisam ser processadas de forma adequada e um dos cuidados fundamentais é a implementação de uma política de backup;
• Garantia de conformidade: para estar em conformidade com o padrão ISO 27001, o seu negócio precisa cumprir todas as leis, regulamentações e obrigações contratuais que estejam vigentes;
• Controle de acesso: roubos e ameaças à sua infraestrutura de TI precisam ser evitados a todo custo. Por isso, é preciso proteger ao máximo suas redes e bancos de dados utilizando recursos como a autenticação multifator.

Etapas da implementação da ISO 27001

Podemos dividir o processo de implementação das normas da ISO 27001 em cinco etapas para que você consiga caminhar de forma sistematizada rumo à obtenção da certificação.

Este processo se baseia no cumprimento do ciclo PDCA, sigla que significa planejar, executar, verificar e agir.

Seguindo essas diretrizes e os passos sobre os quais falaremos em seguida, você consegue criar um sistema eficiente de segurança da informação.

Veja abaixo as etapas a serem cumpridas:

Contextualização

Esta primeira etapa diz respeito à compreensão das necessidades e características da sua empresa.

É a partir dessa contextualização que você vai definir quais são os objetivos de segurança da informação e as políticas internas que serão implementados.

Avaliação dos riscos

A ISO 27001 precisa ser entendida como um padrão ligado à gestão de riscos organizacionais como um todo, e não apenas aos riscos de TI.

Nesse sentido, você precisa avaliar todos os processos internos e listar todos os riscos que encontrar relacionados à segurança da informação.

Em seguida, é importante classificá-los de acordo com a sua importância e com as possíveis consequências.

Controles operacionais

Esta etapa já tem um caráter mais prático. Nela você vai implementar os controles operacionais em seus respectivos processos de modo a reduzir os riscos encontrados na etapa anterior.

Os controles precisam ser concebidos com base em seu potencial para eliminar ou reduzir significativamente esses riscos.

Avaliação da eficácia

Esta é a etapa de análise e fiscalização do desempenho dos controles implementados na etapa anterior.

Ela é um processo constante que vai garantir a melhoria da segurança das informações sensíveis do negócio.

É neste momento que são promovidas as auditorias internas.

Promoção de melhorias

Para a obtenção e manutenção da certificação ISO 27001, todos os seus processos precisam estar em constante avaliação e monitoramento.

Por isso, as melhorias precisam ser concebidas como ações contínuas a partir do estabelecimento dos requisitos da certificação.

Então, sempre haverá a possibilidade de necessidade de criação de novos controles operacionais e é preciso manter-se atento para identificá-la.

O que é avaliado para a obtenção do certificado ISO 27001?

Ainda que seja possível, com a devida organização e o seguimento dos passos citados anteriormente, obter a certificação ISO 27001 sem grandes empecilhos, não se pode dizer que seus requisitos são poucos.

São muitos os controles internos a serem avaliados de acordo com as políticas e objetivos de segurança de cada negócio.

Vamos listar em seguida os principais controles, válidos para empresas de segmentos e portes variados. Mas lembre-se de que é importante fazer uma análise específica do seu negócio ao decidir pela obtenção da certificação.

Vamos ver, então, quais são os principais controles avaliados:

• Organização interna;
• Dispositivos móveis e trabalhos remotos;
• Segurança em recursos humanos;
• Gestão de ativos organizacionais;
• Tratamento de mídias;
• Controle de acesso, tanto físico quanto aos sistemas;
• Criptografia;
• Segurança física do espaço organizacional;
• Equipamentos;
• Segurança nas operações;
• Proteção contra vírus;
• Política de backup;
• Controle de softwares operacionais;
• Gestão de vulnerabilidades;
• Segurança de dados;
• Transferência de informações;
• Segurança em desenvolvimento e suporte;
• Segurança na informação da cadeia de suprimentos;
• Gestão de incidentes;
• Cumprimento de requisitos legais.

Obtendo a certificação ISO 27001

Para obter a certificação do padrão ISO 27001, é preciso, claro, conhecer suas diretrizes e cumprir as etapas internas relacionadas à implementação das mesmas, incluindo a etapa de auditoria.

Quando a empresa atingir os requisitos mínimos recomendados, será o momento de passar por uma auditoria externa de verificação.

Essa auditoria é dividida em dois estágios e é feita por uma empresa credenciada. Se a sua análise interna de lacunas tiver sido bem executada, certamente sua empresa estará preparada para esta nova avaliação.

As duas etapas da auditoria externa são:

1. Análise de lacunas;
2. Avaliação formal.

A análise dos auditores busca conferir se a empresa realmente desenvolveu os controles e procedimentos da ISO 27001.

Caso ainda existam lacunas, a empresa certificadora irá apontá-las e você poderá eliminá-las em um tempo hábil.

Caso já não sejam encontradas lacunas, a auditoria dá início a sua segunda etapa, que é a avaliação formal.

Neste momento, é verificada a conformidade das suas implementações com os controles e procedimentos da ISO 27001, ou seja, os auditores vão visitar a sua empresa para observar o desenvolvimento dos seus processos e atividades.

Eles vão verificar se, na prática, esses processos estão de acordo com o que foi relatado na documentação que você enviou e que já foi avaliada por eles.

Se essa conformidade for detectada, o seu certificado 27001 é emitido, mas isso não significa o fim do processo.

Durante o período de vigência do certificado, a empresa recebe visitas de supervisão, que servem para conferir se os processos continuam de acordo com as diretrizes da ISO 27001.

Esta é uma das razões pelas quais você precisa tratar os cuidados com a segurança da informação como processos contínuos.

Se você deseja saber quanto tempo todo esse processo de auditorias interna e externa pode levar, não existe um limite equânime para todas as empresas.

Isso porque são diversas as variáveis que precisam ser levadas em consideração no cálculo desse tempo.

Mas podemos dizer que, em média, empresas de médio porte costumam obter o certificado em um intervalo de até 12 meses a partir da aplicação das variáveis citadas anteriormente.

Todo o processo pode parecer muito complicado e trabalhoso, mas com a devida organização é possível colocá-lo em prática.

Além disso, vale muito a pena direcionar esforços para obter a conformidade com a ISO 27001. Vamos ver em seguida os principais benefícios de ter esta certificação.

5 benefícios de obter o certificado ISO 27001

Para motivar a implementação das diretrizes da ISO 27001 na sua empresa, vamos enumerar em seguida os principais benefícios de contar com este certificado.

• Vantagem competitiva: como a ISO 27001 é um padrão internacional, contar com a certificação é sinônimo de credibilidade para o seu negócio, que significa maior atração e fidelização de clientes;
• Redução de custos: ao seguir diretrizes que realmente melhoram a segurança da informação, você antecipa incidentes, atua de forma preventiva e melhora o desempenho do seu negócio, evitando os custos com a reparação de danos causados, por exemplo, por um incidente de segurança;
• Organização interna: com um sistema de gestão de segurança da informação eficiente, você passa a contar com informações assertivas sobre todos os seus processos, o que facilita as suas decisões;
• Redução de riscos: a partir da análise de riscos necessária à implementação da ISO 27001, os devidos controles são ajustados e implementados, evitando brechas ou falhas dos sistemas;
• Conformidade: as ações relacionadas ao seguimento do padrão ISO 27001 garantem a conformidade com os requisitos contratuais e com a legislação em vigor, como a LGPD brasileira.Por falar em LGPD, não deixe de ler nosso e-book completo sobre o assunto: LGPD e ISO 27001: como a norma ajuda na adequação à legislação. É um conteúdo gratuito e completo para você e sua empresa.