Neste artigo, damos uma olhada no que significa não-conformidade, a diferença entre uma não-conformidade maior e uma menor, como evitar e corrigir não-conformidades, e examinamos dez exemplos de não-conformidade da ISO 27001.
O que é, afinal, uma não-conformidade com a ISO 27001?
Você pode estar se perguntando o que é uma não-conformidade, exatamente. A resposta é bastante simples. Se o seu SGSI (Sistema de Gestão de Segurança da Informação) não cumpre um dos requisitos da ISO 27001, você tem uma não-conformidade.
De acordo com a Wikipedia, uma não-conformidade geralmente ocorre como resultado de:
- Comunicação deficiente (ou falha de comunicação)
- Documentação deficiente (ou falta de documentação)
- Formação deficiente ou limitada do pessoal
- Pouca motivação do pessoal
- Materiais de má qualidade (ou falta de materiais adequados)
- Ferramentas e equipamentos de má qualidade (ou falta de ferramentas e equipamentos adequados)
- Ambiente operacional deficiente ou disfuncional
De facto, torna-se um pouco mais complicado, porque nem todas as não-conformidades foram criadas da mesma forma: existem não-conformidades maiores e menores. Ambas serão anotadas durante a auditoria, e uma não-conformidade maior resultará em uma falha na certificação para a ISO 27001.
Qual é a diferença entre uma não-conformidade menor e uma não-conformidade maior da ISO 27001
Uma não-conformidade menor é:
- Um cumprimento parcial de um dos requisitos da ISO 27001…
- O não cumprimento de um requisito menor, ou…
- Uma falha pontual no cumprimento de um dos requisitos da norma.
Uma não-conformidade grave é:
- Uma falha repetida ou não tratada no cumprimento de um dos requisitos, ou…
- Um problema que terá impacto nos seus clientes se não for corrigido, e/ou…
- Se partes essenciais do SGSI estiverem ausentes ou não implementadas.
Requisitos para a ISO 27001
Vamos dar uma olhada em uma visão geral do que são os requisitos da ISO 27001:
- 4.1 – Compreender a Organização e o seu Contexto
- 4.2 – Compreender as necessidades e expectativas das partes interessadas
- 4.3 – Determinação do âmbito do sistema de gestão da segurança da informação
- 4.4 – Sistema de Gestão da Segurança da Informação
- 5.1 – Liderança e Compromisso
- 5.2 – Política de segurança da informação
- 5.3 – Papéis, Responsabilidades e Autoridades Organizacionais
- 6.1 – Acções para abordar riscos e oportunidades
- 6.2 – Objectivos de Segurança da Informação & Planeamento para os atingir
- 7.1 – Recursos
- 7.2 – Competência
- 7.3 – Consciencialização
- 7.4 – Comunicação
- 7.5 – Informação documentada
- 8.1 – Planeamento e controlo operacional
- 8.2 – Avaliação dos riscos de segurança da informação
- 8.3 – Tratamento do risco à segurança da informação
- 9.1 – Monitorização, medição, análise e avaliação
- 9.2 – Auditoria Interna
- 9.3 – Análise pela Direção
- 10.1 – Não-conformidade e Ação Corretiva
- 10.2 – Melhoria Contínua
ISO 27001 cláusula 10.1 – não-conformidade e acções corretivas
Erros acontecem. Até os auditores sabem disso. É claro que é vital que você tente atender a todos os requisitos da norma que você está buscando, neste caso, a ISO 27001. Mas ainda mais importante é registar e resolver quaisquer não-conformidades, uma vez identificadas. Isto é feito através de acções corretivas.
A cláusula 10 (10.1 – 10.2) ajudá-lo-á a encontrar não-conformidades e a tomar as referidas medidas corretivas. Deve fornecer provas de como está a assegurar que a ação corretiva que está a tomar fará a empresa regressar a um estado de conformidade. Mais sobre isto mais tarde.
3 passos para a conformidade
Identificou uma não-conformidade? Deve seguir estes três passos:
- O primeiro passo para abordar a não-conformidade é identificar o que correu mal em primeiro lugar. Para tal, é necessário identificar a causa de um problema, perguntando a si próprio “Porquê?”. Chama-se a isto uma análise da causa principal.
Na prática, a resposta ao primeiro “Porquê?” deve levar a outro “Porquê?” e a resposta ao segundo “Porquê?” levará a outro, e assim por diante. Este método pode ajudá-lo a estabelecer a causa raiz de uma não-conformidade.
- Em seguida, é necessário definir a ação corretiva adequada para parar e prevenir o problema. As acções preventivas são medidas para evitar que a não-conformidade se repita.
- Uma vez implementadas as acções corretivas, começa-se a monitorizar e a rever o processo.
É realmente tão fácil como 1, 2, 3.
10 exemplos de não-conformidades com a ISO 27001, tanto menores quanto maiores
Pode ser complicado tentar distinguir entre não-conformidades menores e maiores, mas lembre-se que muito depende da falha no cumprimento e da frequência da falha, bem como se a falha é repetida ou não tratada.
Não conformidades menores
- Alguns computadores portáteis sem vigilância encontrados nas secretárias dos funcionários e não protegidos com cadeado de cabo.
- Funcionamento incorreto do circuito fechado de televisão (CCTV) durante a realização da auditoria.
Não conformidades maiores
- Ausência de documentação obrigatória.
- Auditoria interna não é realizada dentro da organização.
- O líder da organização não envolve ou dá atenção ao SGSI (por exemplo, não participa em reuniões importantes do SGSI, envolvimento nas políticas principais/gerais); não fornece recursos para a implementação do SGSI.
- Não há avaliação do desempenho do SGSI.
- Não há evidências de que a gestão de activos é mantida adequadamente.
- Conteúdo da SOA não justificado ou inconsistente.
- Processo de avaliação de risco não seguido ou inadequado.
- Utilização indevida de uma marca de certificação, induzindo assim os clientes em erro.
Qual é a diferença entre não-conformidade e CAPA?
Um processo de não-conformidade e um processo de Ação Corretiva, Ação Preventiva são vitais para o seu SGQ (Sistema de Gestão da Qualidade).
Embora sejam semelhantes, é importante perceber que algumas não-conformidades exigirão CAPA e outras não.
CAPA é um processo que toma medidas corretivas ou preventivas quando um problema é identificado por um cliente, pela gestão ou por um auditor (interno ou externo).
O processo CAPA segue cinco etapas:
- Inquérito e avaliação
- Pré-investigação
- Investigação
- Planeamento e execução
- Revisão e verificação
Só tome estas medidas se a não-conformidade for crítica ou sistémica.
De acordo com Intelex, para determinar se o problema precisa de progredir para CAPA, faça a si próprio três perguntas:
- O problema pode ser resolvido no processo?
- O problema resultou em desperdício, sucata, retrabalho significativo ou insatisfação do cliente?
- A não conformidade é uma indicação de um problema mais sistémico, ou é provável que volte a ocorrer?
Exemplo de relatório de não-conformidade ISO 27001 e cenário de simulação
Guia da ISO 27001 fornece um esboço claro da diferença entre um relatório de não-conformidade e um relatório de ação corretiva na ISO 27001.
Vamos criar o nosso próprio cenário simulado de uma não-conformidade em ação usando a primeira grande não-conformidade mencionada acima, ou seja, a ausência de documentação obrigatória.
Não-conformidade
Falta a declaração de escopo do SISMS
Análise da causa raiz (Porquê?)
Porque? Quando questionada, a equipa demonstrou falta de entendimento sobre quais os documentos obrigatórios.
Por quê? A direção insistiu para que a equipa tentasse obter a certificação sem a ajuda de uma ferramenta online ou de terceiros.
Por quê? A direção não quer gastar ‘fundos desnecessários’
O problema é evidente – a falta de investimento no processo de certificação ISO 27001.
Sugestão de Ação Corretiva
Agora está claro qual deve ser a ação corretiva: uma terceira parte (como Compleye) ou uma ferramenta de certificação ISO 27001 ou plataforma online (como Compleye Online) deve ser usada para descobrir qual é a documentação obrigatória e como criar uma Declaração de Âmbito do SGSI.
Esta é a aparência da documentação para esta não-conformidade:
Não deixe que a não-conformidade o impeça de tornar a conformidade (quase) divertida!
Os exemplos de não-conformidade com a ISO 27001 que fornecemos são apenas alguns dos muitos que podem constituir obstáculos para as organizações que desejam obter a certificação ISO 27001.
Para saber mais sobre o que precisa de fazer para garantir o sucesso da sua certificação ISO 27001 e para descobrir como estamos a tornar a conformidade (quase) divertida, consulte Compleye ou marque uma demonstração abaixo.
