Deixe-nos explicar-lhe. A certificação ISO 27001 não é um passeio no parque, e seus desafios não são como andar de bicicleta. Com os desafios, os desafios surgirão. Quando os desafios surgem, há erros a serem cometidos. Os erros, no entanto, são a prova de que está a tentar. Certifique-se apenas de que não os comete duas vezes.
Todos nós cometemos erros. Isso não é diferente da jornada rumo à certificação ISO 270001: a certificação oficial que garante que a sua organização trata os seus dados de forma segura. Resumimos as armadilhas comuns que pode encontrar durante uma implementação da ISO 27001. Hoje, vamos compartilhá-las com você.
ISO 27001: lidar com o escopo
“Escopo [ skohp ] – substantivo – A extensão da área ou assunto com o qual algo lida ou para o qual é relevante.” Ao certificar para a ISO 27001, definir o escopo correto para a implementação de um SGSI (Sistema de Gestão de Segurança da Informação) pode ser complicado. Pode facilmente ser demasiado ambicioso ou insuficiente. A adoção de uma abordagem demasiado ambiciosa pode levar a que não se atinjam os objectivos e desmotivar a equipa. Por outro lado, as organizações que reduzem demasiado o seu âmbito de aplicação encontrarão provavelmente não-conformidades durante a auditoria de certificação, uma vez que não podem demonstrar que controlam totalmente o seu SGSI.
Falta de papéis e responsabilidades
Nunca considere o projeto de implementação da ISO 27001 como um projeto de TI que envolve recursos apenas desse departamento. A certificação ISO 27001 é um projeto com impacto em toda a organização e em todas as suas partes interessadas. Todas as pessoas envolvidas devem ser identificadas e as suas funções e responsabilidades devem ser comunicadas a toda a organização. Além disso, para ajudar a evitar que o SGSI se desmorone devido a mudanças no pessoal-chave, recomendamos que todas as empresas indiquem um sobrevivente designado com um conhecimento geral do SGSI. A Netflix ensinou-nos bem.
Não conhecer o valor da ISO 27001
Infelizmente, algumas organizações consideram a sua pegada cibernética insignificante e não vêem o valor acrescentado da certificação ISO 27001. É uma pena. A ISO27001 orienta a implementação de medidas adequadas para mitigar os riscos de privacidade e segurança, com medidas técnicas recomendadas em conformidade com os requisitos do RGPD. Ajuda-o a cumprir o RGPD, uma vez que constitui um excelente ponto de partida para as organizações que procuram implementar as medidas técnicas e organizacionais necessárias para reduzir o risco de uma violação de dados.
Leia também: Top 10 ISO 27001 Certification Software Tools
Falta de vigilância após a certificação
É comum que as organizações respirem aliviadas quando recebem a certificação inicial. No entanto, existe o risco de entrarem demasiado no “modo de relaxamento” e serem vítimas de armadilhas comuns da ISO 27001. A ISO 27001 é um processo contínuo que deve estar em vigor durante todo o ano, e não apenas durante a auditoria. Tudo deve ser mantido para provar que o SGSI continua a funcionar.
Com um grupo de pessoas brilhantes, grande motivação e uma quantidade modesta de formação, será capaz de se surpreender. Dedique algum tempo a definir o seu âmbito, a identificar obstáculos, a construir uma equipa forte, a considerar toda a organização e a preparar o seu plano de comunicação. Não subestime as vitórias do processo. Para concluir, deve certificar-se de que o SGSI é um processo vivo que está integrado na cultura da organização, para que continue a funcionar como planeado após a obtenção da certificação.
A certificação ISO 27001 é como a vida. Cometa erros, aprenda com eles e mantenha-se no caminho certo. Este caminho vale a pena.
