Declaração de escopo da ISO 27001… parece muito maior do que é. Na verdade, criar uma é bastante simples. Neste guia de declaração de escopo, nós dizemos a você o que, como e por que escrever uma declaração de escopo da ISO 27001.
Adicionamos alguns exemplos, um modelo para download e um vídeo superlegal e informativo estrelando nossa própria inovadora de conformidade, Mari E. Curious.
O que mais você poderia querer?
Porque é que é necessária uma declaração de âmbito?
No seu artigo ‘Certificação ISO IEC 27001‘, a TUV afirma que as organizações implementam um SGSI para:
“Proteger os dados que são cruciais para o negócio, mitigar o risco e garantir operações estáveis, fornecer confiança às partes interessadas e aos clientes.”
A declaração de âmbito da ISO 27001 é um compromisso e um reflexo desta ambição. Além disso, ela não é apenas a única informação obrigatória que você precisa fornecer dentro do segmento de escopo da norma, mas também a mais importante.
De acordo com Best Practice Biz, ‘O conceito por detrás da declaração de âmbito é permitir-lhe compreender o seguinte:
- Leis e regulamentos que deve cumprir
- Interfaces e dependências que tem com outros modelos
- Questões internas e externas relevantes para a segurança da informação do seu SGSI
- Processos e controlos de segurança necessários para o funcionamento da sua empresa’
A declaração de escopo da ISO 27001 define:
- O que a sua empresa faz.
- Que informação importante é abrangida pelo SGSI.
- Porque é que a segurança é importante para a sua organização.
- Que partes do seu negócio são certificadas.
É o que aparece no seu certificado ISO 27001 para todo o mundo (bem, não todo o mundo, mas você sabe o que queremos dizer) ver.
Em suma, é com o que os seus clientes se preocupam quando se trata de segurança.
Qual é o escopo da ISO 27001?
O escopo da ISO 27001 em si define tudo – de dados a produtos, processos a serviços, sistemas a geografias – que é protegido pelo seu SGSI. Ele também define tudo o que não está protegido.
Para compilar corretamente o âmbito da sua organização, é necessário determinar os limites e a aplicabilidade do SGSI.
Isto significa examinar quaisquer questões externas e internas que se encontram definidas na cláusula 4.1 da norma ISO 27001, compreender as necessidades e expectativas das partes interessadas (4.2) e determinar as ligações entre as actividades realizadas pela sua organização e as organizações externas.
Examinar e compreender quais as partes da empresa que estão envolvidas na criação, acesso ou processamento dos seus valiosos activos de informação, e realizar uma avaliação de riscos, irá mantê-lo no caminho certo ao definir o âmbito do seu SGSI.
Por que definir o escopo da ISO 27001 é tão importante?
Tudo o que entra no seu escopo deve ser coberto pelo seu SGSI; tudo o que está fora do escopo não precisa ser coberto pelo seu SGSI.
Portanto, se você deixar algo fora do escopo que deveria estar no escopo, você pode acabar com alguns problemas de segurança indesejados, dados desprotegidos e clientes e/ou partes interessadas insatisfeitos.
Se colocar no âmbito algo que não precisa de estar lá, está apenas a dar mais trabalho à sua equipa e, potencialmente, a gastar dinheiro que não precisa. Além disso, um escopo muito amplo não é ágil em termos de permitir mudanças em tecnologias e recursos.
Como é que se escreve uma declaração de âmbito para a ISO 27001?
A sua declaração de escopo é um resumo do seu escopo e deve deixar claro para os seus clientes que o que eles estão comprando de você, seja um produto ou um serviço, é coberto pelo seu SGSI.
Além disso, ao escrever sua declaração de escopo, responda às seguintes perguntas:
- O que é que a minha organização faz?
- Quais os produtos ou serviços que estão no âmbito de aplicação?
- Que informação precisamos de proteger?
- Que processos estão associados a essa informação?
- Existem exclusões (locais, processos etc) que podem ser deixadas de fora do escopo?
Vamos aplicar essas perguntas a uma empresa fictícia para ver como elas funcionam para moldar uma declaração de escopo. Chamaremos a empresa de FindMyPet.
- O que é que a minha organização faz?
FindMyPet reúne animais de estimação e donos…
- Quais produtos ou serviços estão no escopo?
… utilizando tecnologia de scanner e microchips…
- Que informações precisamos de proteger?
…que armazenam dados pessoais dos clientes (nome, endereço físico, número de telefone)…
- Que processos estão associados a essa informação?
…que também é armazenada numa base de dados central localizada nos nossos escritórios em Dogtown…
- Existem exclusões (locais, processos etc.) que podem ser deixadas de fora do escopo?
…que não é acessível a ninguém para além do nosso departamento de TI.
Todos juntos agora:
O FindMyPet reúne animais de estimação e donos usando tecnologia de scanner e microchips que armazenam os dados pessoais dos clientes (nome, endereço físico, número de telefone) que são armazenados em um banco de dados central localizado em nossos escritórios em Dogtown, que não é acessível a ninguém além do nosso departamento de TI.
Erros comuns a serem observados ao criar sua declaração de escopo
Como em tudo o que está relacionado com a ISO, deve estar sempre ciente das potenciais armadilhas. Embora a declaração do âmbito seja um trabalho simples e curto, deve ser precisa e clara, excluindo itens estranhos e incluindo tudo o que considerar digno de proteção do SGSI.
Não compreender quais as informações que a sua organização armazena, processa e gere pode levar a que deixe um elemento vital fora da sua declaração.
Para se certificar de que sabe tudo o que há para saber sobre os dados que a sua empresa trata, poderá querer procurar participar em sessões profissionais de conformidade.
Tudo o que fica fora do âmbito definido é considerado inseguro, pelo que deixar de fora tudo o que o seu cliente possa não querer comprar por não ter sido certificado não é um bom plano.
A sua declaração de âmbito não deve ser nem demasiado ambiciosa nem demasiado ambígua. Não tenha um objetivo demasiado alto e inclua todos os departamentos, todas as pessoas e todos os dados. Ao mesmo tempo, não tente diminuir os custos de implementação reduzindo o escopo.
Leia também: Top 10 ISO 27001 Certification Software Tools
Exemplos de boas declarações de âmbito da ISO 27001
Para o ajudar a iniciar a sua própria declaração de âmbito, aqui estão alguns exemplos de boas declarações de âmbito. Como você pode ver, elas aparecem no certificado ISO 27001 e referem-se à Declaração de Aplicabilidade.
1. Declaração de âmbito da ISO 27001 do BSI
No nosso primeiro exemplo, pode ver claramente que o ISMS do Online Computer Library Center se aplica às actividades de segurança da informação associadas aos serviços de gestão da empresa, partilha de recursos, serviços de metadados, descoberta e referência e relatório de infraestrutura interna. Note-se como a Declaração de Aplicabilidade é referida.
2. Declaração de âmbito da ISO 27001 da MGM Technology Partners
A MGM declara a natureza do seu negócio (Aconselhamento a clientes do sector público, seguros e comércio eletrónico sobre a digitalização dos seus processos de negócio e de TI; desenvolvimento de software para aplicações críticas para o negócio, consultoria de gestão para departamentos especializados e de TI e teste e implementação de segurança na Web).
No entanto, não indicam explicitamente a que é que o SGSI se aplica. Podemos assumir, portanto, que o seu SGSI abrange tudo o que está relacionado com todas as suas actividades e produtos.
3. Declaração de âmbito da ISO 27001 da Monday.com
A declaração de âmbito da Monday.com é muito clara. O seu SGSI aplica-se ao departamento de operações de TI relacionado com o desenvolvimento, marketing, venda, promoção, suporte e conceção de um sistema operativo para gerir o trabalho em equipa, executar fluxos de trabalho e processos, e alojar conteúdos e ficheiros.
Modelo de declaração de âmbito da ISO 27001 (download)
Elaboramos um modelo básico de declaração de escopo da ISO 27001 que você pode usar.
Este modelo pode ser usado como um modelo para “preencher as lacunas” ou como uma diretriz para criar a sua própria declaração de âmbito.
Não se atrase, escreva hoje mesmo o escopo da ISO 27001!
Por fim, é preciso tempo para ser breve, então comece a compilar sua declaração de escopo o mais rápido possível. Lembre-se de não ser demasiado ambicioso ou ambíguo e certifique-se de que compreende as informações que a sua empresa trata.
Para obter ajuda de profissionais ou para começar a usar a melhor ferramenta de conformidade DIY no mercado hoje, marque uma demonstração com Compleye.
