A lista de informações documentadas para a certificação ISO 27001 é longa. No entanto, nem toda a documentação é obrigatória e o seu auditor não vai necessariamente querer examinar tudo o que foi compilado. Mas, como sempre dizemos, mais vale prevenir, proteger e certificar do que remediar.
Compilámos uma lista de documentos obrigatórios para o ajudar a dar o primeiro passo na sua viagem de certificação.
Mas primeiro, vamos responder algumas perguntas sobre outros itens obrigatórios da ISO 27001.
Quantos requisitos obrigatórios são necessários para a ISO 27001?
De acordo com a lista rápida da Compleye, existem 8 requisitos para a certificação ISO 27001:
- Implementar um sistema de gestão de segurança (ISMS)
- Realizar uma avaliação de riscos
- Desenvolver políticas e procedimentos de segurança
- Implementar controlos para atenuar os riscos identificados
- Monitorizar e rever a eficácia do SGSI
- Manter registos do SGSI
- Comunicar o SGSI a todos os empregados
- Formar os funcionários sobre o SGSI
Quantas cláusulas obrigatórias existem na ISO 27001?
Quando se trata de cláusulas, a ISO 27001 consiste em duas secções. A Parte 1 (que é a secção obrigatória) consiste em 11 cláusulas que vão da cláusula 0 à cláusula 10
A seguir, a Parte 2, também conhecida como Anexo A, tem 114 (sim, você leu certo, cento e quatorze!) controles. É em torno destes controlos que irá estruturar a sua Declaração de Aplicabilidade (SoA);
Uma auditoria interna é obrigatória para a ISO 27001?
Sim. E, se pensarmos bem (ou mesmo se não pensarmos) isto faz todo o sentido porque uma auditoria também nos ajuda a verificar se o nosso SGSI está a funcionar como deveria.
No nosso artigo ‘É tempo de Auditoria Interna‘, explicamos os prós e contras da auditoria interna.
O manual do SGSI é um documento obrigatório?
Não é obrigatório ter um manual do SGSI, mas é altamente recomendado. Um manual do SGSI faz parte de uma estratégia abrangente de gestão de riscos. É uma solução tudo-em-um para armazenar todos os seus documentos para uma consulta rápida e fácil.
E por falar em documentos, aqui está a lista que lhe prometemos:
Documentação obrigatória da ISO 27001
Embora não exista uma lista oficial de documentos obrigatórios para a ISO 27001, nós queríamos delinear quais documentos você definitivamente deveria considerar coletar. A lista em que nos concentraremos é a seguinte:
- Escopo do SGSI
- Política e objectivos da segurança da informação
- Metodologia de avaliação e tratamento de riscos
- Declaração de aplicabilidade
- Plano de tratamento de riscos
- Relatório de avaliação de risco
- Definição das funções e responsabilidades de segurança
- Inventário de activos
- Utilização aceitável dos activos
- Política de controlo do acesso
- Procedimentos operacionais para a gestão das TI
- Princípios de engenharia de sistemas seguros
- Política de segurança do fornecedor
- Procedimento de gestão de incidentes
- Procedimentos de continuidade da atividade
- Requisitos estatutários, regulamentares e contratuais
Vamos analisar mais detalhadamente estes documentos e fornecer algum contexto para cada um deles. Desta forma, terá uma melhor ideia do que esperar.
Âmbito do SGSI (Cláusula 4.3)
Esta cláusula indica às partes interessadas exatamente quais as áreas do seu negócio que estão abrangidas pelo seu SGSI. Para proporcionar clareza às partes interessadas, poderá querer fornecer uma declaração de visão e/ou estratégia juntamente com o âmbito do seu SGSI. Lembre-se que o âmbito do seu SGSI documentado é o ingrediente chave para uma certificação bem sucedida;
Política e objectivos de segurança da informação
A gestão de topo deve estabelecer uma política de segurança da informação que seja relevante para o objetivo da sua organização específica (por isso, nada de copiar do seu amigo aqui, pessoal!). A política mostra que a gestão de topo está empenhada nos objectivos do SGSI e na sua melhoria contínua;
Metodologia de avaliação e tratamento de riscos
É necessário mostrar como se identificam, analisam, avaliam e dão prioridade aos riscos da informação. Decida o que é apropriado para a sua organização e escreva-o num relatório, numa lista, numa matriz ou em qualquer outro documento convincente que mostre como os seus riscos estão a ser controlados.
Declaração de Aplicabilidade
Uma SoA deixará seu auditor tão feliz quanto uma amêijoa. No seu artigo ‘The Benefits of the Statement of Applicability in ISMS Projects’, Jayakumar Sundaram explica que a SoA é “a principal ligação entre a avaliação e o tratamento do risco. A SoA é um documento continuamente atualizado e controlado que fornece uma visão geral da implementação da segurança da informação.” Nós próprios não o poderíamos ter dito melhor.
Plano de tratamento de riscos
A cláusula 6.1.3 explica o que é necessário fazer para criar um plano de tratamento de riscos. Em resumo, terá de fornecer um processo/procedimento para tratar os riscos de informação e mostrar que o processo está a funcionar eficazmente. Simples assim!
Relatório de avaliação de riscos
Quando os riscos tiverem sido identificados, você deve descobrir quais precisam de avaliação adicional e também como as avaliações são acionadas. De acordo com a Info-Savvy, “Uma ampla avaliação de riscos de segurança da informação deve ser realizada no mínimo uma vez por ano.”
Definição de funções e responsabilidades de segurança
Há várias formas de mostrar claramente as funções e responsabilidades. Poderá querer dar uma vista de olhos ao gráfico RASCI no kit de ferramentas ISO27001.
Inventário de activos
Não, não precisa de listar a sua máquina de café e o seu refrigerador de água; apenas os activos do seu sistema de TI, bem como os seus gestores/proprietários.
Utilização aceitável de activos
É vital que tenha diretrizes (e formação) sobre como utilizar os bens de TI da sua empresa, bem como sobre quem os pode utilizar. Todos, incluindo os contratantes e os trabalhadores temporários, devem ter acesso às regras de utilização dos seus recursos informáticos. Também pode querer fixar algumas diretrizes sobre como utilizar a máquina de café e o refrigerador de água;
Política de controlo de acessos/Política de gestão de acessos
Combinar uma política global de controlo de acesso com orientações específicas de acesso controlado relacionadas com palavras-passe, firewalls, VPNs, etc., é uma excelente ideia. Todas elas devem ser regularmente analisadas e revistas;
Procedimentos operacionais para a gestão das TI
Devem ser criados, divulgados e mantidos procedimentos operacionais de alta qualidade, fáceis de ler e compreender.
Princípios de engenharia de sistemas seguros
O controlo 8.27 é um controlo preventivo. Ele garante a eliminação de ameaças à CIA. Não, não é esse! A Confidencialidade, Integridade e Disponibilidade dos seus activos de informação;
Política de segurança do fornecedor, também conhecida como política de gestão de fornecedores
Embora possa controlar (quase) tudo o que acontece dentro dos limites da sua organização, a segurança dos seus fornecedores é algo que está fora do seu controlo. Por isso, não se esqueça de verificar se eles têm as suas próprias políticas de segurança;
Procedimento de gestão de incidentes
ISO 27001 define um incidente de segurança como “um evento indesejado que pode colocar em risco a confidencialidade, integridade ou disponibilidade da informação” Quer se trate de um evento de phishing ou de uma violação do sistema informático, o procedimento para lidar com um incidente deve incluir a recolha rápida de provas, uma análise forense, a comunicação sobre o incidente e, como em tudo o que é ISO, a manutenção de registos;
Procedimentos de continuidade da atividade
Não importa o quão seriamente a sua empresa é atingida por um incidente ou evento de segurança, precisa de ser capaz de manter as funções essenciais e continuar o caminho para a certificação. Uma ramificação da gestão de crises, a Gestão de Continuidade de Negócios deve ser documentada através de estratégias, políticas, planos, procedimentos e relatórios;
Requisitos estatutários, regulamentares e contratuais
Ah, o Anexo A.18.1, aquela cláusula complicada que engana tantos aspirantes a ISO! As empresas não se apercebem da quantidade de legislação e regulamentação que as afecta. Mas o seu auditor amigável quer saber como é que abordou as suas obrigações legais, regulamentares e contratuais;
Registos obrigatórios da ISO 27001
Registos de formação, competências, experiência e qualificações
Gerir um SGSI não é uma brincadeira de crianças. É necessária uma equipa com competências e formação não só do ponto de vista da segurança, mas também do ponto de vista dos RH, jurídico, comercial, informático (a lista continua). Para demonstrar a conformidade neste domínio, pode (muito) facilmente elaborar um quadro que mostre quem está envolvido, o que faz e a sua experiência;
Monitorização e resultados da medição
Este artigo do ICT Institute explica melhor a cláusula 9.1. “Monitorizar é observar os dados criados durante um processo ou por um sistema. A medição, por outro lado, requer que os dados sejam recolhidos através de uma ação. Você pode, por exemplo, monitorar a disponibilidade do seu site verificando a porcentagem de tempo de atividade do seu servidor web usando um painel, ou medir a disponibilidade contando quantos relatórios de falha do servidor foram criados no seu sistema de emissão de bilhetes.” Faz sentido, certo?
Programa de auditoria interna
Como mencionado acima, você precisa de uma auditoria interna como o deserto precisa da chuva (há uma música aí em algum lugar). E você precisa dela regularmente para assegurar que seu SGSI (Sistema de Gestão de Segurança da Informação) continue a atender aos padrões da ISO 27001 e para facilitar a melhoria contínua.
Resultados de auditorias internas
Não vale a pena realizar uma auditoria interna se não registar os resultados. O relatório deve conter:
- Revisões da documentação
- Amostragem de provas
- Entrevistas com o pessoal-chave do SGSI
- Entrevistas com outros funcionários e até com prestadores de serviços externos
- Avaliações de resultados
Resultados da análise pela direção
Escusado será dizer (mas vamos dizê-lo na mesma) que o objetivo de uma revisão pela gestão é informar e fornecer provas à gestão de topo de que o SGSI implementado e os seus objectivos continuam a mostrar sinais de eficácia, transparência e integridade;
Resultados das acções corretivas
Uma vez identificado um risco, devem ser tomadas medidas corretivas. As acções (desde a descoberta até à correção) devem ser documentadas, por vezes através de registos, de forma a demonstrar que as medidas corretivas tomadas foram eficazes.
Registos das actividades dos utilizadores, excepções e eventos de segurança
Ao registar actividades, excepções e eventos, lembre-se de que podem ser utilizadas informações privadas, sensíveis e/ou pessoais nos registos de eventos, pelo que devem ser implementadas medidas de privacidade adequadas. Sem excepções!
Obtenha ajuda para recolher os seus documentos obrigatórios da ISO 27001
Esteja ciente de que seu auditor irá escolher o que ele quer ver. Portanto, para tornar sua auditoria o mais fácil possível, é melhor se preparar garantindo que você tenha todos os documentos certos e que eles estejam classificados, arquivados e indexados para facilitar o acesso;
A melhor forma de se certificar de que tem todas as bases cobertas é utilizar uma plataforma em linha que lhe fornece a orientação e as ferramentas de que necessita para obter a certificação;
Agende uma demonstração com a Compleye para ver como podemos ajudá-lo a coletar seus documentos obrigatórios da ISO 27001.
