Para estar em conformidade com as normas ISO, \u00e9 necess\u00e1rio seguir uma f\u00f3rmula que garanta que tem todos os seus protocolos de seguran\u00e7a e prote\u00e7\u00e3o em vigor e que os seus funcion\u00e1rios est\u00e3o cientes dos mesmos. <\/p>\n\n\n\n
O processo come\u00e7a com uma compreens\u00e3o clara do seu Sistema de Gest\u00e3o de Seguran\u00e7a da Informa\u00e7\u00e3o (ISMS). <\/p>\n\n\n\n
N\u00f3s fornecemos uma lista de verifica\u00e7\u00e3o abrangente da ISO 27001 que pode ser usada para garantir que voc\u00ea tenha todas as suas bases cobertas, bem como uma pr\u00e9via de alguns dos conte\u00fados de nosso Wiki (o guia que suporta nossa ferramenta on-line, Compleye Online). <\/p>\n\n\n\n
Lista de verifica\u00e7\u00e3o completa para conformidade com a ISO 27001<\/h2>\n\n\n\n1. Definir a estrat\u00e9gia e as ambi\u00e7\u00f5es da ISO 27001<\/h3>\n\n\n\n
To do #1 – Organiza\u00e7\u00e3o & Contexto <\/strong><\/p>\n\n\n\n Organiza\u00e7\u00e3o e Contexto \u00e9 um t\u00f3pico obrigat\u00f3rio. Uma boa maneira de obter informa\u00e7\u00f5es sobre o conte\u00fado de Organiza\u00e7\u00e3o & amp; Contexto & amp; \u00e9 definir seus produtos definindo (por produto):& amp; <\/p>\n\n\n\n Isto lev\u00e1-lo-\u00e1 a perguntar:<\/p>\n\n\n\n Se conseguir responder (e documentar) a estas perguntas, est\u00e1 em conformidade com a ISO 27001.<\/p>\n\n\n\n To do #2 – Objectivos do SGSI<\/strong><\/p>\n\n\n\n Voc\u00ea precisar\u00e1 definir, implementar e revisar (pelo menos anualmente) seus objetivos do SGSI Em seu artigo Information Security Objectives in ISO 27001<\/a>, ISO27001guide.com<\/a> afirma que “os objectivos de seguran\u00e7a da informa\u00e7\u00e3o na ISO 27001 permitem \u00e0s organiza\u00e7\u00f5es definir os seus requisitos desde o in\u00edcio e monitorizar continuamente para garantir que os est\u00e3o a atingir.”<\/p>\n\n\n\n To do #1 – Partes Interessadas & Requisitos Legais<\/strong><\/p>\n\n\n\n Aqui, vai mergulhar nos requisitos legais que ter\u00e1 de cumprir para os seus terceiros e definir as expectativas de ambos os lados. O auditor externo esperar\u00e1 que tenha documentado a forma como estabeleceu este processo.<\/p>\n\n\n\n Exemplos de partes interessadas (https:\/\/www.iso9001help.co.uk\/<\/a>)<\/p>\n\n\n\n To do #2 – Propriedade Intelectual<\/strong><\/p>\n\n\n\n A propriedade intelectual (PI) \u00e9 uma categoria de propriedade que inclui cria\u00e7\u00f5es intang\u00edveis do intelecto humano. A PI t\u00edpica das empresas de tecnologia pode ser o seu c\u00f3digo-fonte, modelos de IA, determinadas bases de dados ou um m\u00e9todo de trabalho. Em resumo, a PI \u00e9 qualquer coisa que queira manter em segredo para os seus clientes e concorrentes e que precisa de ser protegida quando a sua equipa a utiliza\n\n\n\n To do #3 – Contratos<\/strong> <\/p>\n\n\n\n Certifique-se de que tem 1 pasta com todos os seus contratos para que tenha uma boa vis\u00e3o geral – e use pastas diferentes dentro dessa pasta para diferentes tipos de contratos (ou partes interessadas). Limite o acesso a estes contratos dentro da sua organiza\u00e7\u00e3o. O auditor externo pode pedir para ver 1 ou 2 contratos (amostras) durante a auditoria. <\/p>\n\n\n\n To do #4 – Impacto Global<\/strong><\/p>\n\n\n\n A entrada em novos mercados exigir\u00e1 alguma pesquisa sobre requisitos de privacidade e seguran\u00e7a. Os regulamentos de privacidade de dados pessoais t\u00eam de ser tidos em considera\u00e7\u00e3o quando se contrata ou expande para fora da \u00e1rea geogr\u00e1fica do RGPD. Requisitos adicionais para o seu ISMS podem ser regidos por:<\/p>\n\n\n\n To do #5 – GDPR<\/strong><\/p>\n\n\n\n Se voc\u00ea \u00e9 uma empresa sediada em – ou realizando neg\u00f3cios em – Europa, voc\u00ea precisa de cumprir com o RGPD. Ao se preparar para a certifica\u00e7\u00e3o, voc\u00ea precisar\u00e1:<\/p>\n\n\n\n To do #1 – Definir componentes da infraestrutura de TI<\/strong><\/p>\n\n\n\n A ISO 27001 solicita um escopo para o seu SGSI, ent\u00e3o voc\u00ea precisar\u00e1 definir o que voc\u00ea vai levar no escopo. Definir os componentes da sua Infraestrutura de TI ir\u00e1 ajud\u00e1-lo a definir o seu escopo. <\/p>\n\n\n\n To do #2 – Definir o \u00e2mbito do ISMS<\/strong><\/p>\n\n\n\n Veja o artigo do Compleye, ‘Como escrever uma declara\u00e7\u00e3o de escopo da ISO 27001 (+3 exemplos)’<\/a>.<\/p>\n\n\n\n To do #1 – Vis\u00e3o geral dos fornecedores<\/strong><\/p>\n\n\n\n Ao implementar um conjunto de controlos e processos para lidar com os riscos dos fornecedores, pode ser considerado o seguinte:<\/p>\n\n\n\n To do #2 – Avalia\u00e7\u00e3o de Fornecedores<\/strong><\/p>\n\n\n\n A avalia\u00e7\u00e3o de fornecedores \u00e9 um t\u00f3pico muito importante na ISO 27001, especialmente para empresas de tecnologia porque elas fazem uso de muitos fornecedores. Voc\u00ea precisar\u00e1 estar no controle de seus fornecedores – avalie os fornecedores de alto risco anualmente em uma s\u00e9rie de t\u00f3picos. O propriet\u00e1rio do fornecedor ter\u00e1 de analisar o fornecedor em termos de informa\u00e7\u00f5es b\u00e1sicas e contratos.<\/p>\n\n\n\n To do #3 – Avalia\u00e7\u00e3o do Fornecedor<\/strong><\/p>\n\n\n\n Seguir os seguintes passos:<\/p>\n\n\n\n To do #4 – Classifica\u00e7\u00e3o de dados<\/strong><\/p>\n\n\n\n No contexto da seguran\u00e7a da informa\u00e7\u00e3o, a classifica\u00e7\u00e3o dos dados baseia-se no seu n\u00edvel de confidencialidade e no impacto na organiza\u00e7\u00e3o caso esses dados sejam divulgados, alterados ou destru\u00eddos sem autoriza\u00e7\u00e3o. Considere as seguintes quest\u00f5es ao classificar suas informa\u00e7\u00f5es:<\/p>\n\n\n\n To do #5 – Plano de Continuidade do Neg\u00f3cio<\/strong><\/p>\n\n\n\n No Compleye, aconselhamos a realiza\u00e7\u00e3o do BCP antes da auditoria interna e da an\u00e1lise da gest\u00e3o, uma vez que esta avalia\u00e7\u00e3o ir\u00e1 provavelmente resultar nas \u00faltimas melhorias que precisa de ter em vigor para estar pronto para a certifica\u00e7\u00e3o. Em alternativa, realize o BCP duas vezes: primeiro, quando come\u00e7ar a implementar o seu SGSI e segundo, antes da sua auditoria externa. <\/p>\n\n\n\n To do #6 – ISRA<\/strong><\/p>\n\n\n\n A Avalia\u00e7\u00e3o de Riscos de Seguran\u00e7a da Informa\u00e7\u00e3o (ISRA) \u00e9 a avalia\u00e7\u00e3o de riscos mais importante do SGSI e deve ser realizada com a sua equipa do SGSI. Voc\u00ea precisar\u00e1 realizar uma ISRA anualmente usando o mesmo m\u00e9todo todos os anos para que possa comparar resultados e resultados. <\/p>\n\n\n\n To do #7 – Testes DRP & PEN<\/strong><\/p>\n\n\n\n Aqui est\u00e1 um exerc\u00edcio r\u00e1pido para definir a sua crise\/desastre DRP: <\/p>\n\n\n\n Defina o que voc\u00ea (para o seu neg\u00f3cio) considera: <\/p>\n\n\n\n Quando se trata de pentesting, Breachlock diz isso melhor com este \u00f3timo infogr\u00e1fico:<\/p>\n\n\n\n To do #8 – Avalia\u00e7\u00e3o GDPR<\/strong><\/p>\n\n\n\n Os riscos e oportunidades do RGPD s\u00e3o abundantes. Tr\u00eas de cada um podem ser explorados neste artigo abrangente da Comforte: “Tr\u00eas riscos e oportunidades do RGPD”.<\/a><\/p>\n\n\n\n Compleye Online fornece um modelo de avalia\u00e7\u00e3o do GDPR com 22 perguntas. <\/p>\n\n\n\n To do #9 – Avalia\u00e7\u00e3o do impacto da privacidade dos dados<\/strong><\/p>\n\n\n\n Uma AIPD pode ser necess\u00e1ria se tiver v\u00e1rios produtos: realize uma AIPD por produto (ou servi\u00e7o). Se trabalhar com diferentes tipos de projectos (por exemplo, Prova de Conceito), tamb\u00e9m precisar\u00e1 de realizar uma nova AIPD por projeto. Ao realizar neg\u00f3cios com, por exemplo, organiza\u00e7\u00f5es governamentais, \u00e9 prov\u00e1vel que lhe pe\u00e7am para partilhar uma c\u00f3pia da sua AIPD.<\/p>\n\n\n\n To do #1 – Pol\u00edticas de Seguran\u00e7a & Procedimentos<\/strong><\/p>\n\n\n\n Antes de poder adicionar registos, ter\u00e1 de adotar Pol\u00edticas & Procedimentos. Uma das pol\u00edticas obrigat\u00f3rias da ISO 27001 \u00e9 a Pol\u00edtica de Seguran\u00e7a – que descreve as inten\u00e7\u00f5es e ambi\u00e7\u00f5es (objectivos) que definiu para o seu SGSI. <\/p>\n\n\n\n To do #2 – Templates<\/strong><\/p>\n\n\n\n Existem in\u00fameras pol\u00edticas e procedimentos obrigat\u00f3rios que precisam de ser implementados no seu SGSI. A cria\u00e7\u00e3o desta documenta\u00e7\u00e3o pode ser demorada e pode n\u00e3o ter a certeza de que cobriu todos os itens necess\u00e1rios. O uso de modelos como os fornecidos por uma ferramenta on-line como o Compleye Online fornecer\u00e1 a orienta\u00e7\u00e3o necess\u00e1ria para atender aos requisitos para obter a certifica\u00e7\u00e3o. <\/p>\n\n\n\n To do #3 – Listas de verifica\u00e7\u00e3o<\/strong><\/p>\n\n\n\n O seu SGSI necessita de melhoria e manuten\u00e7\u00e3o cont\u00ednuas. <\/p>\n\n\n\n A cria\u00e7\u00e3o de listas de verifica\u00e7\u00e3o \u00e9 uma forma simples de manter o controlo das actividades e passos quando se seguem procedimentos de melhoria e manuten\u00e7\u00e3o. <\/p>\n\n\n\n To do #1 – M\u00e9tricas de Seguran\u00e7a<\/strong><\/p>\n\n\n\n As M\u00e9tricas de Seguran\u00e7a s\u00e3o ‘KPIs’ definidos para verificar se o sistema de gest\u00e3o da seguran\u00e7a da informa\u00e7\u00e3o est\u00e1 a funcionar eficazmente. <\/p>\n\n\n\n Ter\u00e1 de:<\/p>\n\n\n\n To do #2 – Gest\u00e3o de Activos<\/strong><\/p>\n\n\n\n Os activos de hardware que transportam informa\u00e7\u00f5es, servidores e dados s\u00e3o todos activos. Para os gerir, \u00e9 necess\u00e1rio acompanhar todos os activos e saber que activos est\u00e3o a ser utilizados e se s\u00e3o propriedade da empresa. Tamb\u00e9m \u00e9 necess\u00e1rio acompanhar as altera\u00e7\u00f5es e o movimento dos activos.<\/p>\n\n\n\n To do #3 – Controlos<\/strong><\/p>\n\n\n\n O Anexo A consiste em 114 controlos. Ter\u00e1 de adotar, implementar e manter controlos. Existem 2 formas de definir e implementar controlos: <\/p>\n\n\n\n To do #4 – Gest\u00e3o de Acessos<\/strong><\/p>\n\n\n\n A Gest\u00e3o de Acessos em geral \u00e9 um t\u00f3pico importante para o seu SGSI. O facto de n\u00e3o controlar o acesso ao software pode facilmente causar incidentes que se transformam em viola\u00e7\u00f5es de dados. To do #1 – Reuni\u00f5es de Seguran\u00e7a<\/strong><\/p>\n\n\n\n Durante as Reuni\u00f5es de Seguran\u00e7a com a sua equipa do SGSI, pode tomar decis\u00f5es sobre todos os t\u00f3picos relacionados com o seu SGSI. Ter\u00e1 de atribuir um respons\u00e1vel pela reuni\u00e3o de seguran\u00e7a, documentar altera\u00e7\u00f5es, verificar controlos e avaliar melhorias.<\/p>\n\n\n\n To do #2 – Chamadas para a\u00e7\u00e3o para acompanhamento<\/strong><\/p>\n\n\n\n As reuni\u00f5es de seguran\u00e7a s\u00e3o uma parte obrigat\u00f3ria do SGSI operacional, onde a equipa alinha, realiza verifica\u00e7\u00f5es peri\u00f3dicas, trabalha em colabora\u00e7\u00e3o em tarefas, planeamento, etc. Todas as tarefas de acompanhamento exigidas \u00e0 equipa do SGSI s\u00e3o definidas com apelos \u00e0 a\u00e7\u00e3o ap\u00f3s a reuni\u00e3o de seguran\u00e7a\n\n\n\n To do #1 – Atribuir fun\u00e7\u00f5es do SGSI<\/strong><\/p>\n\n\n\n A ISO 27001 exige que tenha uma equipa de SGSI para a cria\u00e7\u00e3o, implementa\u00e7\u00e3o e manuten\u00e7\u00e3o. Deve tamb\u00e9m ter uma vis\u00e3o geral de todos os membros da equipa para que a seguran\u00e7a e a privacidade possam ser criadas em torno de pessoas e processos.<\/p>\n\n\n\n To do #2 – Atribuir fun\u00e7\u00f5es de seguran\u00e7a obrigat\u00f3rias<\/strong><\/p>\n\n\n\n Aconselhamos que comece por designar um m\u00ednimo de 2 membros da equipa respons\u00e1veis pelo seu SGSI.certifique-se sempre de que existe conhecimento de tecnologia e de neg\u00f3cios no seu SGSI\n\n\n\n Designe tamb\u00e9m um respons\u00e1vel pela seguran\u00e7a (SO), privacidade respons\u00e1vel (PO) e um respons\u00e1vel pela conformidade (CO). <\/p>\n\n\n\n To do #3 – Seguran\u00e7a do escrit\u00f3rio<\/strong><\/p>\n\n\n\n Se tem um escrit\u00f3rio, \u00e9 respons\u00e1vel pela seguran\u00e7a f\u00edsica do seu escrit\u00f3rio e por manter o controlo de quem ter\u00e1 acesso ao escrit\u00f3rio (por chave\/cart\u00e3o\/c\u00f3digo).<\/p>\n\n\n\n To do #4 – Novas contrata\u00e7\u00f5es e contratos<\/strong><\/p>\n\n\n\n Se voc\u00ea contrata pessoas, a ISO 27001 espera que voc\u00ea esteja no controle do n\u00famero de membros da equipe, seus t\u00edtulos de trabalho e quem ir\u00e1 liderar\/mentorizar cada pessoa.voc\u00ea precisar\u00e1 estar no controle de seus contratos de trabalho. Se voc\u00ea estiver na fase de expans\u00e3o, \u00e9 \u00fatil ter datas de expira\u00e7\u00e3o etc. em um s\u00f3 lugar.<\/p>\n\n\n\n To do #5 – Forma\u00e7\u00e3o<\/strong><\/p>\n\n\n\n Voc\u00ea precisar\u00e1 de:<\/p>\n\n\n\n To do #6 – RH & Organiza\u00e7\u00e3o<\/strong><\/p>\n\n\n\n Os requisitos espec\u00edficos de RH\/Organiza\u00e7\u00e3o da ISO incluem:<\/p>\n\n\n\n Cap\u00edtulo 5: Responsabilidades da Gest\u00e3o de Topo<\/p>\n\n\n\n Cap\u00edtulo 7: Recursos- Determinar e providenciar os recursos necess\u00e1rios para a implementa\u00e7\u00e3o, manuten\u00e7\u00e3o & melhoria cont\u00ednua do SGSI.<\/p>\n\n\n\n To do #1 – Audi\u00eancia Interna<\/strong>t<\/p>\n\n\n\n O objetivo da auditoria interna \u00e9 certificar-se de que o seu SGSI est\u00e1 em conformidade com os requisitos da sua organiza\u00e7\u00e3o (pol\u00edtica de seguran\u00e7a da informa\u00e7\u00e3o, procedimentos, objectivos de seguran\u00e7a, etc.), bem como com os requisitos da ISO 27001, e avaliar se o SGSI \u00e9 efetivamente implementado e mantido. Consulte o nosso artigo ‘It’s Internal Audit Time’<\/a> para saber mais. <\/p>\n\n\n\n To do #2 – Management Review<\/strong><\/p>\n\n\n\n Uma revis\u00e3o da gest\u00e3o \u00e9 efectuada anualmente e ter\u00e1 de designar uma pessoa respons\u00e1vel pela revis\u00e3o. O processo, embora complexo, pode ser destilado em tr\u00eas etapas:<\/p>\n\n\n\n To do #3 – Documenta\u00e7\u00e3o<\/strong><\/p>\n\n\n\n Para al\u00e9m das pol\u00edticas, procedimentos e registos obrigat\u00f3rios, existem 4 Documentos Obrigat\u00f3rios que precisam de estar dispon\u00edveis e prontos para a certifica\u00e7\u00e3o da auditoria externa: <\/p>\n\n\n\n To do #4 – Declara\u00e7\u00e3o de Aplicabilidade<\/strong><\/p>\n\n\n\n A SoA \u00e9 um resumo do estado de implementa\u00e7\u00e3o da sua organiza\u00e7\u00e3o em cada um dos 114 controlos do Anexo A da ISO 27001 e deve definir quais os controlos identificados pela sua organiza\u00e7\u00e3o para lidar com os riscos envolvidos no neg\u00f3cio. Isto pode ser feito atrav\u00e9s da realiza\u00e7\u00e3o de uma an\u00e1lise de lacunas e avalia\u00e7\u00e3o de riscos da ISO 27001.<\/p>\n\n\n\n To do #1 – Auditor L\u00edder Acreditado<\/strong><\/p>\n\n\n\n Uma vez que esteja pronto para a auditoria, designe um auditor l\u00edder acreditado. Os auditores de chumbo passaram por um treinamento extensivo, ent\u00e3o voc\u00ea est\u00e1 em boas m\u00e3os.<\/p>\n\n\n\n To do #2 – Planear a manuten\u00e7\u00e3o da certifica\u00e7\u00e3o<\/strong><\/p>\n\n\n\n Ap\u00f3s uma organiza\u00e7\u00e3o obter a certifica\u00e7\u00e3o ISO 27001, \u00e9 importante manter o Sistema de Gest\u00e3o de Seguran\u00e7a da Informa\u00e7\u00e3o (SGSI) de forma cont\u00ednua para garantir que ele permane\u00e7a eficaz, relevante e alinhado com os objetivos da organiza\u00e7\u00e3o. \u00c9 aqui que entra o pacote de manuten\u00e7\u00e3o completa da ISO 27001<\/a>. <\/p>\n\n\n\n Saiba mais sobre como a Compleye pode ajud\u00e1-lo com sua conformidade com a ISO 27001.<\/p>\n\n\n\n\n
\n
2. Determinar os requisitos legais e de conformidade<\/h3>\n\n\n\n
![\"partes](\"https:\/\/lh4.googleusercontent.com\/YPv9C8FwwC5JqpLWxsKSQT0U7-WOEl2p4hea2GXO84zc5V4Mgp6gPCsg7xy7b_k9uJNUDR1rpc8XAMw3usopS-6GDUAk9Q-z5PqjJXosOGavacy78Mh4oP2tVPpoBQIZPezQX-b7RvsXNjaBXDC3XQ\")
\n
\n
3. Definir \u00e2mbito<\/h3>\n\n\n\n
4. Registar todos os riscos e oportunidades<\/h3>\n\n\n\n
\n
\n
\n
\n
![\"\"\/](\"https:\/\/lh3.googleusercontent.com\/cewvVkMl13z5lVWZZQdXUihySyg3SyJz_iGMdZoAHEmycI7yZJjRi1Xd5va3EK-IyrKzLjzNpJA6TooE9UmU4ZZY7HOuMSiluS_-A-FKrcf5HxZ6TJ5zM5K3JkFicEU3gZApqlrZatDhwMY61-mjXQ\")
5. Decidir sobre pol\u00edticas de seguran\u00e7a & procedimentos<\/h3>\n\n\n\n
6. Estabelecer um sistema de medidas e controlos<\/h3>\n\n\n\n
\n
\n
Precisar\u00e1 de uma Pol\u00edtica de Gest\u00e3o de Acessos e deve estar em controlo dos diferentes tipos de acesso: <\/p>\n\n\n\n\n
7 Implementar pontos de controlo e acompanhamento operacionais<\/h3>\n\n\n\n
8. Cuidar das fun\u00e7\u00f5es, responsabilidades, lideran\u00e7a e gest\u00e3o<\/h3>\n\n\n\n
\n
\n
\n
9. Preparar a certifica\u00e7\u00e3o ISO 27001 efectiva<\/h3>\n\n\n\n
\n
\n
10. Organizar auditoria de certifica\u00e7\u00e3o ISO 27001 em tempo real <\/h3>\n\n\n\n
![\"Como](\"https:\/\/lh3.googleusercontent.com\/lXsSvTuZ61ii1YRYFaF6i3e3bbQUd3KG_qFrRVy094fzgkOm9qcOeBEh9rrsnLnMGKUnVHzcCZdgUJqvf6JQA9wNscDx5TDsd5Fzavz9CnPtnZtfc9lOE6891lxgQF1Ur8O-vlul7R1UauCPO24t6w\")
Est\u00e1 pronto para come\u00e7ar a assinalar a sua lista de verifica\u00e7\u00e3o completa para a conformidade com a ISO 27001 (2023)<\/h2>\n\n\n\n