KPIs da ISO27001 – 10 exemplos importantes que deve seguir

Devido às complexidades da segurança online, a conformidade com a Segurança da Informação é vital. Mas, assim como a segurança cibernética, a conformidade é um processo complexo e em constante mudança e, embora fosse ótimo poder obter a certificação e depois relaxar, isso não é realista. 

Antes, durante e depois da certificação ISO 27001, a sua organização precisa de se manter no topo do seu SGSI, acompanhando constantemente o seu desempenho. 

A melhor maneira de fazer isso é conceber KPIs ISO 27001 que você pode usar para garantir que você permaneça no caminho certo com a sua gestão de segurança.  

A norma ISO 27001 descreve as melhores práticas para a segurança da informação, e o acompanhamento dos KPIs permite que as organizações identifiquem áreas de melhoria. Os KPIs da ISO 27001 asseguram uma funcionalidade óptima do SGSI.  

No seu artigo “L'étude ISO 2020 sur les normes de systèmes de management révèle une augmentation de 17% des certifications“, o CQI afirma que existem muitos factores que estão a “mudar o mundo do trabalho, incluindo transformation numérique e Qualité 4.0, e as exigências da construção de um futuro sustentável.” 

Para acompanhar esta transformação, a conformidade é um pilar necessário em todas as empresas. E, como qualquer pilar de desempenho, a conformidade deve ser rastreada usando KPIs.  

O que é um KPI? 

Por definição, um Indicador Chave de Desempenho (KPI) é, ‘Um conjunto de medidas quantificáveis usadas para avaliar o desempenho geral de uma empresa’ – Investopedia. 

Como definir seus KPIs da ISO 27001 

Quando se trata da ISO 27001, devem ser definidos KPIs para garantir que a sua empresa está a cumprir os seus objectivos de segurança.  

Usar o Capítulo 9 da ISO 27001 é um bom ponto de partida para definir um conjunto de KPIs. Afinal, o Capítulo 9 exige que as organizações avaliem o desempenho e a eficácia do seu SGSI.  

O Capítulo 9 afirma que “A organização deve determinar o que precisa de ser monitorizado e medido, incluindo os processos e controlos de segurança da informação.” 

Usando esta instrução, pode facilmente decidir quais os aspectos do seu ISMS que exigirão KPIs.  

Depois de determinar isso, para rastrear um KPI, você (ou melhor, a gerência) deve atribuir um objetivo a cada meta mensurável.  

Exemplos de KPIs da ISO 27001 

Vamos dar uma olhada em alguns exemplos de KPIs da ISO 27001.  

1. Incidentes de Segurança 

Um grande exemplo de um KPI que pode ser atribuído a um objetivo e depois rastreado é ‘Incidentes de Segurança’.  

A ISO define um incidente de segurança como, “um evento indesejado que pode colocar em risco a confidencialidade, integridade ou disponibilidade da informação”. 

A sua direção pode decidir que a sua empresa deve atingir um objetivo de menos de 3 incidentes por mês. Ou, eles podem criar um objetivo relativo, por exemplo, ‘Reduzir incidentes de segurança em 33% este mês’. 

É claro que os parâmetros do KPI serão diferentes dependendo do seu negócio e indústria. A vantagem de criar os seus próprios KPIs é que a gestão pode adaptá-los em função do que está a acontecer na organização. Assim, à medida que cresce, pode apertar os parâmetros dos seus KPIs; se achar que os seus KPIs são demasiado restritivos, pode relaxá-los.  

Desde que cumpra os objectivos do seu SGSI e se mantenha fiel à sua certificação ISO 27001, os seus KPIs são seus para definir.  

De acordo com o artigo ‘Gestão de riscos de segurança cibernética para empresas de tecnologia’, o Security Scorecard sugere o uso das seguintes métricas de incidentes de segurança para definir seu KPI de incidente de segurança: 

• Tempo médio de deteção  
• Tempo de alarme para triagem  
• Tempo de Alarme para Qualificar 
• Tempo médio de reconhecimento 
• Tempo médio para investigar  
• Tempo médio para resolver 
• Tempo médio para conter 
• Tempo médio de recuperação 
• Custo por incidente 
• Número de Incidentes por Dispositivo ou Host 
• Tempo médio entre falhas 

2. Percentagem de incidentes de segurança resolvidos dentro de um tempo alvo  

Controlar os incidentes de segurança é uma coisa, mas o objetivo de os resolver dentro de um determinado prazo é vital.  

Este KPI mede a eficácia do processo de gerenciamento de incidentes de uma organização em responder e resolver incidentes de segurança em tempo hábil. 

O tempo de resolução por incidente dependerá de: 

• A gravidade do incidente. 
• A estratégia de gestão de riscos da organização. 
• Os recursos e capacidades da organização. 

Ao criar objectivos para este KPI, as seguintes são métricas razoáveis para uma organização padrão: 

• Resolver incidentes de segurança graves dentro de 24 horas. 
• Resolver incidentes de segurança menos graves dentro de 72 horas. 

Para determinar a eficácia da estratégia de resolução de incidentes, uma vez estabelecidos os tempos de resolução pretendidos, será necessário verificar: 

• O número de vulnerabilidades identificadas  
• A porcentagem de vulnerabilidades corrigidas dentro de um tempo alvo. 

Ao utilizar este KPI, pode minimizar o potencial impacto nas operações da sua empresa e, por conseguinte, na sua reputação. Ele também fornece informações valiosas para a gerência avaliar a eficácia do ISMS da sua organização e tomar decisões informadas sobre a alocação de recursos e iniciativas de melhoria de processos. 

3. Percentagem de sistemas protegidos por software anti-malware 

Quando se trata de infecções apanhadas, o número varia dependendo da eficácia do seu malware. Assim, o número de infecções apanhadas pode aumentar porque tem um malware superior e não necessariamente porque há mais infecções do que o habitual

O seu KPI ao determinar a eficácia do seu software de malware deve, portanto, depender da percentagem de sistemas que estão protegidos e têm: 

• ferramentas antivírus instaladas e activadas. 
• assinaturas anti-malware actualizadas. 
• ferramentas ou funcionalidades anti-malware específicas instaladas e activas. 

Para medir este KPI, determine o número de sistemas que requerem proteção anti-malware e o número de sistemas que têm a proteção implementada. Em seguida, você pode calcular a porcentagem de sistemas protegidos por software antimalware dividindo o número de sistemas com proteção antimalware pelo número total de sistemas que exigem proteção

4. Número de funcionários responsáveis pela segurança da informação  

A cláusula 5.3 diz respeito à gestão garantir que as funções, responsabilidades e autoridades são claras quando se trata de nomear uma equipa que é responsável pelo SGSI.  

Algumas organizações podem usar o pessoal existente e não devem precisar de nomear novos membros da equipa, enquanto outras terão de trazer contratantes externos ou novos funcionários.  

É importante que a sua organização garanta que há uma pessoa responsável em geral e que certas funções são preenchidas. Lembre-se, no entanto, que uma pessoa pode desempenhar mais do que uma função.  

A responsabilidade pelo SGSI deve ser assumida de cima para baixo, com a direção a liderar o caminho e, de facto, um executivo sénior pode muito facilmente assumir o papel de, por exemplo, um Chief Information Security Officer.  

Numa organização de maior dimensão, no entanto, este pode ter de ser um trabalho a tempo inteiro.  

O KPI para ‘Número de Funcionários Responsáveis pela Segurança da Informação’ deve ser definido por: 

• Existem funcionários suficientes para se concentrarem nas partes principais do SGSI? 
• Existe uma pessoa que é responsável globalmente? 
• Os papéis foram comunicados às partes relevantes? 

Normalmente, as seguintes funções são necessárias para garantir que o SGSI seja definido e mantido: 

• Liderança em Segurança 
• Gestão de Riscos de Segurança 
• Auditoria Interna 
• Proprietários de controlo 

5. Percentagem de verificações realizadas para garantir a conformidade com a política de firewall 

As firewalls são um componente chave do seu ISMS e são usadas para proteger redes e sistemas de acessos não autorizados. Garantir a conformidade com as políticas de firewall é crucial para manter a eficácia do ISMS e proteger informações confidenciais.  

Ao definir os objectivos deste KPI, considere: 

• Acompanhar a percentagem de verificações realizadas para garantir que as firewalls estão configuradas de acordo com as políticas e procedimentos da sua organização. 

• Garantir que os controlos de acesso estão configurados corretamente, que as regras estão actualizadas e que quaisquer alterações são aprovadas e documentadas.  

Para medir com precisão a eficácia da conformidade da sua política de firewall, você também precisa considerar: 

• A qualidade dos controlos. 
• Os resultados dos controlos. 
• As acções tomadas em consequência dos resultados. 

Para garantir que os seus KPIs são úteis e exactos, é vital que: 

• Estabeleça políticas e procedimentos claros para configurar e gerenciar firewalls; 
• Garantir que as verificações sejam realizadas por pessoal qualificado e treinado;  
• Documentar os resultados e as acções tomadas; 
• Utilize os resultados das verificações para impulsionar a melhoria contínua das suas políticas e procedimentos de firewall. 

5. Número de melhorias identificadas 

Este KPI mede a capacidade da sua organização para identificar áreas de melhoria nos processos de segurança da informação e tomar medidas para as abordar. 

As melhorias podem ser encontradas durante as actividades do SGSI, tais como reuniões de segurança ou auditorias internas regulares do SGSI da sua organização, que o ajudarão a avaliar a sua conformidade com os requisitos da norma ISO 27001.  

Durante estas actividades, a sua equipa identificará áreas onde o SGSI pode ser melhorado, tais como nas políticas, procedimentos ou controlos. 

Uma vez que estas áreas tenham sido identificadas, a sua organização deve: 

1. Rastrear o número de melhorias que foram identificadas. 

2. Priorizar as melhorias com base no seu potencial impacto na postura de segurança da informação da organização.  

3. Tomar medidas para abordar estas melhorias, quer através de alterações às políticas, procedimentos ou controlos, quer através da implementação de novas tecnologias ou programas de formação. 

Ao monitorizar o número de melhorias identificadas e acompanhar a sua implementação, pode melhorar a eficácia do seu SGSI e minimizar o risco de incidentes de segurança.  

Este KPI também fornece informações valiosas à sua gestão sénior para avaliar a eficácia do programa de segurança da informação da sua organização e tomar decisões informadas sobre a alocação de recursos e iniciativas de melhoria de processos. 

Ao identificar e abordar regularmente as áreas de melhoria, pode manter uma forte postura de segurança da informação. Também manterá a confidencialidade, a integridade e a disponibilidade de seus ativos de informações confidenciais. 

6. Número de não-conformidades identificadas 

Para saber mais sobre o que constitui uma não-conformidade, confira nosso artigo 10 exemplos de não-conformidades da ISO 27001, tanto menores quanto maiores. 

As não-conformidades podem ser identificadas através de auditorias internas, auditorias externas ou outras revisões do ISMS. 

O controlo do número de não-conformidades identificadas pode fornecer informações valiosas sobre a eficácia da implementação do SGSI. Um número elevado de não-conformidades pode indicar que o SGSI não está a ser implementado eficazmente, que existem lacunas nas práticas de segurança da informação da sua empresa ou que existe uma falta de compreensão dos requisitos da ISO 27001. 

No entanto, é importante notar que o número de não-conformidades por si só não é necessariamente um indicador da eficácia do SGSI. É necessário considerar: 

• A repetição de não-conformidades entre auditorias; 
• A gravidade de cada não-conformidade; 
• O impacto de cada não-conformidade; 
• As acções tomadas para as corrigir; 

Um pequeno número de não-conformidades críticas pode ser mais preocupante do que um número maior de não-conformidades menores. 

Também não se deve concentrar apenas na redução do número de não-conformidades identificadas. Em vez disso, use este KPI como uma ferramenta para melhorar continuamente o seu ISMS e as práticas de segurança da informação.  

Isso significa que terá de: 

• Rever e atualizar regularmente as políticas e procedimentos;  
• Realizar avaliações de risco completas; 
• Implementar controlos de segurança eficazes; 

7. Rapidez na resolução de melhorias na sequência de análises pela direção 

O objetivo das análises da gestão é avaliar o desempenho do SGSI, identificar áreas de melhoria e assegurar que o sistema está alinhado com as metas e objectivos da sua organização. A revisão da gestão também pode fornecer informações sobre o nível de comprometimento e envolvimento da alta administração nas práticas de segurança da informação da organização. 

As revisões da gerência devem ser conduzidas pelo menos anualmente, ou com mais freqüência se exigido pela sua estratégia de gerenciamento de riscos. 

Acompanhar a rapidez com que as melhorias são realizadas após uma análise pela gestão pode ajudá-lo a garantir que a sua empresa está a cumprir os requisitos da norma ISO 27001.  

Este KPI será afetado pelos seguintes factores: 

• A qualidade das revisões de gestão. 
• A rapidez com que os resultados da revisão são registados e postos em prática.  

• As acções tomadas como resultado das conclusões das revisões. 

Para garantir que as revisões pela direção são eficazes, pode querer: 

• Estabelecer objectivos claros.  
• Estabelecer critérios claros. 
• Garantir que as partes interessadas apropriadas estejam envolvidas. 
• Atribuir cronogramas às melhorias. 
• Documentar os resultados e as acções tomadas.  

8. Como são abordadas as melhorias das avaliações de riscos de segurança da informação (ISRAs) 

Sem as avaliações de risco de segurança da informação, não há muito valor num SGSI. As avaliações de risco de segurança identificam os riscos potenciais para os seus activos de informação e estabelecem controlos adequados para mitigar esses riscos.  

Como parte dos seus objectivos para este KPI, deve: 

• Estabelecer metodologias e critérios claros de avaliação de riscos; 
• Envolver as partes interessadas apropriadas no processo de avaliação de riscos; 

• Documentar os resultados e as acções tomadas. 

Rastrear a forma como as melhorias das avaliações de risco são implementadas pode ajudá-lo: 

• Garanta que a sua empresa está a tratar rápida e eficazmente os potenciais riscos para os seus activos de informação.  
• Identificar tendências na eficácia da avaliação de riscos. 
• Identificar tendências nos riscos, tais como um aumento no número ou gravidade dos riscos identificados ao longo do tempo. 

• Identificar áreas que requerem atenção e recursos adicionais. 

9. Percentagem de iniciativas empresariais apoiadas pelo SGSI 

Um dos principais requisitos da ISO 27001 é garantir que o seu SGSI se alinhe e apoie os objectivos, iniciativas e estratégias empresariais da sua organização. A percentagem de iniciativas empresariais apoiadas pelo ISMS é um KPI que mede a eficácia deste alinhamento. 

Para medir este KPI, deve rever os seus sistemas de gestão de projectos ou consultar os gestores de projectos para: 

• Determinar o número de iniciativas ou projectos empresariais em curso; 
• Averiguar o número dessas iniciativas ou projectos que são suportados pelo SGSI; 

• Identificar todas as iniciativas, projectos e programas empresariais em curso que necessitem de apoio à segurança da informação.  

Para monitorizar a percentagem de iniciativas de negócio suportadas pelo SGSI para a ISO 27001, deve: 

• Avaliar o nível de suporte fornecido pelo SGSI para cada iniciativa de negócio.  
• Calcular a percentagem de iniciativas de negócio suportadas pelo SGSI. 

• Estabeleça um processo de relatório para monitorizar o KPI ao longo do tempo. Este processo de relatório deve incluir actualizações regulares sobre o número de iniciativas apoiadas pelo SGSI e a percentagem de iniciativas apoiadas. 
• Analisar os resultados para identificar tendências e áreas de melhoria.  
• Com base nos resultados da análise, tomar medidas corretivas para melhorar o nível de apoio fornecido pelo SGSI às iniciativas empresariais. Isto pode incluir o ajuste dos controlos de segurança da informação ou o aumento dos recursos dedicados ao SGSI. 

10. Gestão da Capacidade  

É importante equilibrar o nível de capacidade que um cliente requer com os recursos (tanto operacionais como planeados) que estão disponíveis. 

De acordo com o mITSM, “a Gestão da Capacidade de Informação contribui para uma abordagem integrada de Gestão de Serviços através da realização das seguintes actividades: 

• Identificar e definir os requisitos de capacidade interna e externa 
• Planeamento dos procedimentos de capacidade 
• Desenvolvimento do plano de capacidade 
• Criando um capítulo de capacidade no SLA e na Descrição do Serviço 
• Gerir a implementação de acções de capacidade 
• Dimensionamento de aplicações 
• Avaliação dos procedimentos de capacidade e medidas de capacidade (incluindo análise de picos de capacidade) 
• Relatórios de capacidade 
• Melhoria da capacidade 
• Manutenção de uma Base de Dados de Capacidade (CDB) 

Usando estas actividades como orientação, pode criar um KPI em torno da gestão da capacidade que é facilmente monitorizado.  

Para monitorar a gestão de capacidade como um KPI para a ISO 27001, você deve comparar o desempenho com as metas estabelecidas por: 

• Recolha regular de dados sobre a utilização de recursos.  
• Rastreamento de quaisquer desvios dos objectivos. 
• Investigar quaisquer problemas que surjam. 

ISO 27001 KPIs: a chave para um ótimo desempenho de segurança    

De acordo com um estudo de 2022 publicado pela Encore, 54% dos CISOs inquiridos afirmaram que o seu conselho de administração não disponibilizava um financiamento amplo para a segurança da informação. Ao mesmo tempo, o custo médio das violações de dados em todo o mundo aumentou para 4,35 milhões de dólares.

É claro, portanto, que com o aumento das ameaças cibernéticas é vital implementar normas de conformidade que validem os seus sistemas de segurança da informação.  

Usar KPIs da ISO 27001 para rastrear a eficácia do seu SGSI ajudará você a convencer sua diretoria de que não apenas a certificação ISO 27001 é importante, mas também é quantificável, qualificável e absolutamente vital.