A auditoria de transição da ISO 27001:2022. A frase causa medo no coração de muitas startups de tecnologia que já foram diligentes o suficiente para obter sua certificação ISO 27001:2013.
Mas, não tenha medo. Se já está certificado com a ISO 27001:2013, essa certificação ainda é válida até ao final do seu ciclo de certificação, se esse ciclo terminar antes de 1 de novembro de 2025. Mais sobre isso mais tarde.
Por que a atualização da ISO 27001:2013 para a ISO 27001:2022?
Com a segurança da informação a ser a prioridade que é, naturalmente, as normas de segurança devem ser revistas e melhoradas regularmente. Portanto, não é preciso dizer que novas e melhores versões da ISO 27001 terão que ser implementadas no futuro.
Já se passaram quase 10 anos desde que a versão de 2013 foi lançada e, quando todos tiverem feito a transição para a versão de 2022, serão 12 anos, então certamente é hora de uma certificação revisada.
O que mudou da ISO 27001:2013 para a ISO 27001:2022?
Vamos primeiro dar uma olhada na diferença entre a ISO 27001:2013 e a ISO 27001:2022. Você pode ler um breve resumo na postagem do LinkedIn da Compleye de 21 de março.
As alterações são mais evidentes no Anexo A e abordam aspectos de cibersegurança e privacidade. Existem 11 novos controlos, 58 controlos actualizados e 24 controlos fundidos.
Os novos controlos de segurança incluem:
- Inteligência sobre Ameaças
- Segurança da informação para utilização de serviços em nuvem
- Preparação das TIC para a continuidade das actividades
- Monitorização da segurança física
- Gestão de configuração
- Apagamento de informações
- Mascaramento de dados
- Prevenção de vazamento de dados
- Actividades de monitorização
- Filtragem da Web
- Codificação segura
Qual é o cronograma para a transição para a ISO 27001:2022?
Como mencionado, sua certificação ISO 27001:2013 é válida até o final de seu ciclo atual, desde que esse ciclo termine antes de 31 de outubro de 2025, que é o prazo final para a implementação da ISO 27001:2022.
Portanto, se você está atualmente certificado usando a versão 2013, sua certificação ainda é válida, mas somente até 31 de outubro de 2025.
O que é a auditoria de transição da ISO 27001:2022?
A auditoria de transição é a inspeção que o auditor irá realizar para auditar os novos requisitos da ISO 27001:2022. O auditor verificará como a sua organização implementou os novos controlos.
Quando pode ser efectuada a auditoria de transição?
Pode efetuar a auditoria de transição durante qualquer auditoria programada. Isso significa que será adicionado tempo adicional à auditoria existente.
Mas também é possível realizar uma auditoria especial de transição separadamente, para que não seja necessário esperar até à próxima auditoria agendada e não seja necessário estar pronto mais cedo do que deseja ou tem capacidade para estar.
Se a minha organização nunca foi certificada, devo certificar com a ISO 27001:2013 ou com a ISO 27001:2022?
Embora possa, em teoria, obter a certificação com a ISO 27001:2013 se planear obter a certificação antes de outubro de 2023, recomendamos que as empresas que não têm certificação existente devem – se possível – morder a bala e ir diretamente para a ISO 27001:2022.
Se decidir optar pela ISO 27001:2013, o auditor irá esperar que faça uma análise de lacunas para mostrar que compreende o que terá de fazer para a ISO 27001:2022 e que recursos adicionais serão necessários. Isto também se aplica a empresas já certificadas e que optem por renovar a certificação com a versão 2013 da ISO 27001.
Isto é importante porque, se você tentar a ISO 27001:2022 e não estiver preparado para ela, é provável que você se depare com muitas não-conformidades. Pode ser melhor implementar a ISO 27001:2013 e completar uma análise de lacunas, mostrando que você entende o que é requerido e que você será capaz de implementar a ISO 27001:2022 antes de 31 de outubro de 2025.
Qual é o último dia em que posso fazer a auditoria de transição?
Todas as auditorias de transição devem ser efectuadas até 21 de julho de 2025.
É claro que não precisará de uma auditoria de transição se for diretamente para a ISO 27001:2022.
Contacte a Compleye para obter mais conselhos sobre a melhor escolha a fazer no período que antecede a transição!
