Requer atenção aos detalhes e processos completos e sistemáticos. É por isso que uma lista de verificação de conformidade com a ISO 27001 é exatamente o que você precisa para simplificar o processo de certificação.
Como estar em conformidade com a ISO 27001
“As normas ISO são acordadas internacionalmente por especialistas. Pense nelas como uma fórmula que descreve a melhor forma de fazer algo.” Isto de acordo com as próprias ISO.
Para estar em conformidade com as normas ISO, é necessário seguir uma fórmula que garanta que tem todos os seus protocolos de segurança e proteção em vigor e que os seus funcionários estão cientes dos mesmos.
O processo começa com uma compreensão clara do seu Sistema de Gestão de Segurança da Informação (ISMS).
Nós fornecemos uma lista de verificação abrangente da ISO 27001 que pode ser usada para garantir que você tenha todas as suas bases cobertas, bem como uma prévia de alguns dos conteúdos de nosso Wiki (o guia que suporta nossa ferramenta on-line, Compleye Online).
Lista de verificação completa para conformidade com a ISO 27001
1. Definir a estratégia e as ambições da ISO 27001
To do #1 – Organização & Contexto
Organização e Contexto é um tópico obrigatório. Uma boa maneira de obter informações sobre o conteúdo de Organização & amp; Contexto & amp; é definir seus produtos definindo (por produto):& amp;
- Descrição de alto nível
- Tipo de clientes
- Terceiros envolvidos
Isto levá-lo-á a perguntar:
- Qual é o desafio de conformidade?
- Quais são os requisitos de segurança?
Se conseguir responder (e documentar) a estas perguntas, está em conformidade com a ISO 27001.
To do #2 – Objectivos do SGSI
Você precisará definir, implementar e revisar (pelo menos anualmente) seus objetivos do SGSI Em seu artigo Objectifs de sécurité de l'information dans la norme ISO 27001, ISO27001guide.com afirma que “os objectivos de segurança da informação na ISO 27001 permitem às organizações definir os seus requisitos desde o início e monitorizar continuamente para garantir que os estão a atingir.”
2. Determinar os requisitos legais e de conformidade
To do #1 – Partes Interessadas & Requisitos Legais
Aqui, vai mergulhar nos requisitos legais que terá de cumprir para os seus terceiros e definir as expectativas de ambos os lados. O auditor externo esperará que tenha documentado a forma como estabeleceu este processo.
Exemplos de partes interessadas (https://www.iso9001help.co.uk/)
To do #2 – Propriedade Intelectual
A propriedade intelectual (PI) é uma categoria de propriedade que inclui criações intangíveis do intelecto humano. A PI típica das empresas de tecnologia pode ser o seu código-fonte, modelos de IA, determinadas bases de dados ou um método de trabalho. Em resumo, a PI é qualquer coisa que queira manter em segredo para os seus clientes e concorrentes e que precisa de ser protegida quando a sua equipa a utiliza
To do #3 – Contratos
Certifique-se de que tem 1 pasta com todos os seus contratos para que tenha uma boa visão geral – e use pastas diferentes dentro dessa pasta para diferentes tipos de contratos (ou partes interessadas). Limite o acesso a estes contratos dentro da sua organização. O auditor externo pode pedir para ver 1 ou 2 contratos (amostras) durante a auditoria.
To do #4 – Impacto Global
A entrada em novos mercados exigirá alguma pesquisa sobre requisitos de privacidade e segurança. Os regulamentos de privacidade de dados pessoais têm de ser tidos em consideração quando se contrata ou expande para fora da área geográfica do RGPD. Requisitos adicionais para o seu ISMS podem ser regidos por:
- Clientes
- Leis
A faire #5 - GDPR
Se você é uma empresa sediada em – ou realizando negócios em – Europa, você precisa de cumprir com o RGPD. Ao se preparar para a certificação, você precisará:
- Definir com que base legal está a recolher dados.
- Dê uma visão geral de toda a documentação para os utilizadores.
- Ter um registo para acompanhar os pedidos dos utilizadores finais, por exemplo, eliminação de dados
- Criar uma visão geral de todas as violações de dados
- Tenha uma visão geral de todos os acordos de processamento de dados.
3. Definir âmbito
To do #1 – Definir componentes da infraestrutura de TI
A ISO 27001 solicita um escopo para o seu SGSI, então você precisará definir o que você vai levar no escopo. Definir os componentes da sua Infraestrutura de TI irá ajudá-lo a definir o seu escopo.
To do #2 – Definir o âmbito do ISMS
Veja o artigo do Compleye, ‘Como escrever uma declaração de escopo da ISO 27001 (+3 exemplos)’.
4. Registar todos os riscos e oportunidades
To do #1 – Visão geral dos fornecedores
Ao implementar um conjunto de controlos e processos para lidar com os riscos dos fornecedores, pode ser considerado o seguinte:
- Executar acordos contratuais com cada fornecedor.
- Manter uma lista de fornecedores actualizada e facilmente acessível.
- Formulação de um documento de Política e Procedimentos de Gestão de Fornecedores.
- Implementação de processos e controlos de gestão de alterações de fornecedores.
- Garantir que os fornecedores cumpram os requisitos contratuais de segurança da informação.
- Determinar e documentar adequadamente, se aplicável, se os fornecedores têm acesso à sua infraestrutura de TI.
- Determinar e documentar adequadamente, se aplicável, se os fornecedores podem estar envolvidos em procedimentos de segurança.
- Realização da avaliação de segurança do risco do fornecedor relevante.
To do #2 – Avaliação de Fornecedores
A avaliação de fornecedores é um tópico muito importante na ISO 27001, especialmente para empresas de tecnologia porque elas fazem uso de muitos fornecedores. Você precisará estar no controle de seus fornecedores – avalie os fornecedores de alto risco anualmente em uma série de tópicos. O proprietário do fornecedor terá de analisar o fornecedor em termos de informações básicas e contratos.
To do #3 – Avaliação do Fornecedor
Seguir os seguintes passos:
- Revisar os fornecedores existentes.
- Atribuir a cada fornecedor uma classificação de segurança.
- Responder aos riscos de segurança e definir métricas de desempenho do fornecedor.
- Monitorizar continuamente os seus fornecedores.
To do #4 – Classificação de dados
No contexto da segurança da informação, a classificação dos dados baseia-se no seu nível de confidencialidade e no impacto na organização caso esses dados sejam divulgados, alterados ou destruídos sem autorização. Considere as seguintes questões ao classificar suas informações:
- Que dados das partes interessadas é que a sua organização recolhe?
- Que dados são criados como parte das operações diárias?
- Que dados, se perdidos, teriam um impacto particular na sua organização?
- Que dados seriam classificados como confidenciais?
- Que dados podem ser classificados como dados pessoais?
- Quem é responsável pela integridade e exatidão dos dados?
- Quem pode e deve aceder aos dados.
To do #5 – Plano de Continuidade do Negócio
No Compleye, aconselhamos a realização do BCP antes da auditoria interna e da análise da gestão, uma vez que esta avaliação irá provavelmente resultar nas últimas melhorias que precisa de ter em vigor para estar pronto para a certificação. Em alternativa, realize o BCP duas vezes: primeiro, quando começar a implementar o seu SGSI e segundo, antes da sua auditoria externa.
A faire #6 - ISRA
A Avaliação de Riscos de Segurança da Informação (ISRA) é a avaliação de riscos mais importante do SGSI e deve ser realizada com a sua equipa do SGSI. Você precisará realizar uma ISRA anualmente usando o mesmo método todos os anos para que possa comparar resultados e resultados.
To do #7 – Testes DRP & PEN
Aqui está um exercício rápido para definir a sua crise/desastre DRP:
Defina o que você (para o seu negócio) considera:
- Um evento
- Um incidente
- Um desastre / crise
Quando se trata de pentesting, Breachlock diz isso melhor com este ótimo infográfico:
To do #8 – Avaliação GDPR
Os riscos e oportunidades do RGPD são abundantes. Três de cada um podem ser explorados neste artigo abrangente da Comforte: “Três riscos e oportunidades do RGPD”.
Compleye Online fornece um modelo de avaliação do GDPR com 22 perguntas.
To do #9 – Avaliação do impacto da privacidade dos dados
Uma AIPD pode ser necessária se tiver vários produtos: realize uma AIPD por produto (ou serviço). Se trabalhar com diferentes tipos de projectos (por exemplo, Prova de Conceito), também precisará de realizar uma nova AIPD por projeto. Ao realizar negócios com, por exemplo, organizações governamentais, é provável que lhe peçam para partilhar uma cópia da sua AIPD.
5. Decidir sobre políticas de segurança & procedimentos
To do #1 – Políticas de Segurança & Procedimentos
Antes de poder adicionar registos, terá de adotar Políticas & Procedimentos. Uma das políticas obrigatórias da ISO 27001 é a Política de Segurança – que descreve as intenções e ambições (objectivos) que definiu para o seu SGSI.
To do #2 – Templates
Existem inúmeras políticas e procedimentos obrigatórios que precisam de ser implementados no seu SGSI. A criação desta documentação pode ser demorada e pode não ter a certeza de que cobriu todos os itens necessários. O uso de modelos como os fornecidos por uma ferramenta on-line como o Compleye Online fornecerá a orientação necessária para atender aos requisitos para obter a certificação.
To do #3 – Listas de verificação
O seu SGSI necessita de melhoria e manutenção contínuas.
A criação de listas de verificação é uma forma simples de manter o controlo das actividades e passos quando se seguem procedimentos de melhoria e manutenção.
6. Estabelecer um sistema de medidas e controlos
To do #1 – Métricas de Segurança
As Métricas de Segurança são ‘KPIs’ definidos para verificar se o sistema de gestão da segurança da informação está a funcionar eficazmente.
Terá de:
- Definir o que é um incidente;
- Mantenha o registo dos seus incidentes;
- Tratar os incidentes com acções corretivas ;
- Mergulhe na causa raiz para definir como você vai evitá-lo no futuro.
- Mantenha o controlo dos seus níveis de serviço.
To do #2 – Gestão de Activos
Os activos de hardware que transportam informações, servidores e dados são todos activos. Para os gerir, é necessário acompanhar todos os activos e saber que activos estão a ser utilizados e se são propriedade da empresa. Também é necessário acompanhar as alterações e o movimento dos activos.
To do #3 – Controlos
O Anexo A consiste em 114 controlos. Terá de adotar, implementar e manter controlos. Existem 2 formas de definir e implementar controlos:
- Tomar a lista do Anexo A da ISO 27001 e definir todos os controlos no início;
- Definir gradualmente os controlos à medida que se trabalha para a certificação e se adoptam políticas/procedimentos ou se realizam avaliações. Verificar se todos os controlos do Anexo A estão implementados no final.
To do #4 – Gestão de Acessos
A Gestão de Acessos em geral é um tópico importante para o seu SGSI. O facto de não controlar o acesso ao software pode facilmente causar incidentes que se transformam em violações de dados.
Precisará de uma Política de Gestão de Acessos e deve estar em controlo dos diferentes tipos de acesso:
- Acesso ao local do escritório
- Acesso ao hardware
- Acesso a Software
- Acesso ao armazenamento de documentação
- Acesso aos dados em geral
7 Implementar pontos de controlo e acompanhamento operacionais
To do #1 – Reuniões de Segurança
Durante as Reuniões de Segurança com a sua equipa do SGSI, pode tomar decisões sobre todos os tópicos relacionados com o seu SGSI. Terá de atribuir um responsável pela reunião de segurança, documentar alterações, verificar controlos e avaliar melhorias.
To do #2 – Chamadas para ação para acompanhamento
As reuniões de segurança são uma parte obrigatória do SGSI operacional, onde a equipa alinha, realiza verificações periódicas, trabalha em colaboração em tarefas, planeamento, etc. Todas as tarefas de acompanhamento exigidas à equipa do SGSI são definidas com apelos à ação após a reunião de segurança
8. Cuidar das funções, responsabilidades, liderança e gestão
To do #1 – Atribuir funções do SGSI
A ISO 27001 exige que tenha uma equipa de SGSI para a criação, implementação e manutenção. Deve também ter uma visão geral de todos os membros da equipa para que a segurança e a privacidade possam ser criadas em torno de pessoas e processos.
To do #2 – Atribuir funções de segurança obrigatórias
Aconselhamos que comece por designar um mínimo de 2 membros da equipa responsáveis pelo seu SGSI.certifique-se sempre de que existe conhecimento de tecnologia e de negócios no seu SGSI
Designe também um responsável pela segurança (SO), privacidade responsável (PO) e um responsável pela conformidade (CO).
To do #3 – Segurança do escritório
Se tem um escritório, é responsável pela segurança física do seu escritório e por manter o controlo de quem terá acesso ao escritório (por chave/cartão/código).
To do #4 – Novas contratações e contratos
Se você contrata pessoas, a ISO 27001 espera que você esteja no controle do número de membros da equipe, seus títulos de trabalho e quem irá liderar/mentorizar cada pessoa.você precisará estar no controle de seus contratos de trabalho. Se você estiver na fase de expansão, é útil ter datas de expiração etc. em um só lugar.
To do #5 – Formação
Você precisará de:
- Demonstrar como apoia o desenvolvimento de competências dos membros da sua equipa (SGSI).
- Organizar formação anual de sensibilização para a segurança.
- Comprovar o que estava na agenda e quem participou na formação.
- Realizar a avaliação da formação.
To do #6 – RH & Organização
Os requisitos específicos de RH/Organização da ISO incluem:
Capítulo 5: Responsabilidades da Gestão de Topo
- Demonstrar liderança e compromisso
- Estabelecer a Política de Segurança
- Estabelecer e comunicar responsabilidades e autoridades para as funções do SGSI
Capítulo 7: Recursos- Determinar e providenciar os recursos necessários para a implementação, manutenção & melhoria contínua do SGSI.
- Foco nas Competências necessárias para o desempenho da função
- Todos os membros da equipa do SGSI devem reconhecer as suas responsabilidades, bem como a sua contribuição para um SGSI eficaz
- Determinar o quê, quando e como comunicar as prioridades do SGSI, tanto interna como externamente
- Determinar e manter o que precisa de ser documentado (em conformidade com esta norma).
9. Preparar a certificação ISO 27001 efectiva
To do #1 – Audiência Internat
O objetivo da auditoria interna é certificar-se de que o seu SGSI está em conformidade com os requisitos da sua organização (política de segurança da informação, procedimentos, objectivos de segurança, etc.), bem como com os requisitos da ISO 27001, e avaliar se o SGSI é efetivamente implementado e mantido. Consulte o nosso artigo ‘It’s Internal Audit Time’ para saber mais.
À faire #2 - Revue de direction
Uma revisão da gestão é efectuada anualmente e terá de designar uma pessoa responsável pela revisão. O processo, embora complexo, pode ser destilado em três etapas:
- Está planeada uma reunião entre oMT/CEO para discutir todos os tópicos e sugestões de melhoria.
- MT/CEO define e aceita as melhorias finais.
- MT/CEO finaliza e aprova o relatório de análise da gestão a ser apresentado como evidência durante a auditoria externa.
To do #3 – Documentação
Para além das políticas, procedimentos e registos obrigatórios, existem 4 Documentos Obrigatórios que precisam de estar disponíveis e prontos para a certificação da auditoria externa:
- Revisão pela Direção
- Relatório de Auditoria Interna
- Escopo do SGSI
- Declaração de Aplicabilidade
To do #4 – Declaração de Aplicabilidade
A SoA é um resumo do estado de implementação da sua organização em cada um dos 114 controlos do Anexo A da ISO 27001 e deve definir quais os controlos identificados pela sua organização para lidar com os riscos envolvidos no negócio. Isto pode ser feito através da realização de uma análise de lacunas e avaliação de riscos da ISO 27001.
10. Organizar auditoria de certificação ISO 27001 em tempo real
To do #1 – Auditor Líder Acreditado
Uma vez que esteja pronto para a auditoria, designe um auditor líder acreditado. Os auditores de chumbo passaram por um treinamento extensivo, então você está em boas mãos.
To do #2 – Planear a manutenção da certificação
Após uma organização obter a certificação ISO 27001, é importante manter o Sistema de Gestão de Segurança da Informação (SGSI) de forma contínua para garantir que ele permaneça eficaz, relevante e alinhado com os objetivos da organização. É aqui que entra o pacote de manutenção completa da ISO 27001.
Está pronto para começar a assinalar a sua lista de verificação completa para a conformidade com a ISO 27001 (2023)
Saiba mais sobre como a Compleye pode ajudá-lo com sua conformidade com a ISO 27001.
Converse com um de nossos super vendedores e comece a marcar sua lista de verificação completa para conformidade com a ISO 27001.
