ISO 27001 e o ISMS

ISO/IEC 27001 é a norma internacional para a gestão da segurança da informação. Diferentemente de uma estrutura flexível, ela é uma especificação formal para a qual é possível obter certificação por meio de um organismo acreditado.

Seu conceito central é o ISMS, o Sistema de Gestão da Segurança da Informação. A ISO 27001 é menos uma lista de controles técnicos e mais um sistema para governar a segurança como um processo contínuo e gerenciado.

Um ISMS é o conjunto de políticas, processos, funções e controles que uma organização utiliza para gerenciar sistematicamente os riscos de segurança da informação.

É um sistema de gestão, como um sistema de gestão da qualidade ou ambiental. O objetivo não é apenas ser aprovado em uma auditoria, mas manter um mecanismo ativo que:

• Avalia os riscos continuamente.
• Aplica e mantém os controles.
• Mede a eficácia.
• Melhora ao longo do tempo.

O ISMS funciona com base no ciclo de melhoria contínua PDCA:

• Planejar — definir o escopo, a política, a avaliação de riscos e o tratamento do ISMS.
• Fazer — implementar os controles e processos escolhidos.
• Verificar — monitorar, auditar e medir o desempenho.
• Agir — corrigir não conformidades e melhorar.

Esse ciclo explica por que a certificação não é um evento único; os auditores esperam evidências de que ele realmente está funcionando.

A ISO 27001 é fundamentalmente orientada por riscos. Você identifica os riscos à confidencialidade, à integridade e à disponibilidade e, em seguida, decide como tratar cada um deles.

As quatro opções padrão de tratamento de riscos são:

Um artefato característico da ISO 27001 é a Declaração de Aplicabilidade (DA). Ela lista todos os controles do conjunto de referência da norma e registra:

• Se o controle é aplicável.
• Se foi implementado.
• A justificativa para sua inclusão ou exclusão.

A DA relaciona sua avaliação de riscos aos seus controles e é um dos primeiros documentos examinados por um auditor. É permitido excluir um controle, mas é necessário justificar o motivo.

A ISO 27001 faz referência a um catálogo de controles no Anexo A, detalhado no guia complementar ISO 27002. A revisão de 2022 os reorganizou em quatro temas:

• Controles Organizacionais (políticas, gestão de fornecedores).
• Controles de Pessoas (triagem, conscientização).
• Controles Físicos (áreas seguras, equipamentos).
• Controles Tecnológicos (acesso, criptografia, registro de eventos).

Você seleciona quais se aplicam com base na sua avaliação de riscos e registra essa escolha na DA.

No início da criação de um ISMS, você define seu escopo: quais partes da organização, dos sistemas e das informações o ISMS abrange.

O escopo é extremamente importante. Um escopo restrito (uma linha de produtos) é mais rápido de certificar, mas limitado; um escopo amplo (a empresa inteira) é mais confiável, mas exige mais trabalho. O certificado informa o escopo, e os clientes o analisam cuidadosamente; portanto, defina-o honestamente de acordo com o que consegue manter.

A ISO 27001 exige o comprometimento da alta administração. A liderança deve definir a política de segurança, atribuir funções, fornecer recursos e analisar o ISMS.

A norma também exige muita documentação por definição: políticas, avaliação de riscos, a DA, procedimentos e registros de monitoramento. Os auditores seguem o princípio de que se não está documentado, não aconteceu. A evidência é a moeda da certificação.

Além dos controles do Anexo A, para obter certificação é necessário atender às cláusulas obrigatórias de 4 a 10, que descrevem o próprio sistema de gestão:

• 4 Contexto, 5 Liderança, 6 Planejamento, 7 Suporte.
• 8 Operação, 9 Avaliação de desempenho, 10 Melhoria.

Essas cláusulas não são opcionais. É possível adaptar os controles do Anexo A, mas todas as cláusulas do sistema de gestão devem ser atendidas para obter a certificação.

As duas são complementares, não concorrentes:

• ISO 27001 permite certificação, é reconhecida internacionalmente e enfatiza o sistema de gestão e a governança.
• NIST CSF é voluntário e flexível e enfatiza resultados práticos de riscos em todas as funções.

Muitas organizações usam o CSF para estruturar a capacidade operacional e a ISO 27001 para formalizar e certificar o programa. Seus conjuntos de controles têm ampla correspondência entre si.

O ISMS contém duas verificações recorrentes que mantêm íntegro o ciclo PDCA:

• Auditoria interna — análise periódica e independente do ISMS em relação à ISO 27001 e às suas próprias políticas, para encontrar não conformidades antes que o organismo de certificação as encontre.
• Análise crítica pela direção — a liderança analisa formalmente o desempenho do ISMS, os resultados das auditorias, os incidentes e as mudanças nos riscos e, em seguida, decide sobre melhorias e recursos.

Ambas são obrigatórias. São os mecanismos que comprovam que o sistema de gestão está ativo, e não é apenas um arquivo estático.

Teste sua compreensão de um artefato central da ISO 27001.

A ISO 27001 e o ISMS:

• A ISO 27001 é uma norma internacional passível de certificação, centrada no ISMS, um sistema gerenciado para lidar com riscos de segurança da informação.
• O ISMS funciona com base no ciclo PDCA (Planejar, Fazer, Verificar, Agir) para promover a melhoria contínua.
• É orientado por riscos: avalie os riscos e, em seguida, mitigue, transfira, evite ou aceite cada um deles.
• A Declaração de Aplicabilidade relaciona os riscos aos controles do Anexo A (organizacionais, de pessoas, físicos e tecnológicos), com as respectivas justificativas.
• As cláusulas obrigatórias de 4 a 10 regem o sistema de gestão; o comprometimento da liderança e a documentação são necessários. A ISO 27001 complementa o NIST CSF.