O que é a ISO/IEC 27001 e quando ela faz sentido para a sua empresa

A ISO/IEC 27001 é a norma internacional para sistemas de gestão de segurança da informação (SGSI). Em vez de uma lista de produtos para comprar, ela define como a empresa decide, mede e melhora a proteção das suas informações.

O que a norma pede

• Escopo: quais áreas, sistemas e locais entram no sistema de gestão.
• Análise de riscos: o que pode dar errado, com que probabilidade e qual o impacto.
• Tratamento dos riscos: escolher controles para reduzir o que não é aceitável.
• Declaração de Aplicabilidade: documento que diz quais controles foram adotados e por quê.
• Melhoria contínua: auditorias internas, análise pela direção e correções.

Os 93 controles do Anexo A

Na versão de 2022, os controles estão divididos em quatro temas:

• organizacionais (37): políticas, fornecedores, gestão de incidentes;
• de pessoas (8): treinamento, termos de confidencialidade, desligamento;
• físicos (14): acesso às instalações, equipamentos, descarte;
• tecnológicos (34): acessos, backup, registros, proteção contra malware.

Nem todos se aplicam a todas as empresas. O que não se aplica é justificado na Declaração de Aplicabilidade.

Como funciona a certificação

Um organismo certificador acreditado faz a auditoria em duas fases: primeiro a documentação, depois a prática. O certificado vale por 3 anos, com auditorias de manutenção anuais.

Quando vale certificar

• clientes grandes ou contratos públicos exigem;
• a empresa trata dados sensíveis de terceiros, como saúde ou finanças;
• você quer mostrar maturidade em segurança de um jeito reconhecido.

E se não for certificar?

Os controles da norma continuam sendo um bom roteiro. Comece pelo básico: inventário de ativos, controle de acessos, backup testado e um plano de resposta a incidentes. A ISO/IEC 27701, norma de gestão da privacidade, ainda ajuda na adequação à LGPD.

Saiba como apoiamos a implantação da ISO/IEC 27001.