Blog

O desafio de manter a ISO 27001

Written by Elaine Pinto | 11/out/2016 19:30:00

Certificar uma organização (escopo) em uma norma internacional requer dedicada preparação e análise inicial do ambiente. Inclusive, pode-se realizar um Gap Analysis para entender o quanto este objetivo está distante. A partir daí, estabelecer um plano de ação para a certificação que provavelmente envolverá várias áreas e colaboradores da organização. Então, o responsável pelo projeto terá a missão de gerenciar o trabalho a ser realizado.

A equipe do projeto é mobilizada e as atividades começam a ser realizadas... A organização define o prazo para a sua conclusão e também contrata a entidade que fará a auditoria de terceira parte (auditoria para a certificação). Projeto concluído, auditoria realizada e certificação obtida! E agora?

Penso que é legítimo ter o sentimento de dever cumprido e dedicar um tempo para refletir, repensar algumas rotinas e também diminuir o ritmo, uma vez que processos de auditoria costumam trazer esforços adicionais. No entanto, a certificação reforça compromissos com processos, prazos, entregas e também com a melhoria contínua do Sistema de Gestão da Segurança da Informação implementado.

De fato, a organização precisa definir papéis e responsabilidades para a certificação e sua manutenção. Que ao meu ver, pode demandar mais esforço, visto que o objetivo inicial foi atingido e este assunto pode ter saído do foco e da escala de prioridades.

Cada organização vai definir a sua estratégia de manutenção, mas cito aqui alguns pontos de atenção que julgo importantes (sem a intenção de esgotar as necessidades/possibilidades). Portanto, verifique:

  • Se houve alguma mudança na estratégia da organização que requeira uma revisão no Sistema de Gestão de Segurança da Informação implementado;
  • As mudanças ocorridas na organização e os impactos nos processos de Avaliação e Tratamento dos Riscos de Segurança da Informação;
  • A necessidade de revisar a Declaração de Aplicabilidade;
  • Se todos os requisitos/controles que requerem a implementação em intervalos regulares foram atendidos, entre eles, auditoria interna e análise crítica pela direção;
  • O tratamento das não conformidades detectadas em auditorias internas e externas anteriores;
  • Se o prazo para a revisão de Políticas, Normas e Procedimentos foi atendido (particular de cada organização). Lembre-se de contemplar as mudanças da organização e considerar o conceito adotado para “Informação Documentada”;
  • Se houve “perda” ou mudança de colaboradores relevantes no sistema, entre eles, auditores internos e gestores de áreas críticas;
  • Se a organização avaliou o desempenho da segurança da informação e a eficácia do Sistema de Gestão da Segurança da Informação. Geralmente por meio de indicadores (particular de cada organização).

Considero estes itens relevantes porque suportam a implementação e a manutenção do sistema. Além disso, é natural que o nível de exigência passe a ser mais alto na medida em que a organização vai ganhando maturidade em Segurança da Informação. Sendo assim, manter uma certificação também é um desafio. Não podemos perder o foco e a noção de que a certificação é só o começo.

Fonte:
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 27001: Tecnologia da informação – Técnicas de segurança – Sistemas de gestão da segurança da informação – Requisitos. Rio de Janeiro, 2013.