Como implementar a ISO 27001? Confira 4 passos

A norma ISO 27001 descreve uma série de padrões, requisitos e processos que devem ser aplicados à área da segurança da informação, com o objetivo de garantir uma gestão mais

eficaz desse segmento. Desenvolvida pela Organization for Standardization (ISO), em parceria com a International Electrotechnical Commission (IEC), a norma é também a referência padrão mundial e uma das certificações mais visadas por empresas que desejam construir uma imagem de responsabilidade e confiabilidade para o mercado e seus consumidores. 

Em um cenário no qual a sociedade se torna cada vez mais conectada, digital e acelerada, garantir processos estruturados de tratamento de dados e ativos de informação é uma condição imprescindível para a manutenção e escalabilidade dos negócios.

Neste artigo, vamos abordar os principais pontos do recente webinar da ESR “Passos para implementação da ISO 27001”, com destaque para as dicas e curiosidades desse assunto. Boa leitura!

O que é a ISO 27001?

Como já comentamos anteriormente, a ISO 27001 é a principal norma de segurança da informação, sendo um padrão internacional que garante o sucesso das organizações nesse campo. Trata-se de uma certificação que reúne requisitos, boas práticas, processos e normas que, quando seguidos, asseguram uma gestão de segurança da informação eficaz e transparente. Ou seja, é um conhecimento essencial para quem trabalha com segurança da informação e para quem deseja implementar um sistema robusto de gestão em segurança da informação nas empresas e organizações.

Para compreender como fazer isso, é necessário, primeiro, entender os seus pilares. É o que vamos fazer agora.

O que é um Sistema de Gestão?

De acordo com o especialista em segurança da informação  Frederico Augusto Coelho, o sistema de gestão nada mais é do que um conjunto integrado de políticas, objetivos, práticas, procedimentos e processos utilizados para dirigir e controlar um negócio em direção aos seus objetivos.

Dentro desse universo, as normas ISO estabelecem referências para a criação de um corpo organizacional coeso, de qualidade e em dia com as principais legislações e regulamentações de cada área. Assim, para cada campo de uma empresa, haverá uma norma ISO com requisitos e boas práticas que podem ser seguidos para certificar a expertise da organização nesse sentido. Por exemplo, a ISO 9001 é uma referência para a criação de um sistema de gestão da qualidade, enquanto a ISO 14001 envolve questões ligadas ao meio ambiente. Ou seja, a ISO compila um sistema de gestão responsável por orientar as organizações na criação de programas de governança, sobretudo em segurança da informação, mas também em diversas áreas, compreendendo que, para o sucesso do negócio, é interessante uma interconexão entre os setores.

Portanto, o sistema de gestão será definido como um conjunto de regras, normas, políticas, objetivos, documentos e ações que permitem que as empresas alcancem os projetos da organização, sejam eles atender os objetivos de qualidade, privacidade ou segurança da informação. 

Conheça algumas normas ISO:

• ISO 9001 – Qualidade
• ISO 14001 – Meio Ambiente
• ISO 45001 – Segurança e Saúde do Trabalho
• ISO 20.000 – Serviços de TI
• ISO 22000 – Segurança Alimentar
• ISO 27.001 – Segurança da Informação
• ISO 42001 – Inteligência Artificial
• ISO 22301 – Continuidade de Negócios

Nesse contexto, a estrutura da gestão das normas ISO é formulada com base em um Sistema de Gestão Integrado (SGI), que permite que uma organização consiga aplicar mais de uma norma por vez. Isso ocorre porque o SGI é uma abordagem que integra os processos e os dados de uma organização em um único sistema, de modo a proporcionar uma gestão mais estratégica e objetiva. Assim, há harmonização e integração facilitadas entre elas, inclusive, otimizando a implementação das respectivas certificações.

O que é Sistema de gestão de Segurança da Informação (SGSI)? 

Outro conceito importante para o processo de implementação da ISO 27001 é o SGSI. Sabe do que se trata?

O Sistema de Gestão de Segurança da Informação refere-se à criação de um conjunto de políticas, procedimentos, diretrizes, recursos e atividades associadas que são gerenciados por meio de um processo de gestão de riscos, a fim de proteger os ativos de informação de uma organização.

Para a ISO 27001, os ativos de informação estão além dos hardwares e softwares, pois envolvem os processos de negócio da organização, a tecnologia, as pessoas, a estrutura física, os documentos em papel, o que se fala fora da empresa/organização etc. Esses ativos devem ser mapeados e protegidos para preservar a confidencialidade, a integridade e a disponibilidade. Assim, o SGSI representa uma abordagem sistemática para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar a segurança da informação de uma organização para que ela alcance os objetivos do negócio.

Para implementá-lo, é necessário pensar no ciclo Plan (Planejar), Do (Fazer), Check (Verificar), Act (Agir) (PDCA), ou seja, planejamento, execução, checagem e correção/melhoria contínua. Quanto mais voltas uma empresa dá nesse ciclo, mais maduro fica o sistema de gestão de segurança da informação.

Agora que já compreendemos esses conceitos-base, passaremos para as dicas de implementação da ISO 27001.

Como implementar a ISO 27001?

Existem diversas formas de iniciar um projeto de implementação da ISO 27001 nas empresas e organizações, entretanto, alguns passos são fundamentais para qualquer uma delas. Reunimos os principais a seguir.

1) Tenha conhecimento da família ISO 27000

Para implementar a ISO 27001, você pode ter o apoio de várias outras normas da família dessa certificação, como é o caso:

• Da própria ISO/IEC 27001, que especifica os requisitos para estabelecer e manter um SGSI certificável;
• Da ISO/IEC 27002, que oferece diretrizes para a implementação de controles de segurança da informação
• Da ISO/IEC 27003, que fornece orientações para a implementação dos requisitos do SGSI, entre outras;
• Da ISO/IEC 27005, que estabelece um processo de Gestão de Riscos de Segurança da Informação.

Busque conhecê-las para compreender como cada uma pode servir de apoio e informações extra no processo da segurança da informação em si.

2) Conheça a estrutura da ISO 27001

A ISO 27001 define os requisitos para o planejamento, a operação, a implementação, o monitoramento, a revisão, a manutenção e a melhoria de um SGSI. Para que ela seja implementada com sucesso, exige das empresas uma atuação no formato “deve” (não opcional) de ações. Por exemplo: a organização deve manter o compromisso com o SGSI, deve considerar um processo de avaliação de riscos etc. Pode ser aplicada por qualquer organização, independentemente de porte ou setor.

Além disso, há duas formas de realizar a norma:

• Empresas que buscam criar um Sistema de Gestão de Segurança da Informação, implementando, principalmente, os controles da ISO, sem ter como objetivo final a certificação, apenas a aplicação das práticas previstas na norma;
• Entidades que desejam a organização e buscam também a certificação ISO, portanto, validam, por meio de uma auditoria independente, a sua implementação, operação e melhoria contínua. Nesse último caso, é obrigatório aplicar todos os requisitos da norma e, ao ser certificada, a empresa consegue demonstrar para o mercado o seu potencial de gestão da segurança da informação, bem como construir um diferencial competitivo.

Na prática, a norma é dividida em duas seções principais, a primeira relacionada com os requisitos e, a segunda, associada aos controles do Anexo A.

Requisitos (Seções 4 a 10):

Esta parte da norma foca os requisitos obrigatórios para se implementar um Sistema de Gestão de Segurança da Informação (SGSI). São exigências que a organização deve seguir para obter a certificação. Isso inclui:

• Contexto da Organização (Seção 4) – definir o escopo do SGSI, considerando fatores internos e externos que podem afetar a segurança da informação;
• Liderança (Seção 5) – comprometimento da alta direção, de políticas de segurança da informação e atribuição de responsabilidades;
• Planejamento (Seção 6) – identificação e tratamento de riscos, definição de objetivos de segurança e planejamento para alcançá-los;
• Suporte (Seção 7) – disponibilidade de recursos, treinamento e conscientização, comunicação interna e controle de documentos;
• Operação (Seção 8) – implementação dos planos de segurança, com o gerenciamento de riscos e mudanças;
• Avaliação de Desempenho (Seção 9) – monitoramento, auditorias internas e análises críticas do SGSI;
• Melhoria (Seção 10) – implementação de ações corretivas para melhorar continuamente o SGSI.

Controles (Anexo A):

O Anexo A apresenta uma lista de 93 controles de segurança agrupados em quatro categorias. Esses controles são recomendações que ajudam a mitigar os riscos identificados. Eles abrangem áreas como:

• Controle organizacional;
• Controle de pessoas;
• Controle físico e do ambiente;
• Controle tecnológico.

A organização pode utilizar esses controles de acordo com suas necessidades específicas, mas é essencial que todos aqueles aplicáveis sejam devidamente documentados e justificados, especialmente durante uma auditoria para certificação.

Com essa estrutura em duas partes, a ISO 27001 permite que as organizações não só estabeleçam um sistema de segurança robusto, mas também ajustem e personalizem os controles para atender às necessidades específicas do negócio.

3) Invista em especialização 

O especialista em segurança da informação, que é também habilitado para gerir processos de implementação da norma ISO 27001, possui uma larga vantagem em relação a outros profissionais. Por isso, se você deseja criar uma marca e abrir espaço no mercado, alcançando vagas e melhores salários, é essencial investir nas especializações certas. Afinal, conhecimento é fundamental para implementar a ISO 27001 com sucesso.

Uma excelente opção nesse contexto é o curso EXIN ISFS – Information Security Foundation da ESR e EXIN, que prepara profissionais para a certificação EXIN Information Security Foundation (baseada na ISO/IEC 27001). Esse curso abrange:

• Fundamentos da informação e segurança;
• Identificação de ameaças e riscos;
• Gerenciamento de incidentes de segurança;
• Medidas de segurança físicas, técnicas e organizacionais;
• Legislação e regulamentação aplicáveis.

Ao finalizar o curso, você estará pronto para aplicar os conceitos e as práticas da ISO 27001 em sua organização, contribuindo para a conformidade e eficiência operacional.

Já o curso Lead Implementer ISO 27001 (parceria PECB), também da Escola Superior de Redes (ESR), referência em ensino de TI, constrói, junto com o aluno, uma jornada de liderança, com certificação ISO/IEC 27001 em Segurança da Informação.

O curso é fruto da parceria da ESR/RNP com o PECB, instituição certificadora renomada mundialmente, com o objetivo de desenvolver os conhecimentos necessários para apoiar a implementação de um Sistema de Gestão da Segurança da Informação (SGSI) em organizações.

Para isso, o curso foca na preparação da certificação de Lead Implementer ISO/IEC 27001 e nas melhores práticas adotadas internacionalmente em segurança da informação, perpassando pela estruturação, controle e análise de riscos, além de políticas e auditorias a serem implementadas nas organizações.

Trata-se de um curso completo com abordagem teórica e prática, no qual são disponibilizados:

• Material oficial da PECB;
• Questionários;
• Simulados;
• Templates e
• Estudos de casos.

No final do curso, o participante ainda tem acesso ao exame para a certificação Lead Implementer ISO/IEC 27001 da PECB. O certificado é emitido para os participantes que passam no exame e cumprem todos os requisitos do PECB relacionados com a certificação. Ou seja, você aprende a implementar o Sistema de Gestão de Segurança da Informação (SGSI) na prática!

4) Assista ao webinar da ESR na Íntegra

Para obter uma visão completa e aprofundada da implementação da ISO 27001, recomendamos assistir ao webinar da ESR “Passos para Implementação da ISO 27001”, cujo conteúdo aborda, de forma prática, todos os conceitos, passos e desafios desse processo, com explicações detalhadas para que você possa aplicar os ensinamentos a sua empresa.

Conclusão

Nos seus 18 anos de atuação, a ESR já atendeu 1.100 instituições e capacitou mais de 43 mil alunos em diversas áreas da tecnologia e segurança da informação. Com mais de 170 cursos, oferecemos treinamentos customizados, consultorias educacionais e especializações nas seguintes áreas:

• Administração e Projeto de Redes;
• Administração de Sistemas;
• Blockchain;
• Computação em Nuvem;
• Governança de TI;
• Segurança da Informação;
• Desenvolvimento de Sistemas;
• Métodos Ágeis e Inovações.

Para saber mais sobre como a ESR pode ajudar a sua organização ou a sua carreira a atingir níveis avançados de gestão e segurança, visite o nosso site e explore as nossas soluções educacionais.