Quase todas as empresas têm uma política de segurança da informação. Os problemas começam quando é preciso demonstrar que alguém a leu de facto, que é revista com regularidade e que aquilo que o documento diz corresponde ao que está efetivamente configurado nos computadores dos colaboradores. É o primeiro documento que um auditor pede, e é também o que mais se copia e pior se adapta.
Neste artigo vemos o que é exatamente uma política de segurança da informação, que normas a exigem, que secções deve incluir, como se elabora passo a passo e quais são os erros mais frequentes na sua redação.
O que é uma política de segurança da informação?
A política de segurança da informação é o documento aprovado pela direção no qual uma organização declara o seu compromisso com a proteção da informação e fixa os princípios que vão reger essa proteção. Define o âmbito, atribui responsabilidades e estabelece o quadro dentro do qual são tomadas depois as decisões técnicas e organizativas. Aparece também referida como política de segurança informática, embora a formulação usada pela ISO 27001 seja a primeira.
É um documento de alto nível. Não explica como se configura uma firewall nem de quantos em quantos dias expira uma palavra-passe. Fixa o quê e o porquê, e deixa o como para as normas e os procedimentos que dela decorrem. É por isso que uma política bem escrita raramente passa das quatro ou cinco páginas.
Cobre toda a informação da organização, independentemente do suporte. Os dados dos sistemas internos, a documentação em papel, a informação partilhada com fornecedores e a que circula em conversas ou em suportes amovíveis entram todas no mesmo perímetro.
Política de segurança da informação e políticas de segurança, são a mesma coisa?
É a confusão mais comum e vale a pena esclarecê-la já. No singular falamos do documento-quadro, aquele que a direção assina e do qual dependem todos os outros. No plural falamos das políticas temáticas, as que desenvolvem cada área concreta e as que os colaboradores aplicam realmente no dia a dia.
A hierarquia documental tem normalmente três níveis.
- Política geral: documento-quadro aprovado pela direção, curto e estável ao longo do tempo.
- Políticas temáticas: controlo de acessos, utilização de equipamentos, teletrabalho, cópias de segurança, classificação da informação, gestão de incidentes ou desenvolvimento seguro, entre outras.
- Procedimentos e registos: o detalhe operacional de cada política e a prova de que foi aplicada.
Para que serve uma política de segurança da informação?
A sua função principal é dar uma direção. Quando surge uma situação que ninguém tinha previsto, a política é o critério a que se recorre para decidir. Sem ela, cada área resolve como pode e as decisões de segurança acabam por depender de quem estiver disponível nesse dia.
Cumpre além disso quatro funções concretas.
- Torna visível o compromisso da direção: a segurança deixa de ser um assunto do departamento de IT e passa a ser sustentada pelo topo da organização.
- Distribui responsabilidades: cada função sabe o que lhe compete e a quem deve reportar.
- Torna a exigência oponível internamente: sem uma norma comunicada e aceite, é difícil exigir o seu cumprimento a um colaborador.
- Sustenta todo o resto do sistema: as políticas temáticas, os procedimentos e os controlos técnicos apoiam-se nela e é nela que se justificam.
A isto junta-se uma utilização cada vez mais frequente fora da organização. Os grandes clientes e a administração pública pedem a política de segurança nos processos de qualificação de fornecedores, e muitas seguradoras exigem-na antes de emitir uma apólice de ciberseguro.
Que impacto tem a política de segurança da informação na certificação ISO 27001?
A ISO 27001 é a norma internacional que certifica os sistemas de gestão de segurança da informação, e a política condiciona essa certificação desde o primeiro momento. A sua ausência é eliminatória, porque o requisito 5.2 faz parte do corpo da norma e não admite exclusão na Declaração de Aplicabilidade. Sem política aprovada pela gestão de topo não há certificação possível.
A sua qualidade dá o tom ao resto da auditoria. O controlo A.5.1 exige que a política seja aprovada, publicada, comunicada, reconhecida pelo pessoal abrangido e revista em intervalos planeados. Como as políticas temáticas e os procedimentos se apoiam nela, uma fragilidade a este nível arrasta não conformidades em cadeia. O seu âmbito delimita também o do certificado, porque aquilo que fica fora do documento fica fora do sistema.
A ISO 27001 não é a única a exigi-la. A diretiva NIS2 abre a sua lista de medidas mínimas precisamente com as políticas de segurança dos sistemas de informação, o Quadro Nacional de Referência para a Cibersegurança do CNCS coloca-a entre as primeiras medidas a implementar e o RGPD obriga a documentar as medidas organizativas aplicadas aos tratamentos de dados.
O que deve incluir uma política de segurança da informação?
Não existe um índice obrigatório. Há, no entanto, um conjunto de secções que aparece em quase todas as políticas que passam uma auditoria.
1. Objetivo e âmbito
O objetivo explica a razão de ser do documento e deve estar alinhado com os objetivos do negócio. O âmbito é a parte mais descurada e a que mais problemas dá depois. Tem de delimitar com precisão que processos, instalações, sistemas, ativos e pessoas ficam abrangidos.
Um âmbito mal definido produz dois efeitos. Demasiado amplo, a empresa compromete-se a proteger aquilo que não consegue controlar. Demasiado estreito, a certificação perde valor junto de clientes que esperavam ver toda a operação coberta.
2. Princípios e compromisso da direção
Aqui ficam registados os princípios que orientam a segurança na organização. Os mais comuns são a gestão baseada no risco, a segurança por defeito, o privilégio mínimo, a defesa em profundidade e a melhoria contínua.
O compromisso da direção deve ser explícito e verificável. Inclui a atribuição de recursos, a aprovação formal do documento e a participação na revisão periódica do sistema. Uma declaração de intenções genérica, sem orçamento associado nem assinatura identificável, acrescenta pouco.
3. Funções e responsabilidades
A política define quem faz o quê. No mínimo aparecem o responsável pela segurança da informação, o comité de segurança quando existe, os proprietários de cada ativo ou processo e as obrigações gerais de todos os colaboradores.
Cada função deve ter tarefas concretas. Vale a pena esclarecer também as interações com a proteção de dados, com o encarregado da proteção de dados quando existe e com os responsáveis de recursos humanos, porque as admissões e as saídas desencadeiam tarefas de segurança que muitas vezes ficam sem dono.
4. Políticas temáticas de referência
A política geral enumera as políticas específicas que a desenvolvem e indica onde consultá-las. As mais frequentes são controlo de acessos, utilização aceitável dos recursos, dispositivos móveis e BYOD, teletrabalho, classificação e tratamento da informação, cópias de segurança, criptografia, gestão de incidentes, relação com fornecedores e desenvolvimento seguro.
Não é preciso descrevê-las. Basta listá-las, indicar quem é o respetivo proprietário e dar uma referência documental clara.
5. Exceções e consequências do incumprimento
Mais cedo ou mais tarde, qualquer política encontra um caso em que uma medida não pode ser aplicada. O documento deve indicar quem pode autorizar uma exceção, com que justificação, durante quanto tempo e onde fica registada.
As consequências do incumprimento têm de constar de forma expressa e dentro dos limites permitidos pela legislação laboral. Sem esta secção, a organização perde capacidade de resposta perante uma falha grave.
6. Controlo de versões e aprovação
Uma política sem controlo de versões é uma política que não se consegue auditar. A capa ou o rodapé do documento deve indicar o número de versão, a data de aprovação, o órgão que aprova, o autor, a data da próxima revisão e um histórico de alterações.
Esta secção parece menor e é das primeiras que um auditor consulta. Permite-lhe perceber em trinta segundos se o sistema está vivo ou se o documento não é tocado há quatro anos.
Como elaborar uma política de segurança da informação?
Redigir o documento é a parte curta do trabalho. O que lhe dá substância é o que acontece antes e o que acontece depois.
1. Inventariar os ativos e analisar os riscos
A política protege ativos concretos, por isso o primeiro passo é saber quais são. O inventário deve reunir computadores, servidores, aplicações e serviços na cloud, dados, suportes e as pessoas com acesso a cada um. Num parque informático repartido entre escritório e teletrabalho, esta fotografia só se mantém atualizada se for tirada de forma automática.
Com o inventário em mãos identificam-se ameaças e vulnerabilidades, avalia-se a sua probabilidade e impacto e decide-se que riscos são aceites, mitigados, transferidos ou evitados. Em Portugal, a referência mais utilizada nesta fase é a ISO 27005, a par do Quadro Nacional de Referência para a Cibersegurança. Os princípios que vierem a constar da política nascem daqui, e é isso que distingue um documento próprio de um modelo descarregado.
2. Redigir e aprovar o documento
A redação deve ser compreensível para todos os colaboradores, incluindo as pessoas sem perfil técnico. Frases curtas, um glossário no final e nenhum termo que não se consiga explicar numa linha.
A aprovação cabe à direção, com data e assinatura identificável. Nas organizações com comité de segurança, a prática habitual é o comité propor o texto e a direção aprová-lo formalmente em ata.
3. Comunicá-la e registar a sua aceitação
Colocar a política numa pasta partilhada não é comunicá-la. A norma exige que o pessoal abrangido tome conhecimento dela, por isso é preciso uma prova de que cada pessoa a recebeu e aceitou, com data.
A forma mais limpa de o resolver é integrá-la no onboarding. A pessoa recebe o documento quando entra, aceita-o digitalmente e esse registo fica associado ao seu processo individual. Quando a política muda de versão, a aceitação volta a ser pedida a toda a equipa. Este histórico é exatamente o que te vão pedir numa auditoria.
4. Revê-la e atualizá-la
A revisão faz-se em intervalos planeados, normalmente uma vez por ano dentro da revisão pela gestão. Faz-se também perante alterações significativas, como uma fusão, uma mudança de infraestrutura, a entrada num novo quadro regulamentar ou um incidente de segurança relevante.
Cada revisão deixa rasto mesmo quando não há alterações. Registar que o documento foi revisto numa data concreta e mantido sem modificações também é prova válida.
Exemplo de política de segurança da informação
Muitas organizações publicam a sua política em acesso livre, o que ajuda a perceber o tom e a extensão reais. Notam-se dois padrões. O documento raramente passa das cinco páginas, e quase todos incluem uma tabela de controlo de versões na primeira ou na última página.
Um índice-tipo de uma política de segurança da informação é mais ou menos este.
- Objeto e âmbito de aplicação
- Quadro normativo de referência
- Princípios de segurança da informação
- Compromisso da direção
- Organização da segurança, funções e responsabilidades
- Gestão de riscos
- Normas e políticas específicas de desenvolvimento
- Formação e sensibilização
- Gestão de incidentes
- Conformidade, exceções e regime disciplinar
- Revisão e controlo de versões
Este esqueleto serve como ponto de partida. O conteúdo de cada secção só tem valor se resultar da análise de riscos da própria organização.
Erros frequentes na redação de uma política de segurança da informação
As políticas que chumbam numa auditoria repetem quase sempre os mesmos erros.
- Copiar um modelo sem adaptar o âmbito: aparecem instalações que não existem, departamentos que a empresa nunca teve ou sistemas que nunca foram implementados. Um auditor deteta-o logo na primeira leitura e a partir daí olha para o resto do sistema com mais desconfiança.
- Ser aprovada pelo departamento de IT em vez da direção: a norma exige que seja a gestão de topo a estabelecê-la. Uma política assinada apenas pelo responsável técnico não cumpre o requisito e passa a mensagem de que a segurança não é sustentada pelo topo.
- Confundir a política com o procedimento: se o documento fixa o comprimento mínimo das palavras-passe ou a frequência das cópias de segurança, cada ajuste operacional obriga a nova aprovação pela direção. A política deixa de ser atualizada e em poucos meses afasta-se da realidade.
- Deixar de fora fornecedores e pessoal externo: muitas políticas contemplam apenas os colaboradores internos e esquecem trabalhadores independentes, subcontratados e fornecedores com acesso aos sistemas. É uma das portas de entrada mais comuns e um dos pontos mais analisados em auditoria.
- Não conseguir demonstrar que os colaboradores a conhecem: o documento existe, está aprovado e está publicado, mas ninguém consegue atestar quem o leu. Sem registo de aceitação falha o requisito de comunicação e tomada de conhecimento.
- Um desfasamento entre o que está escrito e o que está configurado nos equipamentos: a política declara encriptação do disco, bloqueio automático do ecrã e palavras-passe robustas, e ao verificar o parque uma parte dos dispositivos não cumpre nenhuma das três condições. É o erro com consequências mais pesadas, porque transforma uma não conformidade menor numa maior.
Aplica a política de segurança da informação com o Factorial IT
Uma política só serve se aquilo que declara estiver realmente aplicado nos equipamentos e se essa aplicação puder ser demonstrada. Quanto mais manual for o processo, mais o documento e a realidade se afastam um do outro.
O Factorial IT regista os dispositivos da empresa e aplica-lhes as regras de encriptação, bloqueio de ecrã e palavras-passe em Mac, Windows e Linux, sem ter de os configurar um a um. A política é entregue e aceite logo no onboarding, e essa aceitação fica registada com data no processo individual de cada pessoa.
O resultado é que a política passa a ter por trás um relatório de estado que mostra que equipamentos cumprem cada medida e quem aceitou o documento.
