Como implementar a ISO 27001 passo a passo?

Quando uma empresa começa a ponderar a ISO 27001, a primeira pergunta costuma ser como obter a certificação. Só que, antes dessa auditoria, há meses de trabalho interno de que ninguém fala na fase comercial. Antes de um auditor externo pôr os pés na tua empresa, alguém da tua equipa já teve de decidir o que se protege, que riscos existem e que controlos se aplicam.

Esse trabalho prévio é a implementação. Neste artigo explicamos-te o que tens de construir e por que ordem para chegares à auditoria com um sistema que funcione a sério e não apenas no papel.

O que significa implementar a ISO 27001?

Implementar a ISO 27001 significa pôr em marcha um Sistema de Gestão de Segurança da Informação, mais conhecido pela sigla SGSI. Trata-se de construir um mecanismo que permita à tua organização identificar que informação é crítica, o que pode correr mal, que medidas aplicas para o evitar e como demonstras que essas medidas funcionam.

A norma não te diz que tecnologia usar nem que fornecedor contratar. Exige que sejas capaz de justificar as tuas decisões com um método coerente e de as demonstrar com evidências. É por isso que duas empresas do mesmo setor podem estar certificadas com sistemas muito diferentes.

A diferença entre implementar a norma e certificar-se

São duas coisas distintas e convém ter isto claro desde o início, porque correspondem a dois projetos com calendários e responsáveis diferentes.

• Implementar: é o trabalho interno. Definir o âmbito, analisar riscos, escolher controlos, documentar o sistema e pô-lo a funcionar. É a tua equipa que o faz, com ou sem ajuda externa, e ocupa a maior parte do tempo total.
• Certificar-se: é a validação externa. Uma entidade acreditada audita o teu SGSI e confirma que cumpre a norma. É um processo mais curto e muito estruturado, que podes consultar em detalhe no nosso guia sobre como obter a certificação ISO 27001.

Uma organização pode implementar a norma sem nunca se certificar. O que não pode fazer é certificar-se sem a ter implementado antes.

De que precisas antes de implementar a ISO 27001?

Antes de tocares no primeiro documento, há três condições que determinam se o projeto avança ou se encalha ao fim de dois meses.

• Um compromisso real da gestão: a norma exige o envolvimento da gestão de topo, mas, para lá do requisito formal, sem orçamento atribuído e sem tempo libertado para as pessoas envolvidas, o projeto compete com o dia a dia e perde sempre. O apoio tem de se traduzir em recursos, não numa assinatura.
• Um responsável com nome próprio: alguém tem de liderar o SGSI e ter poder de decisão sobre processos que não são só de IT. Um dos erros mais frequentes é deixar o projeto inteiro nas mãos da equipa técnica, quando a norma toca recursos humanos, jurídico, operações e fornecedores.
• Uma análise de lacunas inicial: antes de planeares seja o que for, convém comparar aquilo que já tens com aquilo que a norma pede. Quase todas as empresas chegam com parte do caminho feito, entre políticas de acesso, cópias de segurança, gestão de incidentes ou inventário de equipamentos. Saber de onde partes é o que te permite estimar o esforço real e definir prioridades.

As 10 fases para implementar a ISO 27001

Não existe uma lista oficial de fases na norma, mas todos os projetos acabam por percorrer mais ou menos estes dez passos. Os primeiros definem o terreno e os últimos são os que um auditor examina com mais atenção.

1. Definir o âmbito do SGSI

O âmbito delimita que processos, serviços, instalações, equipamentos e pessoas ficam cobertos pelo sistema. É a decisão que mais pesa em todo o projeto, porque condiciona o trabalho das nove fases seguintes.

Um âmbito demasiado amplo torna o projeto ingerível. Um âmbito demasiado estreito dá um certificado que não serve para aquilo de que precisavas, normalmente responder a um cliente ou concorrer a um concurso.

2. Identificar os ativos de informação

Dentro desse âmbito tens de saber o que existe. Ativos são as bases de dados, as aplicações, os servidores, os serviços cloud, os portáteis e telemóveis da empresa, a documentação em papel caso exista, e também os fornecedores que tratam informação por ti.

O inventário é o ponto de partida da análise de riscos e é um dos primeiros documentos que um auditor consulta. Se for mantido à mão numa folha de cálculo, fica desatualizado em poucas semanas.

3. Avaliar os riscos

Para cada ativo relevante identificas que ameaças o afetam e que vulnerabilidades tem, e estimas a probabilidade e o impacto de algo acontecer. O resultado é uma lista de prioridades que te diz onde vale a pena investir.

O que importa aqui é a metodologia. Tem de ser explícita, repetível e proporcional à dimensão da tua organização. Uma análise demasiado teórica e desligada da operação real é tão problemática como não ter nenhuma, porque não orienta qualquer decisão.

4. Decidir como tratar cada risco

Com os riscos ordenados por prioridade, a organização decide o que faz com cada um. Há quatro opções. Reduzi-lo aplicando controlos, transferi-lo através de um seguro ou de um terceiro, evitá-lo eliminando a atividade que o gera, ou aceitá-lo de forma consciente e documentada.

Aceitar riscos é perfeitamente válido e muitas empresas não o sabem. O que não é válido é aceitá-los sem deixar registo de quem o decidiu e com que critério.

5. Selecionar os controlos do Anexo A

O Anexo A da norma reúne 93 controlos agrupados em quatro blocos, ou seja, organizacionais, de pessoas, físicos e tecnológicos. Não tens de os implementar todos. Tens de implementar aqueles que respondem aos riscos que identificaste.

Entre os que quase sempre acabam na lista estão o controlo de acessos, a autenticação multifator, a gestão de privilégios, as cópias de segurança, a gestão de vulnerabilidades, a segurança de fornecedores e a gestão de incidentes.

6. Redigir a Declaração de Aplicabilidade

A Declaração de Aplicabilidade, ou SoA pela sigla inglesa, é o documento que reúne os 93 controlos e indica quais aplicas, quais não aplicas e porquê. É a peça que liga a tua análise de riscos às tuas decisões e o primeiro documento que um auditor pede na Fase 1.

Um SoA que se limita a marcar quadrículas sem justificação é uma das causas mais frequentes de não conformidade.

7. Documentar o sistema

A norma exige um conjunto mínimo de documentação. O âmbito, a política de segurança da informação, a metodologia de análise de riscos, o plano de tratamento, o SoA, os procedimentos associados aos controlos que aplicas e os registos da auditoria interna e da revisão pela gestão.

Esta documentação tem de te servir para gerir o sistema no dia a dia. Se ninguém a abre nunca, está escrita para o auditor e não para a tua empresa.

8. Implementar os controlos e gerar evidências

É aqui que se vê se o SGSI funciona a sério. Não basta ter uma política de acessos, é preciso poder mostrar como se concedem, revêm e revogam permissões. E não basta um procedimento de cópias de segurança, é preciso demonstrar que se executam e que alguém verifica os resultados.

As evidências geram-se à medida que se avança, ou não se geram de todo. Se começam a aparecer duas semanas antes da auditoria, o auditor vai reparar.

9. Formar a equipa

A norma exige competência e sensibilização. Na prática, isto significa que as pessoas da tua organização têm de conhecer as políticas que lhes dizem respeito e saber o que fazer perante um incidente.

Conta mais do que parece, porque na auditoria de certificação o auditor entrevista colaboradores de várias áreas, não só a equipa técnica. A distância entre o que dizem os documentos e o que as pessoas realmente sabem vem ao de cima nessas conversas.

10. Fazer a auditoria interna e a revisão pela gestão

Antes de chamares uma entidade certificadora, a norma obriga-te a auditares-te a ti próprio. A auditoria interna procura as não conformidades antes de um terceiro as encontrar, e só serve se for feita com honestidade. Usá-la como mera formalidade significa chegar à auditoria externa sem saber onde estás a falhar.

Segue-se a revisão pela gestão, na qual a gestão de topo avalia formalmente o desempenho do SGSI, os incidentes ocorridos, os resultados da auditoria interna e as oportunidades de melhoria.

Quanto tempo demora a implementar a ISO 27001?

Não há um prazo padrão. O tempo depende sobretudo da dimensão da organização, da maturidade em segurança à partida e da amplitude do âmbito escolhido. Estes intervalos são indicativos e refletem projetos habituais, não uma exigência da norma.

Há três fatores que mexem bastante com estes prazos. O primeiro é quanta segurança já está organizada antes de começar. O segundo é a dedicação real da equipa, porque um projeto feito em tempos livres arrasta-se sem fim. E o terceiro é o grau de automatização, porque boa parte do tempo se vai a reunir evidências que, em muitas empresas, estão dispersas por folhas de cálculo, e-mails e ferramentas sem ligação entre si.

Os erros mais frequentes ao implementar a ISO 27001

Implementar a ISO 27001 raramente falha por falta de conhecimento técnico. Os projetos que acumulam atrasos ou que chegam à auditoria a meio-gás costumam repetir os mesmos erros, e quase todos têm que ver com a forma como o trabalho está organizado.

• Tratar o projeto como um exercício documental: a documentação é necessária, mas a auditoria avalia processos e evidências, não a qualidade literária das tuas políticas.
• Copiar políticas e modelos genéricos: poupam tempo no início e fazem-no perder muito mais depois, porque descrevem uma organização que não é a tua e não encaixam nos teus riscos reais.
• Definir o âmbito à última hora: mudar o perímetro a meio do projeto obriga a refazer o inventário, a análise de riscos e boa parte da documentação.
• Deixar as evidências para o fim: os registos de acessos, incidentes e formação geram-se de forma contínua, ou não se geram. Não há atalho.
• Deixar tudo nas mãos do IT: a ISO 27001 toca contratação, saídas de colaboradores, fornecedores, formação e decisões da gestão. Sem essas áreas envolvidas, o sistema tem falhas logo desde o primeiro dia.

E depois de implementar a ISO 27001?

Com o SGSI a funcionar, tens dois caminhos. Podes ficar por aqui, usando a norma como quadro interno de gestão da segurança sem procurar o selo. Ou podes dar o passo para a certificação, que é o que faz a maioria das organizações que chegam até aqui, normalmente porque um cliente, um concurso ou um mercado o exigem.

Se vais certificar-te, o passo seguinte é escolher uma entidade acreditada pelo IPAC e preparar a auditoria em duas fases. Explicamo-lo em detalhe no guia sobre como obter a certificação ISO 27001.

Em qualquer dos casos, o sistema não pode ficar congelado. Cada nova ferramenta, cada incidente e cada mudança organizativa deveria traduzir-se numa revisão de riscos e controlos. Um SGSI que não se atualiza deixa de refletir a realidade da empresa em poucos meses.

Como é que o Factorial IT te ajuda a implementar a ISO 27001?

A parte mais exigente de implementar a norma normalmente não é decidir que controlos aplicar. É sustentar a evidência de que se aplicam, mês após mês, sem que isso consuma o tempo da equipa.

O Factorial IT centraliza a gestão de dispositivos, acessos e segurança da tua organização e transforma essa gestão em evidência pronta para auditoria.

• Um inventário que se mantém sozinho: cada dispositivo da empresa entra no registo assim que é atribuído, por isso a fase 2 deste artigo deixa de depender de alguém se lembrar de atualizar uma folha de cálculo.
• Ativação e revogação de acessos a partir de um único painel: quando alguém entra ou sai da equipa, as permissões de todas as ferramentas ajustam-se ao mesmo tempo e fica registo de quem fez a alteração e quando.
• Controlos do Anexo A que se aplicam sem intervenção: bloqueio de equipamentos, encriptação e proteção de endpoint configuram-se uma vez e distribuem-se por toda a frota, em vez de dependerem de cada pessoa.
• Histórico desde o primeiro mês: os registos começam a acumular-se assim que pões a plataforma a funcionar, que é precisamente o que te vão pedir quando chegares à fase 10.
• Menos horas da tua equipa no projeto: aquilo que o auditor pede exporta-se na hora, sem o refazer a partir de e-mails e ficheiros soltos.