A maioria das PME descobre a ISO 27001 pela porta dos fundos: um grande cliente, uma administração pública ou uma seguradora pede-lhes o certificado para continuar a trabalhar em conjunto. E é aí que começa a corrida contra o relógio, quando a norma é vista como um papel a despachar e não como aquilo que realmente é: uma forma ordenada de proteger a informação da sua empresa.
Se está nesse ponto, a boa notícia é que a ISO 27001 é perfeitamente acessível a uma PME sem montar um departamento inteiro nem gastar uma fortuna. A chave está em começar pelo sítio certo e não se dispersar. Aqui tem o mapa completo: o que lhe traz de verdade, o que precisa no mínimo e uma checklist passo a passo para arrancar já hoje.
O que é a ISO 27001 e o que lhe traz de verdade
A ISO 27001 é a norma internacional que define como montar um Sistema de Gestão de Segurança da Informação (SGSI). Em bom português: um conjunto de políticas, controlos e processos para proteger a confidencialidade, a integridade e a disponibilidade dos dados que a sua empresa gere. Não é uma ferramenta que se instala; é uma forma de trabalhar que se certifica perante um auditor externo.
Para que serve para além do selo? Para três coisas muito concretas. A primeira, ganhar e não perder contratos: cada vez mais concursos públicos, grandes contas e clientes internacionais exigem a certificação como requisito de entrada. Sem ela, nem se apresenta. A segunda, a confiança: demonstra a clientes e parceiros que leva a segurança a sério, o que encurta ciclos de venda e evita intermináveis questionários de segurança. E a terceira, a mais subvalorizada, a ordem interna: obriga-o a saber que dados tem, onde estão, quem lhes acede e o que faz se algo falhar.
A ISO 27001 não protege a sua empresa por ter o certificado pendurado na parede. Protege-o porque, para o conseguir, o obriga a pôr ordem onde antes havia improviso.
Requisitos mínimos para uma PME
Esqueça a ideia de que precisa de uma equipa de segurança a tempo inteiro. Uma PME pode cumprir a ISO 27001 com recursos modestos se cobrir estes mínimos:
- Compromisso da direção. A norma exige que a gerência esteja implicada: aprova a política, atribui recursos e revê o sistema. Sem esse apoio, o projeto morre.
- Um responsável pelo SGSI. Não precisa de ser um perfil sénior de segurança; pode ser interno ou externalizado, mas alguém tem de coordenar e responder.
- Um âmbito definido. Não tem de certificar toda a empresa de uma só vez. Pode limitá-lo a um serviço, uma instalação ou um processo concreto, o que reduz drasticamente o esforço.
- Uma análise de riscos. O coração da norma: identificar o que pode correr mal com a sua informação e decidir como tratá-lo. É o que dá sentido a todos os controlos.
- Controlos do Anexo A. A versão de 2022 da norma traz 93 controlos agrupados em quatro blocos. Não se aplicam todos: escolhe os que a sua análise de riscos justifica e documenta o porquê.
- Documentação viva. Políticas, procedimentos e registos. A armadilha aqui é gerar papéis que ninguém usa; o auditor procura evidência de que são aplicados a sério.
A base técnica também conta: cópias de segurança testadas, controlo de acessos, gestão de palavras-passe, antivírus e atualizações em dia. Muitas PME já têm metade feita sem o saber; o trabalho consiste em ordená-la, documentá-la e tapar os buracos. É aqui que uma boa base de cibersegurança e conformidade lhe poupa meses.
Checklist passo a passo para arrancar
Esta é a ordem que funciona. Salte passos e terá de os refazer mais tarde com o relógio contra si:
- 1. Defina o âmbito. Decida que parte da empresa entra no SGSI. Quanto mais limitado e realista, mais depressa chega à certificação sem morrer pelo caminho.
- 2. Consiga o apoio da direção. Ponha preto no branco quem lidera, que orçamento existe e o que se espera. É o passo que evita que o projeto fique a meio.
- 3. Inventarie os seus ativos de informação. Que dados gere, em que sistemas vivem, quem lhes toca. Não pode proteger o que não sabe que tem.
- 4. Faça a análise de riscos. Cruze ativos com ameaças, avalie impacto e probabilidade e priorize. Este documento manda sobre tudo o resto.
- 5. Selecione os controlos. Escolha do Anexo A os que tratam os seus riscos e redija a Declaração de Aplicabilidade justificando cada decisão.
- 6. Redija as políticas e procedimentos. Curtos, claros e aplicáveis. Política de segurança, controlo de acessos, gestão de incidentes, cópias, fornecedores.
- 7. Implemente os controlos técnicos e organizativos. É aqui que se executa: acessos, cifragem, backups, formação da equipa, gestão de incidências. O que estava no papel passa à realidade.
- 8. Forme e sensibilize a sua gente. O elo fraco é quase sempre humano. Sessões breves e phishing simulado fazem mais do que cem documentos.
- 9. Faça uma auditoria interna. Antes de vir o auditor externo, verifique você mesmo se o sistema funciona e corrija os desvios.
- 10. Passe a auditoria de certificação. Uma entidade acreditada revê o SGSI em duas fases. Se tudo bater certo, obtém o certificado, válido três anos com auditorias de acompanhamento anuais.
Prazos, custos orientativos e erros típicos
Nenhuma implementação é idêntica, mas para uma PME com o âmbito bem limitado, o habitual são entre 4 e 8 meses desde o arranque até à auditoria de certificação. Empresas maiores ou com processos complexos chegam a um ano. O prazo depende mais da disponibilidade interna do que da dificuldade técnica: se ninguém tem tempo de levar o projeto por diante, arrasta-se para sempre.
Quanto ao custo, há que separar duas rubricas. Por um lado, a implementação (consultoria, horas internas, ferramentas), que numa PME costuma mover-se numa faixa de alguns milhares de euros consoante o tamanho e a maturidade de partida. Por outro, a auditoria de certificação, faturada à parte pela entidade acreditada e repetida todos os anos nas auditorias de acompanhamento. Quanto mais ordenada já estiver a sua infraestrutura, mais barata sai a implementação.
Os erros que saem mais caros repetem-se sempre:
- Certificar toda a empresa de uma vez quando podia começar por um âmbito reduzido e ampliá-lo depois.
- Comprar modelos de documentos e adaptá-los mal: o auditor deteta à primeira um SGSI de copiar e colar que ninguém aplica.
- Deixar a segurança técnica para o fim. Se os seus backups não se restauram ou os acessos são um caos, nenhum papel o salva em auditoria.
- Esquecer os fornecedores. A norma exige controlar o risco de terceiros; quem subcontrata sem controlo chumba.
- Tratar o certificado como um fim. O SGSI é vivo: se o abandona depois de aprovar, a auditoria de acompanhamento do ano seguinte deita-o abaixo.
Como a MagicBoxDesk o acompanha na implementação
A ISO 27001 falha quando é encarada como um trâmite documental separado da realidade técnica da empresa. Na MagicBoxDesk abordamo-la ao contrário: partimos da sua infraestrutura, dos seus acessos e das suas cópias de segurança reais, e sobre essa base montamos o SGSI que o auditor vai certificar. Como externalizamos o departamento de TI de PME e empresas em toda a Espanha, não nos limitamos a redigir políticas: implementamos e mantemos os controlos técnicos que as sustentam.
Acompanhamo-lo em todo o percurso: definição do âmbito, análise de riscos, Declaração de Aplicabilidade, implementação técnica, formação da equipa, auditoria interna e preparação para a certificação. E depois continuamos consigo com monitorização, backups e cibersegurança gerida para que as auditorias de acompanhamento sejam aprovadas sem sobressaltos. Descubra tudo o que cobrimos na nossa página de serviços e na área de cibersegurança e conformidade.
Se tem um cliente que lhe exige a ISO 27001 ou quer antecipar-se antes que lha peçam, não faça disso uma corrida contra o relógio. Peça um orçamento sem compromisso e dizemos-lhe com critério por onde começar, quanto lhe custará e em que prazo real a terá pronta.
