A ISO/IEC 27001 tornou-se um requisito comercial. Não é um auditor que a pede: é o cliente grande que o vai contratar, ou o caderno de encargos a que se quer candidatar. Essa é, quase sempre, a razão honesta para se certificar.
O que é e o que não é
Não é uma lista de medidas técnicas que se instalam. É um sistema de gestão: uma forma de identificar que informação tem, que riscos corre, o que faz quanto a isso e como comprova que se continua a fazer. A parte técnica é consequência, não o ponto de partida.
O que implica na prática
- Definir o âmbito: que parte da empresa se certifica. Começar por tudo costuma ser um erro.
- Un análise de riscos real, não copiada de um modelo.
- Políticas e procedimentos que sejam mesmo cumpridos. Os que não se cumprem detetam-se logo na primeira auditoria.
- Implementar os controlos que resultarem da análise: acessos, cópias de segurança, registo de eventos, gestão de fornecedores, formação.
- Auditoria interna, revisão pela direção e auditoria de certificação com uma entidade acreditada.
- E depois: auditorias de acompanhamento anuais. Um sistema fechado numa gaveta cai por si só.
ISO 27001, ENS e NIS2: como se relacionam
- ISO 27001 é voluntária e serve como argumento comercial em qualquer setor.
- ENS (o Esquema Nacional de Seguridad espanhol) é obrigatório para trabalhar com a Administração Pública espanhola.
- NIS2 é a diretiva europeia, e abrange mais empresas do que parece: a muitas aplica-se por serem fornecedoras de outra que está abrangida.
Partilham boa parte do trabalho. Se sabe que vai precisar de duas, convém tratá-las em conjunto desde o início, em vez de fazer o mesmo esforço duas vezes.
A pergunta útil não é «certifico-me?», mas sim «quanto negócio perco por não estar certificado?». Com esse número, a decisão toma-se sozinha.