ISO 27001: o que é, como funciona e como implementar

A ISO 27001 é a norma internacional que define os requisitos para implementar e manter um Sistema de Gestão de Segurança da Informação (SGSI). Publicada pela ISO em parceria com a IEC (International Electrotechnical Commission), ela estabelece como as organizações devem identificar, avaliar e tratar os riscos relacionados à segurança da informação, cobrindo pessoas, processos e tecnologia. Saiba mais sobre a IEC. A versão vigente é a ISO/IEC 27001:2022.

Empresas de qualquer setor e porte podem se certificar na norma, mas ela é especialmente exigida em setores regulados como financeiro, saúde e tecnologia, e por grandes clientes que impõem ISO 27001 como requisito de fornecedores. A certificação também é o caminho mais estruturado para conformidade com a LGPD, o GDPR e outras regulações de proteção de dados.

Neste artigo você vai entender:

• Para que serve a ISO 27001 e quem precisa se certificar
• Quais são os requisitos da norma
• Como funciona o processo de implementação e certificação
• Quais são os resultados concretos de implementar a norma

Para que serve a ISO 27001 e quem precisa se certificar?

A principal razão que leva uma organização a implementar um SGSI em conformidade com a ISO 27001 é minimizar a vulnerabilidade a violações de segurança. Seja qual for o tipo de informação, dados financeiros, códigos de software ou listas de clientes e fornecedores, e independentemente do modo como ela é armazenada, são necessários controles de segurança robustos.

A ideia de implementar um SGSI é garantir às organizações e aos seus clientes que suas informações sensíveis e estratégicas estejam sempre protegidas. A adoção da ISO 27001 demonstra que a organização está usando uma abordagem de mitigação de riscos para selecionar e implementar controles de segurança da informação.

Inicialmente pode parecer que a implementação de um SGSI representa um alto custo financeiro com pouco retorno. Na prática, os custos são compensados pela prevenção e redução do impacto e da frequência dos incidentes de segurança. Além disso, ter um SGSI tornou-se um requisito para contratação de fornecedores por empresas de grande porte, e a certificação ISO 27001 já garante a essas organizações o comprometimento com a proteção dos dados.

Entenda como a ISO 27001 apoia a adequação à LGPD no nosso guia.

Quais são os requisitos da ISO 27001?

Ela é composta de seções que estabelecem os requisitos principais e um Anexo A que contém os controles de segurança, cada um com objetivos e foco específicos, organizados nos seguintes grupos, segundo a publicação oficial da norma:

• Política de segurança: fornecer orientação de gerenciamento e suporte para segurança de informações de acordo com os requisitos de negócios, leis e regulamentos relevantes. A política deve ser conhecida e aplicada por todos, além de apoiada formalmente pela direção da organização.
• Organização da segurança da informação: gerenciar a segurança da informação dentro da organização e manter a segurança das informações acessadas, processadas, comunicadas ou gerenciadas por terceiros.
• Gestão de ativos: alcançar e manter a proteção de ativos organizacionais, sejam ativos de hardware, software ou informações armazenadas.
• Segurança de recursos humanos: garantir que funcionários, contratados e terceiros entendam suas responsabilidades e saiam da organização de maneira ordenada.
• Segurança física e ambiental: impedir o acesso físico não autorizado, danos e interferência nas instalações e informações da organização.
• Gerenciamento de comunicações e operações: garantir que as informações sejam processadas corretamente, com backup seguro e tratamento adequado.
• Controle de acesso: controlar o acesso a informações, redes e aplicativos, impedindo acesso não autorizado a dados críticos.
• Aquisição, desenvolvimento e manutenção de sistemas: garantir que a segurança seja parte integrante do sistema de informação, protegendo aplicações e reduzindo vulnerabilidades.
• Gerenciamento de incidentes de segurança: garantir que violações e problemas de segurança sejam comunicados de forma consistente, permitindo ações corretivas em tempo hábil.
• Gerenciamento de continuidade de negócios: garantir a neutralização de interrupções e proteger processos críticos contra falhas ou desastres de sistemas de informação.
• Conformidade: evitar violações de leis, obrigações regulamentares ou contratuais e garantir a conformidade com políticas e padrões de segurança organizacionais.

Veja o detalhe de cada controle do Anexo A no guia de ISO 27002.

Como funciona o processo de implementação e certificação ISO 27001?

A implementação da ISO 27001 segue o ciclo PDCA (Planejar, Executar, Verificar e Agir), podendo ser conduzida com metodologias complementares. O roadmap padrão envolve as seguintes etapas:

1. Definição do escopo

Define os limites do projeto, refletindo os objetivos do negócio: quais locais, departamentos e processos serão cobertos pelo SGSI. O tamanho do escopo determina diretamente o prazo, o esforço e o custo da certificação.

2. Diagnóstico de gaps (Gap Analysis)

Revisão minuciosa dos ativos presentes e ausentes que contribuem para o atendimento dos requisitos da norma. O objetivo é identificar o grau de aderência atual e os pontos que precisam de melhoria para atender à ISO 27001.

3. Análise de risco

Avaliação criteriosa de todos os ativos de informação da organização, identificando riscos, ameaças e vulnerabilidades. Permite focar as ações do SGSI na mitigação dos riscos mais relevantes para o negócio.

4. Declaração de aplicabilidade

Lista todos os controles definidos na norma, explicando como e por que cada um se aplica ao escopo da organização. Controles que não se aplicam ao negócio podem ser formalmente excluídos com justificativa documentada.

5. Programa de melhoria de segurança

Desenvolvimento de políticas, procedimentos e controles técnicos para proteger os ativos de informação contra os riscos identificados. Ter um comitê de segurança da informação com apoio da alta gestão é um fator crítico de sucesso nessa etapa.

6. Implantação do SGSI

Políticas e procedimentos são implantados e disponibilizados para toda a organização, com treinamento e envolvimento da alta administração para garantir que as mudanças se tornem parte da cultura organizacional.

7. Teste, revisão e auditoria interna

Cada ação ou mudança é testada para garantir que entrega as melhorias necessárias. Auditorias internas do SGSI asseguram que a organização segue todas as diretrizes definidas e está preparada para a certificação ISO 27001.

8. Revisão da gestão

A alta gestão revisa o SGSI e contribui para sua adequação contínua. Análises críticas regulares avaliam se os riscos que deram origem ao SGSI estão sendo mitigados e identificam novas ameaças ao negócio.

9. Melhoria contínua e ação corretiva

Auditorias internas e análises gerenciais são os principais métodos de avaliação contínua do SGSI. Não conformidades precisam ser tratadas com ações corretivas para garantir que não se repitam. A melhoria contínua é um requisito fundamental da norma.

Quais são os resultados concretos de implementar a ISO 27001?

A certificação ISO 27001 traz benefícios diretos e indiretos para a organização:

• Menores custos com tratamento de incidentes de segurança da informação
• Maior credibilidade de marca, demonstrando comprometimento com a proteção dos dados dos clientes
• Risco gerenciado por políticas de segurança claras e documentadas
• Competitividade em um mercado cada vez mais exigente quanto à qualidade e desempenho dos fornecedores
• Conformidade estruturada com a LGPD, o GDPR e outras regulações de proteção de dados

Diante das crescentes ameaças à segurança da informação, a certificação ISO 27001 é um atestado de que sua empresa cumpre os parâmetros necessários para uma boa gestão da segurança da informação. Contar com a experiência de uma consultoria especializada encurta a jornada e torna o processo de certificação mais assertivo.

Fale com um especialista da Promove em segurança da informação e saiba como iniciar a certificação.

Perguntas frequentes sobre ISO 27001