0
0
A International Organization for Standardization é uma agência internacionalmente conhecida e respeitada que gerencia e estrutura padrões para várias áreas, incluindo segurança cibernética.
A ISO 27001 é uma abordagem sistemática para gerenciar informações confidenciais da empresa para que permaneçam seguras. Inclui pessoas, processos e sistemas de TI a partir da aplicação de um processo de gerenciamento de risco.
Porém, por que as empresas estariam dispostas a passar pelo processo de certificação ISO 27001? Em primeiro lugar, para garantir que seu programa de segurança cibernética seja seguro o suficiente. Assim, o processo de certificação busca pontos fracos e ajusta a segurança cibernética para trabalhar para a empresa, não contra ela.
Em segundo lugar, a conformidade com a ISO 27001 facilita as duas coisas mais importantes para todos os negócios – a confiança dos clientes e dos funcionários. Quem escolheria comprar seu serviço ou trabalhar para sua empresa se você não pudesse garantir a segurança dos dados privados?
Por fim, a certificação ISO 27001 é uma ótima ferramenta para otimizar o fluxo de trabalho interno, eliminar os processos obsoletos e levar sua empresa à melhoria contínua. Continue a leitura e conheça mais sobre os benefícios da conformidade com a ISO 27001 para o seu negócio.
O que é o padrão ISO 27001?
A ISO 27001 é na verdade um conjunto de uma dúzia de padrões projetados para proteger os ativos de informações confidenciais de uma empresa.
A International Organization for Standardization considera a ISO 27001 o principal padrão de gerenciamento de segurança da informação. Durante o decorrer deste texto, você conhecerá as particularidades dos requisitos relativos ao Sistema de Gestão da Segurança da Informação (SGSI) necessário para a conformidade com o padrão ISO 27001.
A implementação da ISO 27001 deve facilitar o gerenciamento da segurança de ativos sensíveis. Podem ser dados financeiros, informações da equipe, arquivos de propriedade intelectual ou dados sobre seus parceiros de negócios. O atendimento aos requisitos desta norma deve permitir que a empresa se proteja contra qualquer perda, roubo ou alteração não autorizada de seus dados confidenciais e quaisquer riscos associados.
Como qualquer norma, a ISO 27001 não é obrigatória para as empresas. No entanto, é particularmente útil quando se trata de estabelecer controles de segurança da informação. Algumas empresas também o usam para mostrar a seus clientes e parceiros o quanto estão comprometidos com a segurança cibernética.
Em detalhes, o padrão ISO 27001 foi projetado para proteger os sistemas de informação de uma empresa, evitando riscos cibernéticos. Além disso o padrão:
- Especifica as medidas de proteção da tecnologia da informação que podem ser consideradas pelos times de Segurança da Informação.
- Previne o risco de intrusão e desastre em sistemas informáticos.
- Divulga também boas práticas organizacionais relativas à segurança cibernética.
Tudo isso se enquadra ao Sistema de Gestão da Segurança da Informação (SGSI), e aplica-se tanto a sistemas e processos de informação quanto a pessoas afetadas pela segurança cibernética. Esse sistema é uma ferramenta poderosa para gerenciamento de riscos e antecipação de violações de segurança cibernética.
Por que a conformidade com a ISO 27001 é importante?
Embora a conformidade com a ISO 27001 não seja obrigatória para nenhuma organização, as empresas podem optar por alcançar e manter a conformidade com a ISO 27001 para demonstrar que implementaram os controles e processos de segurança necessários para proteger seus sistemas e os dados confidenciais em sua posse.
Alcançar a conformidade com a ISO 27001 é importante como um diferencial no mercado e como base para o cumprimento de outros requisitos e padrões obrigatórios. Uma organização com conformidade com a ISO 27001 provavelmente é mais segura do que uma sem ela, e o padrão fornece uma estrutura sólida para construir muitos dos controles de segurança exigidos por outras regulamentações.
Quais são as etapas para a conformidade com a ISO 27001?
Para começar a conformidade com a ISO 27001 é essencial entender alguns dos principais conceitos da ISO e o que eles podem significar para uma empresa que está buscando implementá-los.
Framework
Para ser certificada pela ISO 27001, uma empresa deve seguir vários procedimentos estruturados em um Sistema de Gestão da Segurança da Informação (SGSI):
- Definir com precisão o escopo de seu SGSI.
- Realizar auditoria interna sobre riscos de segurança da informação para melhor garantir a proteção dos dados.
- Estimar a probabilidade e o impacto de cada um desses eventos possíveis, por exemplo, por mapeamento de risco.
- Desenhar um Plano de Tratamento de Riscos com base neste mapeamento.
- Redigir a Declaração de Aplicabilidade (SoA), documento pelo qual a direção geral expressa seu compromisso com as medidas de segurança cibernética descritas no Plano de Tratamento de Riscos.
- Converter o Plano de Tratamento de Riscos em um plano de ação, fornecendo indicadores de desempenho e atualizações regulares durante o ciclo de vida do SGSI.
O objetivo principal do regulamento ISO 27001 é orientar as organizações na criação, implementação e aplicação de um SGSI. Este SGSI descreve os controles, processos e procedimentos que a empresa implementou para garantir a confidencialidade, integridade e disponibilidade dos dados em sua posse.
Documentação
Para alcançar a conformidade com a ISO 27001, uma organização também deve documentar as etapas que foram tomadas no processo de desenvolvimento do SGSI.
A documentação chave inclui:
- Escopo do SGSI
- Política de Segurança da Informação
- Processo e Plano de Avaliação de Riscos de Segurança da Informação
- Objetivos de segurança da informação
- Evidência de Competência de Pessoas que Trabalham em Segurança da Informação
- Resultados da Avaliação e Tratamento de Riscos de Segurança da Informação
- Programa de Auditoria Interna e Resultados das Auditorias Conduzidas
- Evidência de revisões de liderança do SGSI
- Evidência de Não Conformidades Identificadas e Resultados de Ações Corretivas
Controles
A ISO 27001 define um conjunto de controles de auditoria que devem ser incluídos em um SGSI compatível. Esses incluem:
- Políticas de Segurança da Informação. Este controle descreve como as políticas de segurança devem ser documentadas e revisadas como parte do SGSI.
- Organização da Segurança da Informação. As responsabilidades da função são uma parte importante de um SGSI. Esse controle divide as responsabilidades de segurança em toda a organização, garantindo que haja uma responsabilidade clara para cada tarefa.
- Segurança de Recursos Humanos. Esse controle aborda como os funcionários são treinados em segurança cibernética ao iniciar e encerrar funções em uma organização, incluindo integração, desligamento e mudanças de cargos.
- Gerenciamento de Ativos. A segurança de dados é uma preocupação principal da ISO 27001. Esse controle se concentra no gerenciamento de acesso e segurança de ativos que afetam a segurança de dados, incluindo hardware, software e bancos de dados.
- Controle de Acesso. Esse controle discute como uma organização gerencia o acesso aos dados para se proteger contra o acesso não autorizado a dados confidenciais ou valiosos.
- Criptografia. A criptografia é uma das ferramentas mais poderosas para proteção de dados. As empresas devem implementar a criptografia de dados sempre que possível usando algoritmos criptográficos fortes.
- Segurança Física e Ambiental. O acesso físico aos sistemas pode prejudicar os controles de segurança digital. Esse controle se concentra em proteger edifícios e equipamentos dentro de uma organização.
- Segurança de Operações. A segurança de operações se concentra em como a organização processa e gerencia os dados. A organização deve ter visibilidade e controle sobre os fluxos de dados em seu ambiente de TI.
- Segurança das Comunicações. Os sistemas de comunicação usados por uma organização (e-mail, videoconferência, etc.) devem criptografar os dados em trânsito e ter controles de acesso fortes.
- Aquisição, Desenvolvimento e Manutenção de Sistemas. Este controle se concentra em garantir que novos sistemas introduzidos no ambiente de uma organização não coloquem em risco a segurança da empresa e que os sistemas existentes sejam mantidos em um estado seguro.
- Relacionamentos com Fornecedores. Os relacionamentos com terceiros criam o potencial para ataques à cadeia de suprimentos. Um SGSI deve incluir controles para rastrear relacionamentos e gerenciar riscos de terceiros.
- Gerenciamento de Incidentes de Segurança da Informação. A empresa deve ter processos para detectar e gerenciar incidentes de segurança.
- Aspectos de Segurança da Informação do Gerenciamento de Continuidade de Negócios. Além dos incidentes de segurança, a empresa deve estar preparada para gerenciar outros eventos (como incêndios, falta de energia, etc.) que possam impactar negativamente a segurança.
- Conformidade. Como parte da conformidade com a ISO 27001, a organização deve ser capaz de demonstrar total conformidade com outros regulamentos obrigatórios aos quais a organização está sujeita.
FONTE: SENHASEGURA