O que é um SGSI? O sistema de gestão por trás da norma ISO 27001

Um SGSI, sigla para sistema de gestão de segurança da informação, é o conjunto de políticas, processos, funções e controles com os quais uma organização gerencia deliberadamente seus riscos de segurança da informação. É a forma como se decide o que precisa ser protegido, quem é o responsável, quais medidas se aplicam e como se verifica se tudo isso está funcionando. A palavra “sistema” é que gera confusão aqui: um SGSI é uma forma de trabalhar, não um programa que se instala.

Essa distinção é mais importante do que parece, pois determina o que você acaba comprando e o que acaba desenvolvendo. A seguir, analisamos por que o equívoco em relação ao software é tão persistente, em que consiste, na verdade, um SGSI, como ele se relaciona com a ISO 27001 e a NEN 7510, como implementá-lo e qual é a etapa em que a maioria dos projetos acaba estagnando discretamente.

Um SGSI não é um software

Pesquise por “ISMS” e você encontrará inúmeras ferramentas que prometem ser um. Elas são úteis, e uma boa ferramenta economiza tempo real no controle de documentos, nos registros de riscos e na coleta de evidências. Mas a ferramenta é apenas o arquivo, não o sistema. Uma organização com uma ferramenta impecável, mas sem processos que funcionem, tem um registro muito organizado das coisas que, na verdade, não está fazendo.

A razão pela qual a confusão persiste é que um SGSI é, em grande parte, invisível. Não é possível apontá-lo da mesma forma que se aponta para um firewall. O que se pode apontar são seus resultados: uma avaliação de riscos que é atualizada, um conjunto de políticas que as pessoas realmente seguem, registros de treinamento, atas de uma revisão da gestão, uma auditoria interna que identificou algo e levou a uma mudança. Um auditor procura exatamente esses indícios, pois são as únicas evidências de que o sistema está em funcionamento, e não apenas no papel.

Em que consiste, na verdade, um SGSI

Os componentes abaixo são comuns a praticamente todas as estruturas, independentemente de você buscar ou não uma certificação. Juntos, eles formam um ciclo, e não uma lista de verificação: cada parte alimenta a seguinte, e o ciclo se repete.

• Escopo. Quais partes da organização, quais locais, quais sistemas e quais informações o sistema abrange. Um escopo muito amplo paralisará o projeto; um escopo muito restrito não conseguirá cobrir os riscos que realmente importam.
• Avaliação e tratamento de riscos. Identificar o que pode dar errado, qual a probabilidade e a gravidade do impacto, e decidir, para cada risco, se você deve reduzi-lo, aceitá-lo, transferi-lo ou evitá-lo. Nossa guia sobre a análise de riscos da ISO 27001 aborda como abordar isso na prática.
• Políticas e procedimentos. As regras escritas sobre acesso, senhas, fornecedores, incidentes, dispositivos e tratamento de dados. Elas só têm valor quando as pessoas conseguem encontrá-las e identificá-las na prática cotidiana.
• Funções e responsabilidades. Quem é responsável por qual risco, quem aprova as exceções, quem reporta o quê à diretoria. A falta de atribuição de responsabilidades é a constatação mais comum em qualquer auditoria.
• Controles. As medidas concretas que reduzem os riscos identificados, tanto técnicas quanto organizacionais.
• Conscientização e competência. Garantir que as pessoas envolvidas saibam o que se espera delas e sejam capazes de demonstrar isso. Isso é um requisito, não um mero extra.
• Monitoramento, auditoria interna e revisão da gestão. Verificar se as medidas estão funcionando, se as constatações recebem o devido acompanhamento e se a liderança analisa periodicamente o conjunto das atividades e decide quais mudanças devem ser feitas.
• Melhoria contínua. O ciclo Plan-Do-Check-Act, que mantém o sistema em movimento, em vez de paralisá-lo no momento da certificação.

Como um SGSI se relaciona com a ISO 27001 e a NEN 7510

A ISO 27001 é a norma internacional que estabelece os requisitos para um SGSI. Esse é o ponto principal: a norma descreve o sistema de gestão, e não uma lista de produtos. Suas cláusulas abrangem o ciclo descrito acima, desde o escopo e a liderança, passando pela avaliação de riscos, até a auditoria interna e a revisão da gestão. A certificação significa que um auditor externo comprovou que seu sistema atende a esses requisitos e funciona na prática.

Juntamente com essas cláusulas, há o Anexo A, um catálogo de controles dos quais você seleciona com base em sua própria avaliação de riscos, registrando suas escolhas e sua justificativa em uma declaração de aplicabilidade. As orientações sobre a implementação desses controles constam na norma complementar ISO 27002, e a diferença entre as duas normas é explicada em nosso artigo sobre a diferença entre a ISO 27001 e a ISO 27002. Você não é obrigado a aplicar todos os controles; o que se exige é que você justifique sua seleção.

No sistema de saúde holandês, essa mesma ideia surge na norma NEN 7510, que se baseia na estrutura da ISO e acrescenta requisitos específicos aos dados dos pacientes. As organizações abrangidas pela NIS2 também reconhecerão esse padrão: a diretiva exige medidas de gestão de riscos e treinamento comprovável, que é exatamente o que um SGSI em pleno funcionamento produz como resultado.

Como implementar um SGSI em seis etapas

1. Obtenha o compromisso da alta direção, por escrito e no orçamento. Um SGSI atribui responsabilidades em toda a organização. Sem um compromisso visível da alta direção, ele se torna um projeto paralelo de uma única pessoa, e esses projetos não sobrevivem ao ritmo acelerado de um trimestre movimentado.
2. Defina o escopo com honestidade. Anote o que está incluído e o que está excluído, e explique o motivo. Excluir algo é justificável; descobrir uma lacuna não percebida durante uma auditoria, não.
3. Faça a avaliação de riscos antes de escolher as medidas de controle. A ordem é importante. Escolher as medidas de controle primeiro e justificá-las depois resulta em um sistema que protege o que era conveniente, em vez do que representava risco.
4. Elabore políticas que as pessoas possam seguir. Que sejam concisas, específicas e adequadas à forma como o trabalho realmente é realizado. Uma política que contradiga a prática cotidiana transmite aos funcionários a ideia de que as regras são meramente decorativas.
5. Treine as pessoas envolvidas e registre isso. Todos precisam conhecer as regras que se aplicam a eles, e você precisa poder comprovar que elas receberam o treinamento e que o conteúdo foi assimilado. Nosso treinamento de conscientização sobre a ISO 27001 foi elaborado com base nesse requisito.
6. Auditar, analisar, ajustar. Realize uma auditoria interna, apresente as conclusões em uma revisão da administração e, com base nelas, faça alguma mudança. É essa última parte que um auditor externo verifica: não se você identificou problemas, mas se a identificação deles levou a alguma mudança. O que essa auditoria envolve está descrito em nosso artigo sobre o que é uma auditoria.

Onde a maioria dos projetos de SGSI fica estagnada

Não na tecnologia e raramente na burocracia. A maioria das organizações consegue elaborar um conjunto de políticas em poucas semanas. O problema começa quando o sistema precisa alcançar pessoas que nunca pediram por ele: o colega que compartilha um login porque a solução alternativa é mais rápida, o gerente que aprova uma exceção por chat, o novo funcionário que nunca viu o módulo de integração.

Os auditores percebem isso rapidamente, pois suas perguntas se concentram na prática, e não nos documentos. Não perguntam “vocês têm uma política de acesso?”, mas sim “mostre-me como o acesso foi revogado para alguém que saiu no mês passado”. Não perguntam “vocês treinam sua equipe?”, mas sim “mostre-me quem foi treinado, sobre o quê e o que vocês fizeram em relação às pessoas que não concluíram o treinamento”. Se a resposta for uma folha de presença assinada de uma sessão anual, o sistema existe apenas no papel.

As organizações que superam essa fase com facilidade tratam a conscientização como um processo contínuo, e não como um evento anual. Treinamentos curtos e recorrentes geram um fluxo contínuo de registros, mantêm as regras presentes na mente das pessoas e transformam a cláusula de conscientização de uma correria de última hora antes da auditoria em algo que se mantém por si só.

Como a Guardey apoia o aspecto humano do seu SGSI

O treinamento de conscientização em segurança da Guardey abrange exatamente a parte de um SGSI que é mais difícil de comprovar: desafios semanais de cerca de três minutos, gamificação com tabelas de classificação e sequências de conquistas, além de conteúdo que acompanha o panorama atual de ameaças. Os funcionários realizam o treinamento pelo aplicativo móvel para iOS e Android ou pelo navegador, de modo que os colegas que não têm uma mesa de trabalho também sejam incluídos.

No que diz respeito ao próprio SGSI, o ponto principal é a geração de relatórios. A participação, as pontuações e o progresso de cada equipe podem ser exportados como evidências prontas para auditoria de acordo com as normas ISO 27001, NEN 7510 e NIS2, e as simulações integradas de phishing mostram o comportamento dos participantes, em vez de apenas a presença. A configuração leva apenas alguns minutos, e mais de 500 organizações já trabalham dessa forma, incluindo o Parlamento Europeu.

Perguntas frequentes sobre um SGSI

O SGSI é obrigatório?

Não por si só. O que está se tornando cada vez mais obrigatório é o resultado: a NIS2 exige medidas adequadas de gestão de riscos e treinamento comprovado; os prestadores de serviços de saúde atuam de acordo com a norma NEN 7510; e os clientes e seguradoras exigem comprovação. Um SGSI (Sistema de Gestão da Segurança da Informação) é a forma mais consolidada de organizar isso, e a certificação é a maneira de comprová-lo para terceiros.

É necessário ter a certificação ISO 27001 para possuir um SGSI?

Não. Muitas organizações implementam um SGSI de acordo com as normas da ISO sem nunca convidar um auditor, pois buscam a estrutura em si, e não o certificado. A certificação só vale a pena quando os clientes a solicitam, quando as licitações a exigem ou quando é necessário contar com uma entidade externa para garantir a integridade da organização.

Quanto tempo leva para implementar um SGSI?

Para uma organização de pequeno porte com um escopo bem definido, é realista prever vários meses de trabalho em tempo parcial antes de uma primeira auditoria interna. O que determina o cronograma raramente é a elaboração da documentação; o que importa é a rapidez com que as decisões são tomadas sobre o escopo, a aceitação de riscos e a atribuição de responsabilidades.

Quem deve ser o responsável pelo SGSI?

Alguém com autoridade suficiente para garantir que as decisões sejam cumpridas, apoiado pelas pessoas responsáveis pelos riscos específicos. Atribuir essa responsabilidade inteiramente ao departamento de TI é um erro comum: grande parte de um SGSI abrange contratos, processos de RH e gestão de fornecedores, áreas nas quais uma equipe de TI não tem influência alguma.

Um SGSI justifica sua existência no momento em que muda uma decisão: um fornecedor a quem é feita uma pergunta que antes não teria sido feita, uma exceção que é registrada em vez de ser esquecida, um risco que passa a ter um responsável. Todo o resto — os documentos, as ferramentas e, eventualmente, o certificado — é apenas uma questão de registro em torno disso.