O que é um SGSI? O sistema de gestão subjacente à norma ISO 27001

Um ISMS, abreviatura de «sistema de gestão da segurança da informação», é o conjunto de políticas, processos, funções e controlos através dos quais uma organização gere de forma deliberada os seus riscos de segurança da informação. É a forma como decides o que precisa de ser protegido, quem é o responsável, quais as medidas a aplicar e como verificas se tudo está a funcionar como deve. A palavra «sistema» é que causa confusão aqui: um ISMS é uma forma de trabalhar, não um programa que se instala.

Essa distinção é mais importante do que parece, porque determina o que acabas por comprar e o que acabas por construir. A seguir, vamos ver por que é que o equívoco em relação ao software é tão persistente, em que consiste realmente um SGSI, como se relaciona com a norma ISO 27001 e a NEN 7510, como se implementa um e a parte em que a maioria dos projetos fica silenciosamente paralisada.

Um SGSI não é um programa de computador

Se pesquisares por «ISMS», vais encontrar imensas ferramentas que prometem ser um. São úteis, e uma boa ferramenta poupa tempo real no controlo de documentos, registos de riscos e recolha de evidências. Mas a ferramenta é só o arquivo, não é o sistema. Uma organização com uma ferramenta impecável, mas sem processos que funcionem, tem um registo muito organizado das coisas que, na verdade, não está a fazer.

A razão pela qual a confusão persiste é que um SGSI é, em grande parte, invisível. Não podes apontá-lo da mesma forma que apontas para uma firewall. O que podes apontar são os seus resultados: uma avaliação de riscos que é atualizada, um conjunto de políticas que as pessoas realmente seguem, registos de formação, atas de uma revisão da gestão, uma auditoria interna que identificou algo e levou a uma mudança. Um auditor procura exatamente esses vestígios, porque são a única prova de que o sistema está vivo e não se resume apenas ao que está escrito.

Em que consiste, na verdade, um SGSI?

Os componentes abaixo são comuns a praticamente todas as estruturas, quer decidas ou não obter uma certificação. Juntos, formam um ciclo, em vez de uma lista de verificação: cada parte alimenta a seguinte, e o ciclo repete-se.

• Âmbito. Que partes da organização, que locais, que sistemas e que informações o sistema abrange. Um âmbito demasiado vasto atrasa o projeto; um âmbito demasiado restrito não consegue abranger os riscos que realmente importam.
• Avaliação e gestão de riscos. Identificar o que pode correr mal, qual a probabilidade de isso acontecer e qual o impacto, e decidir, para cada risco, se o vais reduzir, aceitar, transferir ou evitar. A forma de abordar isto na prática é explicada no nosso guia sobre a análise de riscos da norma ISO 27001.
• Políticas e procedimentos. As regras escritas sobre acesso, palavras-passe, fornecedores, incidentes, dispositivos e tratamento de dados. Só têm valor quando as pessoas as conseguem encontrar e as reconhecem na prática do dia a dia.
• Funções e responsabilidades. Quem é responsável por cada risco, quem aprova as exceções, quem comunica o quê à direção. A ausência de atribuição de responsabilidades é a constatação mais comum em qualquer auditoria.
• Controlos. As medidas concretas que reduzem os riscos que identificaste, tanto técnicas como organizacionais.
• Consciência e competência. Garantir que as pessoas abrangidas pelo âmbito do projeto saibam o que se espera delas e sejam capazes de o demonstrar. Isto é um requisito, não um extra opcional.
• Monitorização, auditoria interna e revisão pela direção. Verificar se as medidas funcionam, se as conclusões têm seguimento e se a direção analisa periodicamente o conjunto do processo e decide o que é preciso mudar.
• Melhoria contínua. O ciclo Plan-Do-Check-Act que mantém o sistema em movimento, em vez de o congelar no momento da certificação. inform

Como é que um SGSI se relaciona com a norma ISO 27001 e a norma NEN 7510

A ISO 27001 é a norma internacional que define os requisitos para um SGSI. Esse é o ponto-chave: a norma descreve o sistema de gestão, não uma lista de produtos. As suas cláusulas abrangem o ciclo acima referido, desde o âmbito e a liderança, passando pela avaliação de riscos, até à auditoria interna e à revisão pela direção. A certificação significa que um auditor externo confirmou que o teu sistema cumpre esses requisitos e funciona na prática.

A par dessas cláusulas, temos o Anexo A, um catálogo de controlos que escolhes com base na tua própria avaliação de riscos, registando as tuas escolhas e o teu raciocínio numa declaração de aplicabilidade. As orientações sobre a implementação desses controlos encontram-se na norma complementar ISO 27002, e a diferença entre as duas normas é explicada no nosso artigo sobre a diferença entre a ISO 27001 e a ISO 27002. Não és obrigado a aplicar todos os controlos; o que tens de fazer é justificar a tua escolha.

No setor da saúde holandês, esta mesma ideia surge sob a designação NEN 7510, que se baseia na estrutura da ISO e acrescenta requisitos específicos relativos aos dados dos doentes. As organizações abrangidas pela NIS2 também vão reconhecer este padrão: a diretiva exige medidas de gestão de risco e formação comprovada, que é precisamente o que um SGSI eficaz produz como resultado.

Como implementar um SGSI em seis passos

1. Consegue que a direção se comprometa, por escrito e no orçamento. Um SGSI atribui responsabilidades por toda a organização. Sem um compromisso visível por parte da direção, acaba por se tornar um projeto paralelo de uma única pessoa, e esses projetos não sobrevivem ao ritmo frenético de um trimestre agitado.
2. Define o âmbito com honestidade. Anota o que está incluído e o que está excluído, e porquê. Excluir algo é justificável; descobrir uma lacuna que passou despercebida durante uma auditoria, não.
3. Faz a avaliação de riscos antes de escolheres as medidas de controlo. A ordem é importante. Escolher primeiro as medidas de controlo e só depois justificá-las resulta num sistema que protege o que era conveniente, em vez do que era arriscado.
4. Escreve políticas que as pessoas consigam seguir. Curtas, específicas e adaptadas à forma como o trabalho realmente se desenrola. Uma política que contradiga a prática diária faz com que os funcionários pensem que as regras são só para enfeite.
5. Dá formação às pessoas envolvidas e regista tudo. Todos precisam de conhecer as regras que se aplicam a cada um, e tu tens de poder provar que receberam formação e que a mensagem foi bem assimilada. A nossa formação de sensibilização para a norma ISO 27001 foi concebida a pensar nesse requisito.
6. Auditar, analisar, ajustar. Faz uma auditoria interna, leva as conclusões para uma revisão da gestão e, com base nisso, faz alguma alteração. É essa última parte que um auditor externo verifica: não se encontraste problemas, mas se o facto de os teres encontrado levou a alguma mudança. O que essa auditoria envolve está descrito no nosso artigo sobre o que é uma auditoria.

Onde é que a maioria dos projetos de SGSI fica parada

Não é na tecnologia, e raramente na burocracia. A maioria das organizações consegue elaborar um conjunto de políticas em poucas semanas. O problema começa quando o sistema tem de chegar a pessoas que nunca pediram isso: o colega que partilha um login porque é mais rápido assim, o gestor que aprova uma exceção por chat, o recém-contratado que nunca viu o módulo de integração.

Os auditores dão-se conta disso rapidamente, porque as suas perguntas se centram na prática e não nos documentos. Não perguntam «têm uma política de acesso?», mas sim «mostra-me como foi revogado o acesso de alguém que saiu no mês passado». Não perguntam «dão formação aos vossos colaboradores?», mas sim «mostra-me quem recebeu formação, sobre o quê e o que fizeram em relação às pessoas que não a concluíram». Se a resposta for uma folha de presenças assinada de uma sessão anual, o sistema existe apenas no papel.

As organizações que ultrapassam isto sem problemas encaram a sensibilização como um processo contínuo, em vez de um evento anual. Formações curtas e recorrentes geram um fluxo contínuo de registos, mantêm as regras presentes na mente das pessoas e transformam a cláusula de sensibilização de uma correria de última hora antes da auditoria em algo que se mantém por si só.

Como é que a Guardey apoia a vertente humana do teu SGSI

A formação em sensibilização para a segurança da Guardey abrange exatamente a parte de um SGSI que é mais difícil de comprovar: desafios semanais de cerca de três minutos, gamificação com tabelas de classificação e séries de dias consecutivos, e conteúdos que acompanham o panorama atual das ameaças. Os funcionários fazem a formação na aplicação móvel para iOS e Android ou no navegador, por isso os colegas que não têm secretária também são incluídos.

No que diz respeito ao próprio SGSI, o que importa são os relatórios. A participação, as pontuações e o progresso de cada equipa podem ser exportados como prova pronta para auditoria para as normas ISO 27001, NEN 7510 e NIS2, e as simulações integradas de phishing mostram o comportamento, em vez de apenas a presença. A configuração demora apenas alguns minutos, e mais de 500 organizações trabalham assim, incluindo o Parlamento Europeu.

Perguntas frequentes sobre um SGSI

O SGSI é obrigatório?

Não por si só. O que se torna cada vez mais obrigatório é o resultado: a NIS2 exige medidas adequadas de gestão de risco e formação comprovada, os prestadores de cuidados de saúde cumprem a norma NEN 7510 e os clientes e seguradoras pedem provas. Um SGSI é a forma mais consolidada de organizar tudo isso, e a certificação é a forma de o comprovar perante terceiros.

É preciso ter a certificação ISO 27001 para ter um SGSI?

Não. Há muitas organizações que implementam um SGSI de acordo com as normas da ISO sem nunca convidarem um auditor, porque querem a estrutura e não o certificado. A certificação só vale a pena quando os clientes a pedem, quando os concursos públicos a exigem ou quando precisas de alguém de fora para te manter na linha.

Quanto tempo demora a implementar um SGSI?

Para uma organização pequena com um âmbito bem definido, é realista contar com vários meses de trabalho a tempo parcial antes de uma primeira auditoria interna. O que determina o prazo raramente é a elaboração do documento; é a rapidez com que se tomam decisões sobre o âmbito, a aceitação de riscos e a responsabilidade.

Quem é que deve ser o responsável pelo SGSI?

Alguém com autoridade suficiente para garantir que as decisões sejam cumpridas, apoiado pelas pessoas responsáveis por cada risco específico. Colocar tudo isso exclusivamente nas mãos da equipa de TI é um erro comum: grande parte de um SGSI abrange contratos, processos de RH e gestão de fornecedores, áreas em que a equipa de TI não tem qualquer influência.

Um SGSI só vale a pena no momento em que muda uma decisão: um fornecedor a quem é feita uma pergunta que antes não teria sido feita, uma exceção que é registada em vez de ser esquecida, um risco que ganha um responsável. Todo o resto — os documentos, as ferramentas e, eventualmente, o certificado — é apenas burocracia à volta disso.