Curso ISO 27001 Foundation com certificação PECB

A ISO/IEC 27001 é a norma internacional que define os requisitos para criar, manter e melhorar um sistema de gestão de segurança da informação. É publicada em conjunto pela ISO e pela IEC, e a versão em vigor é a ISO/IEC 27001:2022, que substituiu a edição de 2013. É a única norma da família 27000 pela qual uma organização se pode certificar; as restantes, como a ISO/IEC 27002, são guias de apoio.

O que é um SGSI

Um sistema de gestão de segurança da informação (SGSI, ou ISMS em inglês) é o conjunto de políticas, processos, pessoas e tecnologia que uma organização usa para gerir os riscos que ameaçam a sua informação. A ideia central da norma é que a segurança não se resolve com uma lista de ferramentas, mas com um sistema que se planeia, se opera, se mede e se corrige de forma contínua. É por isso que a ISO/IEC 27001 segue a mesma estrutura de alto nível de outras normas de sistemas de gestão, como a ISO 9001, e é auditável da mesma maneira.

Confidencialidade, integridade e disponibilidade

A norma organiza-se em torno de três propriedades da informação, muitas vezes chamadas tríade CIA. Confidencialidade é garantir que a informação só é acessível a quem tem autorização. Integridade é garantir que a informação está correcta e completa, e que não foi alterada sem autorização. Disponibilidade é garantir que quem tem direito de acesso consegue aceder quando precisa. Um incidente de segurança é, na prática, a quebra de uma destas três propriedades.

Os controlos do Anexo A

O Anexo A da ISO/IEC 27001:2022 lista 93 controlos de segurança, organizados em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. A edição de 2022 reduziu-os dos 114 controlos e 14 secções da versão de 2013, e introduziu 11 controlos novos em áreas como segurança em cloud, inteligência sobre ameaças e monitorização de actividade. Os controlos não são obrigatórios em bloco: a organização escolhe quais aplica em função da sua avaliação de riscos, e justifica as exclusões numa declaração de aplicabilidade.

Estar certificado e estar conforme não é o mesmo

Uma organização está conforme quando cumpre os requisitos da norma. Está certificada quando um organismo de certificação acreditado e independente o audita e emite um certificado, válido por três anos e com auditorias de acompanhamento anuais. A certificação é da organização, não das pessoas. O que as pessoas obtêm são certificações profissionais, como a ISO 27001 Foundation, que atestam conhecimento da norma e são o ponto de partida para os percursos de implementer e de auditor.

Em Portugal, a adopção da norma tem sido impulsionada pelo RGPD e, mais recentemente, pela directiva NIS2, que obriga entidades de sectores críticos a demonstrar medidas de gestão de risco de cibersegurança. Um SGSI conforme com a ISO/IEC 27001 é a forma mais reconhecida de o fazer.