• (0)
    ISO-27001-ISO-22301-blog

    Base de conhecimento ISO 27001 e ISO 22301

    Explanação sobre a cláusula 4.1 (Entendendo a organização) da ISO 27001:2013

    A cláusula 4.1 é um requisito completamente novo na versão 2013 da ISO 27001, e tem causado alguma confusão porque é bem vaga. (A propósito, há confusão muito similar com a ISO 22301, então este artigo também é aplicável a cláusula 4.1 da ISO 22301.)

    Então, vejamos sobre o que trata e não trata esta cláusula.

    Os requisitos da cláusula 4.1 da ISO 27001 e sugestões da ISO 31000

    A ISO 27001 diz muito brevemente que você precisa identificar todos os assuntos internos e externos que poderiam influenciar em seu sistema de gestão de segurança da informação (SGSI). Ela também faz referência a cláusula 5.3 da ISO 31000 para explanação detalhada.

    A ISO 31000 é uma norma que provê orientações para a gestão de riscos, e é isto que ela sugere que poderia ser incluído ao se identificar assuntos internos e externos (a propósito, os mesmos itens são apresentados na ISO 27004:2014):

    • De forma resumida, para o contexto interno você poderia considerar a estrutura organizacional, papéis e responsabilidades, estratégias e objetivos de negócio, capacidades e recursos, cultura organizacional, sistemas de informação e processos, relações contratuais, etc.
    • Para o contexto externo, o mais importante são as partes interessadas e seus requisitos; mas você também pode considerar aspectos políticos, econômicos, culturais, tecnológicos e o ambiente competitivo, assim como tendências que poderiam ter um impacto em sua organização.

    Favor perceber que a ISO 31000 dá apenas orientações; desta forma, elas não são obrigatórias.

    Como identificar assuntos internos e externos

    Para assuntos internos, isto é o que você deve fazer:

    • Assegure-se de que seus objetivos de segurança da informação estão alinhados com as estratégias de negócio (cláusula 5.1 a da ISO 27001).
    • Realize a avaliação de riscos, incluindo a identificação de sistemas de informação e de relações contratuais (cláusulas 6.1.2 e 8.2).
    • Determine os recursos (cláusula 7.1).
    • Determine papéis e responsabilidade de segurança da informação (cláusula 5.3).
    • Determine capacidades (cláusula 7.2).

    Assim, o ponto é, você não precisa criar etapas extras para identificar assuntos internos além daquela que você tem que fazer por conta das cláusulas da ISO 27001 mencionadas – isto basicamente significa que pela implementação destas cláusulas você identificará todos os assuntos internos ao longo do caminho.

    Contudo, caso você queira criar uma etapa extra, você poderia realizar a análise de acordo  com o chamado Framework 7S – ele inclui a avaliação de: Estratégia, Estrutura, Sistemas, Valores Compartilhados, Habilidades, Estilo e Equipe (Strategy, Structure, Systems, Shared Values, Skills, Style e Staff). Você encontrará mais informações aqui: The McKinsey 7S Framework.

    Para assuntos externos, a primeira coisa é estar em conformidade com a cláusula 4.2 da ISO 27001 (Entendendo as necessidades e expectativas das partes interessadas) – este artigo explica como: Como identificar partes interessadas de acordo com a ISO 27001 e ISO 22301.

    Você poderia também realizar a chamada análise PEST, a qual identifica assuntos Políticos, Econômicos, Sociais e Tecnológicos no ambiente de sua organização. Você encontrará mais informação aqui…

    Como documentar estes assuntos

    Para assuntos internos, você deve documentar seus objetivos de segurança da informação e os resultados da avaliação de riscos, e manter registros de competência de seus empregados. (Veja aqui Lista de documentos obrigatórios requeridos pela ISO 27001 (revisão de 2013).)

    Por conta do controle A.18.1.1, é obrigatório ter uma lista de requisitos legislativos, estatutários, regulatório e contratuais relevantes; esta lista pode ajudar você com regulamentações e leis relacionadas a segurança da informação.

    Não é obrigatório documentar sua análise PEST ou sua análise pelo framework 7S, mas grandes organizações normalmente criariam tais documentos ao revisar suas estratégias de negócio; pequenas organizações geralmente não possuem estes documentos, mas estou certo de que muito donos de negócio / CEOs consideram todos estes assuntos quando tem que pensar em como competir no mercado. Assim, se você trabalha para uma grande organização, simplesmente solicite ao seu gestor corporativo que lhe forneça estes documentos; em organizações menores, assegure-se de falar com seu CEO.

    Embora a cláusula 4.1 cause muita confusão, na verdade gosto dela – ela obriga os profissionais de segurança da informação a olhar além das questões de segurança da informação, então na verdade esta cláusula ajuda a aproximar o negócio e a a segurança da informação.

    Clique aqui para ver uma amostra do Procedimento para identificação de requisitos.

    Nós agradecemos a Rhand Leal pela tradução para o português.

    Advisera Dejan Kosutic
    Autor
    Dejan Kosutic
    Dejan possui um grande número de certificações, Consultor de Gestão Certificado, Auditor Líder ISO 27001, Auditor Líder ISO 9001 e Associate Business Continuity Professional. Dejan lidera nossa equipe na gestão de diversos websites especializados em apoiar profissionais de ISO e TI no entendimento e implementação bem sucedida de normas internacionais. Dejan obteve seu MBA na Henley Management College, e possui larga experiência e setores de investimento, seguro e bancário. Ele é reconhecido por sua expertise em normas internacionais para continuidade de negócio e segurança da informação – ISO 22301 e ISO 27001 – e pela autoria de diversos tutoriais web, kits de documentação e livros relacionados a estes assuntos.