CevroCertificação ISO 27001 para empresas que vendem globalmente
A ISO/IEC 27001 é a norma internacional para um sistema de gestão de segurança da informação (SGSI). Diferentemente do SOC 2, resulta em um certificado emitido por um organismo de certificação acreditado, o que lhe dá peso em compras fora dos Estados Unidos.
O que a norma exige
Você define o escopo do SGSI, avalia os riscos de segurança da informação, escolhe e implementa controles para tratá-los e melhora continuamente por meio de auditorias internas e análise crítica da direção. O sistema de gestão importa tanto quanto os controles individuais.
Os controles do Anexo A
A edição 2022 do Anexo A lista 93 controles agrupados em quatro temas. Você documenta quais se aplicam a você e por quê em uma Declaração de Aplicabilidade.
- Controles organizacionais
- Controles de pessoas
- Controles físicos
- Controles tecnológicos
Como funciona a certificação
Um organismo de certificação audita em duas etapas: uma revisão da documentação e, depois, uma avaliação da implementação. Os certificados valem por três anos, com auditorias de vigilância anuais. As organizações certificadas na edição 2013 deviam migrar para a edição 2022 até 31 de outubro de 2025.
Preparação prática
- Defina um escopo realista antes de mapear os controles
- Mantenha um registro de riscos vivo, com responsáveis e prazos
- Colete evidências continuamente em vez de às vésperas da auditoria
- Faça uma auditoria interna e uma análise crítica da direção antes da auditoria de certificação
Como a Cevro ajuda
- A Cevro executa verificações automáticas em 11 sistemas conectados (nuvem, código-fonte, identidade, pessoas e pagamentos) e associa cada resultado ao ISO 27001 e aos demais referenciais que você acompanha.
- Cada controle reprovado vem com uma correção específica e uma forma de verificá-lo de novo, e a lista de lacunas vira uma lista de tarefas.
- As evidências coletadas para um referencial são reaproveitadas nos outros, e o que uma varredura não consegue produzir vai para o cofre de evidências.
- Uma página de confiança ao vivo e evidências exportáveis permitem responder a clientes e auditores sem começar de uma planilha em branco.
Perguntas frequentes
A ISO 27001 é exigida por lei?
Não, é voluntária. Clientes, reguladores ou licitações podem exigi-la, sobretudo na Europa, no Oriente Médio e na Ásia.
ISO 27001 e SOC 2 podem compartilhar evidências?
Em grande parte, sim. As evidências de controle de acesso, registros, gestão de mudanças e avaliação de riscos se sobrepõem bastante, e por isso associar um mesmo conjunto de evidências aos dois referenciais economiza tempo.