Certificar uma organização (escopo) em uma norma internacional requer dedicada preparação e análise inicial do ambiente. Inclusive, pode-se realizar um Gap Analysis para entender o quanto este objetivo está distante. A partir daí, estabelecer um plano de ação para a certificação que provavelmente envolverá várias áreas e colaboradores da organização. Então, o responsável pelo projeto terá a missão de gerenciar o trabalho a ser realizado.
A equipe do projeto é mobilizada e as atividades começam a ser realizadas… A organização define o prazo para a sua conclusão e também contrata a entidade que fará a auditoria de terceira parte (auditoria para a certificação). Projeto concluído, auditoria realizada e certificação obtida! E agora?
Penso que é legítimo ter o sentimento de dever cumprido e dedicar um tempo para refletir, repensar algumas rotinas e também diminuir o ritmo, uma vez que processos de auditoria costumam trazer esforços adicionais. No entanto, a certificação reforça compromissos com processos, prazos, entregas e também com a melhoria contínua do Sistema de Gestão da Segurança da Informação implementado.
De fato, a organização precisa definir papéis e responsabilidades para a certificação e sua manutenção. Que ao meu ver, pode demandar mais esforço, visto que o objetivo inicial foi atingido e este assunto pode ter saído do foco e da escala de prioridades.
Cada organização vai definir a sua estratégia de manutenção, mas cito aqui alguns pontos de atenção que julgo importantes (sem a intenção de esgotar as necessidades/possibilidades). Portanto, verifique:
- Se houve alguma mudança na estratégia da organização que requeira uma revisão no Sistema de Gestão de Segurança da Informação implementado;
- As mudanças ocorridas na organização e os impactos nos processos de Avaliação e Tratamento dos Riscos de Segurança da Informação;
- A necessidade de revisar a Declaração de Aplicabilidade;
- Se todos os requisitos/controles que requerem a implementação em intervalos regulares foram atendidos, entre eles, auditoria interna e análise crítica pela direção;
- O tratamento das não conformidades detectadas em auditorias internas e externas anteriores;
- Se o prazo para a revisão de Políticas, Normas e Procedimentos foi atendido (particular de cada organização). Lembre-se de contemplar as mudanças da organização e considerar o conceito adotado para “Informação Documentada”;
- Se houve “perda” ou mudança de colaboradores relevantes no sistema, entre eles, auditores internos e gestores de áreas críticas;
- Se a organização avaliou o desempenho da segurança da informação e a eficácia do Sistema de Gestão da Segurança da Informação. Geralmente por meio de indicadores (particular de cada organização).
Considero estes itens relevantes porque suportam a implementação e a manutenção do sistema. Além disso, é natural que o nível de exigência passe a ser mais alto na medida em que a organização vai ganhando maturidade em Segurança da Informação. Sendo assim, manter uma certificação também é um desafio. Não podemos perder o foco e a noção de que a certificação é só o começo.
Fonte:
ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 27001: Tecnologia da informação – Técnicas de segurança – Sistemas de gestão da segurança da informação – Requisitos. Rio de Janeiro, 2013.