Implementação da ISO 27001 para pequenas e médias empresas

A ISO/IEC 27001 é a norma internacional que define os requisitos para criar, manter e melhorar um Sistema de Gestão de Segurança da Informação (SGSI). Protege a confidencialidade, a integridade e a disponibilidade dos dados da empresa e obriga a gerir os riscos de forma organizada. A versão em vigor é a ISO/IEC 27001:2022.

Não. O certificado é emitido por um organismo de certificação acreditado, que faz a auditoria à sua empresa. O nosso trabalho é preparar a empresa para essa auditoria e acompanhá-la durante o processo. Dizemos-lhe isto à partida, porque quem promete certificar sem ser organismo acreditado não está a ser honesto consigo.

Em regra, é voluntária. Na prática, cada vez mais clientes, concursos e contratos pedem-na, sobretudo a quem trata dados de outras empresas: software, serviços informáticos, consultoria, saúde, finanças. Se ninguém lhe pede e não vê esse caminho, dizemos-lhe que ainda não compensa.

Não garante, mas ajuda muito. O RGPD é uma lei sobre proteção de dados pessoais; a ISO 27001 é uma norma sobre a segurança de toda a informação. Ter o sistema montado mostra que tomou medidas de segurança adequadas, e boa parte do trabalho serve as duas coisas.

O nosso trabalho tem um preço fixo, acordado por escrito depois da chamada gratuita, e depende do tamanho da empresa, do número de pessoas e sistemas e do ponto de partida. A auditoria de certificação é cobrada à parte pelo organismo certificador; ajudamos a comparar propostas antes de escolher.

Numa pequena empresa, costuma levar entre três e seis meses até à auditoria de certificação. Depende de onde parte e da rapidez com que a equipa resolve os pontos em aberto. Combinamos um calendário realista por escrito antes de começar.

Começamos pelo diagnóstico e pela análise de risco, depois escrevemos as políticas, ativamos os controlos e formamos a equipa, e fazemos uma auditoria interna. A seguir vem a auditoria do organismo certificador, em duas fases: uma revisão da documentação e outra à implementação. O certificado dura três anos, com auditorias anuais de acompanhamento.

O Anexo A passou a ter 93 controlos, agrupados em quatro temas: organizacionais, pessoas, físicos e tecnológicos. Entraram controlos novos, por exemplo para serviços na cloud, prevenção de fuga de dados e configuração segura. O prazo para as empresas certificadas pela versão de 2013 passarem à de 2022 terminou em outubro de 2025.

Tem documentação, mas só a que a norma exige e que a equipa vai mesmo usar. Mantemos as políticas curtas, aproveitamos o que a empresa já faz bem e não criamos procedimentos para encher páginas. Um sistema que ninguém lê também não passa numa boa auditoria.

Marque uma chamada gratuita de 30 minutos. Perguntamos o que faz a empresa, quem lhe pede a certificação e como trata hoje os dados, e dizemos-lhe se compensa, quanto tempo leva e o que propomos primeiro, com preço fixo.