Como funciona uma avaliação na prática
Uma avaliação começa com a ativação de um framework. O Sightadel cria então todos os controles como perguntas, organizadas pelos temas da norma. Antes de alguém responder à primeira pergunta, vale a pena um breve planejamento: quem é responsável pela avaliação, até quando ela deve estar concluída e quem contribui com respostas para quais capítulos? A pessoa responsável e o prazo são informados diretamente na avaliação e ficam visíveis para todos os envolvidos.
Na prática, funciona bem avançar capítulo por capítulo, em vez de percorrer a norma de forma dispersa. Comece pelos temas que formam a base, como políticas, funções e responsabilidades. Muitos controles posteriores se apoiam neles. Os capítulos técnicos, como controle de acesso, operações ou fornecedores, ficam com as pessoas que conhecem bem essas áreas. Por meio das funções, colegas e consultores trabalham juntos na mesma avaliação.
Você não precisa fazer tudo de uma vez. O progresso fica salvo e um botão leva a qualquer momento ao primeiro controle sem resposta. Para um framework extenso como a ISO 27001, conte mais com semanas do que com dias, porque muitas perguntas exigem uma decisão ou uma conversa interna. Só quando todas as perguntas de controle estiverem respondidas é possível enviar a avaliação.
Boas respostas: concretas, comprovadas, honestas
Uma resposta na avaliação é uma afirmação sobre a sua organização que alguém vai verificar depois. Por isso, ela deve descrever o que é efetivamente praticado, e não o que está planejado ou é desejado. Escolha as opções de resposta que se aplicam e use o campo de comentário para o contexto: qual processo está em questão, quem é responsável por ele, desde quando vale.
Cada resposta tem uma evidência. Pode ser uma política, uma ata, uma captura de tela de uma configuração ou um extrato de um sistema de tickets. Vincule a evidência diretamente ao controle a partir da biblioteca de evidências. Se ela já existir para outro framework, vincule-a de novo, em vez de enviar uma cópia.
“Nenhum” é uma resposta válida. Ela mostra uma lacuna, e uma lacuna dá origem a um plano de ação com responsável e prazo. Na auditoria, isso é muito melhor do que uma resposta maquiada sem prova. Quanto a “n/a”: use somente se o controle realmente não se aplicar e sempre justifique no comentário. Uma empresa sem desenvolvimento de software próprio pode, por exemplo, excluir controles de desenvolvimento seguro, mas precisa explicar como lida com o software adquirido.
No que os auditores prestam atenção
Uma auditoria de certificação acontece em duas fases. Na primeira, o auditor verifica a documentação: o sistema de gestão está descrito, existem o escopo, as funções e a Declaração de Aplicabilidade? Na segunda, ele verifica se o que está descrito é praticado. Conversa com funcionários, analisa registros e coleta amostras.
Para a avaliação, isso significa que o auditor não lê suas respostas como uma autodeclaração, mas como ponto de partida para perguntas. Ele escolhe um controle e quer ver a prova, depois um segundo. Quanto melhor resposta, comentário e evidência se encaixarem, mais curtas serão essas conversas.
Preste atenção especial a três pontos. Primeiro, à atualidade: uma evidência de três anos atrás não comprova uma situação atual. Segundo, às justificativas das exclusões. Terceiro, às contradições, por exemplo quando uma resposta descreve um processo mensal, mas a evidência mostra apenas uma única data. No Sightadel, o auditor recebe uma função própria. Ele vê respostas e evidências em seu contexto, comenta e, após a sua aprovação, cria ou edita registros. Ele nunca pode excluir nada.
Armadilhas típicas
A armadilha mais frequente é tratar a avaliação como um formulário a ser preenchido o mais rápido possível. Quem escolhe sempre a melhor opção tem no fim um bom resultado na tela e um problema na auditoria. O valor da avaliação está em enxergar as lacunas cedo, enquanto ainda há tempo para agir.
Uma segunda armadilha é a falta de responsabilidade. Uma avaliação que é de todos não é tratada por ninguém. Defina uma pessoa responsável, estabeleça um prazo realista e distribua os capítulos técnicos entre as pessoas que conhecem as respectivas áreas.
Em terceiro lugar, o escopo muitas vezes é esclarecido tarde demais. Se uma unidade, uma filial ou um determinado serviço está incluído, isso muda as respostas de muitos controles. Esclareça esse ponto antes de começar, em caso de dúvida com apoio de consultoria.
Por fim, uma avaliação enviada é um retrato de um momento. As medidas mudam, as evidências vencem, as pessoas mudam de função. Por isso, planeje a avaliação como tarefa recorrente, por exemplo anualmente antes da auditoria interna, e mantenha as evidências atualizadas por meio das datas de validade.
