Como trabalhar com um rascunho
Um modelo é um ponto de partida, não um resultado. Leia primeiro o rascunho inteiro antes de alterar frases isoladas. Assim você percebe se a estrutura e a extensão combinam com a sua empresa. Uma empresa com quarenta funcionários não precisa de uma política que descreva três comitês e cinco níveis de aprovação.
Depois, avance seção por seção. Exclua o que não existe na sua empresa e acrescente o que falta. Onde você tiver apenas anotações, por exemplo de uma conversa com a equipe de TI, deixe a IA ajudar na redação. Verifique cada sugestão quanto à exatidão. Uma formulação bonita que não é praticada é um risco na auditoria.
Trate os pontos sinalizados por último e com atenção. Neles você encontra perguntas orientadoras que ajudam na decisão. Envolva as pessoas que de fato decidem, normalmente a diretoria. Registre quando e por quem a decisão foi tomada.
No fim, aprove o documento e vincule-o como evidência aos controles correspondentes. A partir daí, ele passa a valer como regra, e a data de validade lembra a próxima revisão.
O que torna um documento pronto para auditoria
Os auditores não leem as políticas pelo estilo, mas pelo conteúdo. Eles verificam se o documento combina com a sua organização, se está aprovado e se é praticado. Algumas características ajudam nisso.
Cada documento precisa de uma finalidade e de um escopo claros, de uma área responsável, de uma data de aprovação e de uma indicação de versão. Os termos devem ser usados como no restante da sua documentação. Se a política fala do responsável pela segurança da informação e a descrição de funções fala do responsável pela segurança de TI, o auditor vai perguntar.
As regras devem ser verificáveis. “As senhas devem ser seguras” não pode ser verificado. Uma regra sobre tamanho mínimo, autenticação multifator e tratamento de senhas comprometidas, sim. Ao mesmo tempo, um documento não deve prometer nada que não seja cumprido. Quem estabelece uma revisão trimestral precisa conseguir apresentar quatro atas por ano.
Por fim, conta o vínculo com a prática. Na auditoria, uma política quase sempre é analisada junto com uma prova: comprovante de treinamento, ata, captura de tela. Por isso, vincule a política e as evidências ao mesmo controle.
Por que certos pontos ficam em aberto
As normas de sistemas de gestão exigem decisões que só a própria organização pode tomar. Entre elas estão os objetivos, os critérios de aceitação de riscos, a atribuição de responsabilidades e o escopo. Essas decisões são o núcleo do sistema. Se forem copiadas de um modelo, falta a base para todo o resto.
Na auditoria, isso aparece rápido. O auditor pergunta à diretoria por que um objetivo foi escolhido assim ou a partir de qual limite um risco é aceito. Se o documento contiver uma formulação que ninguém na empresa sabe explicar, isso é uma constatação. Por isso, a IA propositalmente não preenche esses pontos.
Em vez disso, eles ficam sinalizados e acompanhados de perguntas orientadoras. As perguntas ajudam a preparar a decisão: quais ativos são decisivos para o negócio? Qual tempo de indisponibilidade é aceitável? Quem pode aceitar um risco residual? Se a resposta for difícil, isso não é um defeito do modelo, mas exatamente o ponto em que a consultoria real ajuda. No Sightadel, os consultores podem ser contratados como pacote, e seus próprios consultores externos podem ser convidados para a conta com uma função própria.
Erros frequentes com modelos
O erro mais frequente é aprovar um modelo sem alterações. Ele pode estar bem redigido, mas, na dúvida, descreve processos que não existem na sua empresa. O auditor encontra a lacuna no máximo na segunda fase, quando pergunta pelo processo efetivamente praticado.
Um segundo erro é o excesso de regras. Os modelos muitas vezes contêm mais do que uma pequena empresa precisa. Cada regra adicional é mais uma obrigação que você precisa comprovar. Poucas regras, mas cumpridas, são melhores do que uma obra extensa que ninguém lê.
Em terceiro lugar, os documentos são escritos e esquecidos. Uma política deve ser revisada pelo menos uma vez por ano e sempre que a organização, os sistemas ou os requisitos mudarem. Defina uma data de validade na evidência e o Sightadel avisa você com antecedência.
Em quarto lugar, os textos das normas não pertencem aos seus documentos. As normas ISO são protegidas por direitos autorais. Descreva o que você faz, em vez de copiar a norma. É exatamente isso que o auditor quer ver.
