Software · ISO 27001
Um software ISO 27001 deve sustentar o sistema de gestão da segurança da informação: os capítulos 4 a 10, os 93 controles do Anexo A, riscos, evidências e o ciclo anual de auditoria interna e análise crítica pela direção. Esta página mostra o que a norma exige, o que você deve observar na escolha de um software de SGSI e como o Sightadel cobre isso.
Ponto de partida
A ISO/IEC 27001:2022 exige um sistema de gestão, não um pacote de documentos. Os capítulos 4 a 10 tratam de contexto e escopo, liderança, avaliação e tratamento de riscos, recursos e competência, operação, avaliação e melhoria. O Anexo A contém 93 controles em quatro temas: 37 organizacionais, 8 relativos a pessoas, 14 físicos e 34 tecnológicos. Para cada controle, você registra na Declaração de Aplicabilidade se ele se aplica, por quê e até que ponto está implementado.
Um software de SGSI precisa representar essa estrutura e mantê-la coesa: risco, controle, medida e evidência andam juntos. O auditor verifica se o método de riscos é repetível, se as evidências estão atualizadas e se a auditoria interna e a análise crítica pela direção foram realizadas. O certificado vale três anos, com duas auditorias de manutenção anuais. Portanto, o software precisa sustentar sobretudo a operação depois da auditoria inicial.
O que o software não assume são as decisões. Escopo, objetivos de segurança da informação, aceitação de riscos, a seleção dos controles e as funções são definidos pela alta direção. Um bom software de SGSI torna esses pontos visíveis e documenta quem decidiu e quando.
Por que agora
Clientes ou licitações exigem o certificado. Você precisa de escopo, método de riscos, Declaração de Aplicabilidade e um programa de auditoria, nessa ordem.
Depois do certificado, o sistema parou. As evidências têm data, e na auditoria de manutenção aparece o que não é verificado há um ano.
Declaração de Aplicabilidade, lista de riscos e lista de fornecedores estão em arquivos separados. Os vínculos entre risco, controle e comprovante só existem na cabeça do gestor de segurança da informação (CISO).
A ISO 27001 é a que mais se estende a outros regulamentos. Quem conduz o SGSI em um software usa as mesmas evidências para as obrigações adicionais.
Frameworks relevantes
Resumido com nossas próprias palavras, não constitui consultoria jurídica. Vale o texto original na versão em vigor.
Capítulos 4 a 10 e todos os 93 controles do Anexo A na versão de 2022. O resultado é um certificado de um organismo acreditado, válido por três anos. Até estar pronto para a auditoria, costumam passar de três a seis meses.
Ver framework →As medidas do § 30 da lei alemã do BSI (BSIG) coincidem em grande parte com o Anexo A. Somam-se a cadeia de notificação, o registro no Serviço Federal Alemão de Segurança da Informação (BSI) e a responsabilidade da diretoria conforme o § 38.
Ver framework →As medidas técnicas e organizacionais do art. 32 do GDPR (Regulamento Geral sobre a Proteção de Dados da UE) podem ser comprovadas com as mesmas evidências que muitos controles do Anexo A.
Ver framework →Para provedores de nuvem com clientes do setor público ou de setores regulados. O catálogo de critérios do BSI se baseia na ISO 27001, e o resultado é um relatório de asseguração emitido por um auditor independente (empresa de auditoria).
Ver framework →Ordem recomendada
Delimitar locais, sistemas e processos e identificar as partes interessadas. Perguntas orientadoras e o modelo setorial sugerem delimitações; você confirma ou ajusta.
Registrar os ativos, avaliar os riscos com um método fixo e definir o tratamento. Só depois disso é possível decidir os controles com sentido.
Responder de forma guiada a todos os 93 controles. Disso resulta a Declaração de Aplicabilidade, com decisão, justificativa, status e responsável por controle.
Concluir a política, as normas internas e os procedimentos, realizar os treinamentos, carregar os comprovantes com data de validade no arquivo de evidências e associá-los aos controles.
Auditar o sistema por completo uma vez e submetê-lo à avaliação da alta direção. Ambas são obrigatórias antes da auditoria de certificação e se repetem anualmente depois.
Um auditor independente e acreditado verifica na fase 1 a documentação e na fase 2 a implementação. Ele trabalha diretamente no Sightadel e nunca pode excluir nada.
Escolha
Quase todo software de SGSI lista os 93 controles. O decisivo é o quanto ele mantém a relação entre risco, controle e evidência e quanto esforço de manutenção a operação exige.
A Declaração de Aplicabilidade deve surgir durante o trabalho, e não ser mantida como planilha separada. Verifique se ela pode ser exportada para o auditor.
Entradas iguais devem levar a resultados comparáveis. Os riscos devem estar vinculados a tratamento, responsável e medidas, e não apenas avaliados.
Um teste de restauração de 14 meses atrás já não é comprovante na auditoria de manutenção. Observe se há data de validade e lembrete antes do vencimento.
São os pontos em que os sistemas mais mostram fragilidades na auditoria. O software deve conduzi-los como compromissos recorrentes com resultado.
O auditor deve poder consultar por conta própria requisitos, respostas, comprovantes e o registro de alterações, comentar e, após aprovação, editar – sem nunca excluir nada. Isso evita envio de arquivos e perguntas de retorno.
Quando NIS2, DORA ou GDPR forem acrescentados, as evidências existentes devem continuar valendo. Pergunte se um comprovante pode ser vinculado a controles de vários frameworks.
Como o Sightadel ajuda
Os capítulos 4 a 10 e cada um dos 93 controles como pergunta guiada com opções de resposta, explicação e comentário. Disso se monta a Declaração de Aplicabilidade, exportável para o auditor.
Saiba mais →Modelos setoriais baseados em longa experiência em consultoria e certificação fornecem rascunhos da política e das normas internas. A IA faz sugestões a partir de dados que você já registrou ou importou. Você aceita, altera ou complementa.
Saiba mais →Comprovantes com versão, data de validade e lembrete antes do vencimento. Uma evidência é vinculada a todos os controles que comprova, inclusive além da ISO 27001.
Saiba mais →Lacunas da avaliação, constatações de auditorias internas e não conformidades da auditoria de certificação viram medidas com responsável e prazo.
Saiba mais →Prestadores de serviços com criticidade, questionários e evidências, com lembrete da reavaliação. Isso cobre os controles de fornecedores do Anexo A.
Saiba mais →O Security Score avalia a superfície de ataque visível externamente dos seus domínios com uma nota de 0 a 100 e lista problemas concretos. Isso fornece material para a gestão de vulnerabilidades segundo o Anexo A.
Saiba mais →Esforço e duração
Os intervalos refletem a experiência e não constituem um compromisso. O que mais pesa é o tamanho do escopo, o ponto de partida e o tempo da pessoa responsável.
O que você licencia · normalmente Professional
Um SGSI com vários envolvidos de TI, RH e compras normalmente funciona com a ISO 27001 na edição Professional. Se NIS2, GDPR ou C5 forem acrescentados, custam permanentemente menos, porque a ISO 27001 já está licenciada.
Licença por framework, prazo mínimo de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria são cobrados à parte.
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
A norma não prescreve software. Ela exige um sistema controlado e rastreável. Para escopos pequenos, isso é possível com documentos e planilhas. Um software de SGSI compensa assim que várias pessoas colaboram, as evidências vencem e as auditorias de manutenção fazem as mesmas perguntas todo ano.
O Excel guarda listas, mas não vínculos. Risco, controle, medida e evidência ficam ligados apenas por referências cruzadas, e ninguém monitora os prazos. Planilhas existentes podem ser importadas no Sightadel e mantêm assim o seu conteúdo.
O Sightadel é licenciado por framework e edição, anualmente. Os valores atuais estão na página de preços. Somam-se os custos do organismo de certificação e, se desejado, de um consultor. Você pode testar grátis por 14 dias, sem dados de pagamento.
Não. O Sightadel guia você pelos requisitos. Os consultores você escolhe na rede de parceiros no aplicativo ou traz o seu; eles trabalham com a função Consultant na sua conta. A auditoria de certificação é feita por um organismo independente e acreditado. O Sightadel não certifica e não recebe comissão.
Escopo, objetivos de segurança da informação, aceitação de riscos, a decisão sobre os controles e as funções. A norma exige essas decisões da alta direção. O Sightadel sinaliza esses pontos e registra quem decidiu e quando.
Ela surge ao percorrer os 93 controles: aplicabilidade, justificativa, status e responsável por controle. O conteúdo é decidido por você. O software o reúne e exporta para o auditor.
Sim. Você traz o seu próprio organismo de certificação ou escolhe um na rede de parceiros. O auditor recebe uma função própria sem permissão de exclusão e vê requisitos, respostas e comprovantes em conjunto.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
