Como decorre uma avaliação na prática
Uma avaliação começa com a ativação de um framework. O Sightadel cria então todos os controlos como perguntas, organizadas pelos temas da norma. Antes de alguém responder à primeira pergunta, compensa um breve planeamento: quem é responsável pela avaliação, até quando deve estar concluída e quem contribui com respostas para que capítulos? A pessoa responsável e a data limite são indicadas diretamente na avaliação, ficando visíveis para todos os envolvidos.
Provou-se eficaz avançar capítulo a capítulo, em vez de percorrer a norma de forma dispersa. Comece pelos temas que constituem a base, como políticas, funções e responsabilidades. Muitos controlos posteriores assentam neles. Os capítulos técnicos, como controlo de acessos, operações ou fornecedores, são tratados pelas pessoas que conhecem bem essas áreas. Através das funções, colegas e consultores colaboram na mesma avaliação.
Não tem de fazer tudo de uma vez. O progresso fica guardado e um botão leva a qualquer momento ao primeiro controlo sem resposta. Para um framework extenso como a ISO 27001, conte mais com semanas do que com dias, porque muitas perguntas exigem uma decisão ou uma conversa interna. Só quando todas as perguntas de controlo estiverem respondidas é possível submeter a avaliação.
Boas respostas: concretas, comprovadas, honestas
Uma resposta na avaliação é uma afirmação sobre a sua organização que alguém vai verificar mais tarde. Por isso, deve descrever o que é efetivamente praticado, e não o que está planeado ou é desejado. Escolha as opções de resposta que se aplicam e use o campo de comentário para o contexto: que processo está em causa, quem é responsável por ele, desde quando vigora.
Cada resposta tem uma evidência. Pode ser uma política, uma ata, uma captura de ecrã de uma configuração ou um extrato de um sistema de tickets. Associe a evidência diretamente ao controlo a partir da biblioteca de evidências. Se já existir para outro framework, associe-a de novo, em vez de carregar uma cópia.
«Nenhum» é uma resposta admissível. Mostra uma lacuna, e uma lacuna dá origem a um plano de ação com responsável e prazo. Na auditoria, isto é muito melhor do que uma resposta embelezada sem prova. Quanto a «n. a.»: use-a apenas se o controlo realmente não se aplicar e justifique sempre no comentário. Uma empresa sem desenvolvimento de software próprio pode, por exemplo, excluir controlos de desenvolvimento seguro, mas tem de explicar como lida com o software adquirido.
Aquilo a que os auditores prestam atenção
Uma auditoria de certificação decorre em duas fases. Na primeira, o auditor verifica a documentação: o sistema de gestão está descrito, existem o âmbito, as funções e a Declaração de Aplicabilidade? Na segunda, verifica se o que está descrito é praticado. Fala com colaboradores, analisa registos e recolhe amostras.
Para a avaliação, isto significa que o auditor não lê as suas respostas como uma autodeclaração, mas como ponto de partida para perguntas. Escolhe um controlo e quer ver a prova, depois um segundo. Quanto melhor a resposta, o comentário e a evidência encaixarem, mais curtas serão essas conversas.
Tenha especial atenção a três pontos. Primeiro, à atualidade: uma evidência de há três anos não comprova uma situação atual. Segundo, às justificações das exclusões. Terceiro, às contradições, por exemplo quando uma resposta descreve um processo mensal, mas a evidência mostra apenas uma única data. No Sightadel, o auditor recebe uma função própria: vê respostas e evidências no seu contexto, comenta e, após a sua aprovação, cria ou edita entradas. Nunca pode apagar nada.
Armadilhas típicas
A armadilha mais frequente é tratar a avaliação como um formulário a preencher o mais depressa possível. Quem escolhe sempre a melhor opção tem no fim um bom resultado no ecrã e um problema na auditoria. O valor da avaliação está em ver as lacunas cedo, enquanto ainda há tempo para agir.
Uma segunda armadilha é a falta de responsabilidade. Uma avaliação que pertence a todos não é tratada por ninguém. Defina uma pessoa responsável, estabeleça uma data limite realista e distribua os capítulos técnicos pelas pessoas que conhecem as respetivas áreas.
Em terceiro lugar, o âmbito é muitas vezes esclarecido demasiado tarde. Se uma instalação, uma filial ou um determinado serviço estão incluídos, isso altera as respostas a muitos controlos. Esclareça este ponto antes de começar, em caso de dúvida com apoio de consultoria.
Por fim, uma avaliação submetida é um retrato de um momento. As medidas mudam, as evidências expiram, as pessoas mudam de funções. Planeie, por isso, a avaliação como tarefa recorrente, por exemplo anualmente antes da auditoria interna, e mantenha as evidências atualizadas através das datas de validade.
