Como trabalhar com um rascunho
Um modelo é um ponto de partida, não um resultado. Leia primeiro o rascunho completo antes de alterar frases isoladas. Assim percebe se a estrutura e a extensão se adequam à sua empresa. Uma empresa com quarenta colaboradores não precisa de uma política que descreva três comités e cinco níveis de aprovação.
Depois, avance secção a secção. Elimine o que não existe na sua empresa e acrescente o que falta. Onde tiver apenas apontamentos, por exemplo de uma conversa com a equipa de TI, deixe a IA ajudar na redação. Verifique cada sugestão quanto à sua exatidão. Uma formulação bem soante que não é praticada é um risco na auditoria.
Trate os pontos assinalados no fim e de forma consciente. Aí encontra perguntas orientadoras que ajudam na decisão. Envolva as pessoas que efetivamente decidem, normalmente a administração. Registe quando e por quem foi tomada a decisão.
No fim, aprove o documento e associe-o como evidência aos controlos correspondentes. A partir daí, passa a valer como regra, e a data de validade lembra a próxima revisão.
O que torna um documento pronto para auditoria
Os auditores não leem as políticas pelo estilo, mas pela substância. Verificam se o documento se adequa à sua organização, se está aprovado e se é praticado. Algumas características ajudam nisso.
Cada documento precisa de uma finalidade e de um âmbito claros, de uma área responsável, de uma data de aprovação e de uma indicação de versão. Os termos devem ser usados como no resto da sua documentação. Se a política fala do responsável pela segurança da informação e a descrição de funções fala do responsável pela segurança de TI, o auditor vai perguntar.
As regras devem ser verificáveis. «As palavras-passe devem ser seguras» não pode ser verificado. Uma regra sobre comprimento mínimo, autenticação multifator e tratamento de palavras-passe comprometidas, sim. Ao mesmo tempo, um documento não deve prometer nada que não cumpra. Quem estabelece uma revisão trimestral tem de conseguir apresentar quatro atas por ano.
Por fim, conta a ligação à prática. Na auditoria, uma política é quase sempre analisada em conjunto com uma prova: comprovativo de formação, ata, captura de ecrã. Associe, por isso, a política e as evidências ao mesmo controlo.
Porque é que certos pontos ficam em aberto
As normas de sistemas de gestão exigem decisões que só a própria organização pode tomar. Entre elas estão os objetivos, os critérios de aceitação de riscos, a atribuição de responsabilidades e o âmbito. Estas decisões são o núcleo do sistema. Se forem copiadas de um modelo, falta a base para tudo o resto.
Na auditoria, isso nota-se depressa. O auditor pergunta à administração porque é que um objetivo foi escolhido assim ou a partir de que limiar um risco é aceite. Se o documento contiver uma formulação que ninguém na empresa sabe explicar, isso é uma constatação. Por isso, a IA não preenche deliberadamente estes pontos.
Em vez disso, estão assinalados e acompanhados de perguntas orientadoras. As perguntas ajudam a preparar a decisão: que ativos são decisivos para o negócio? Que tempo de indisponibilidade é aceitável? Quem pode aceitar um risco residual? Se a resposta for difícil, não é um defeito do modelo, mas exatamente o ponto em que a consultoria real ajuda. No Sightadel, os consultores podem ser contratados como pacote, e os seus próprios consultores externos podem ser convidados para a conta com uma função própria.
Erros frequentes com modelos
O erro mais frequente é aprovar um modelo sem alterações. Pode estar bem redigido, mas, em caso de dúvida, descreve processos que não existem na sua empresa. O auditor encontra a lacuna o mais tardar na segunda fase, quando pergunta pelo processo efetivamente praticado.
Um segundo erro é a regulamentação excessiva. Os modelos contêm muitas vezes mais do que uma pequena empresa precisa. Cada regra adicional é mais uma obrigação que tem de comprovar. Poucas regras, mas cumpridas, são melhores do que uma obra extensa que ninguém lê.
Em terceiro lugar, os documentos são escritos e esquecidos. Uma política deve ser revista pelo menos anualmente e sempre que a organização, os sistemas ou os requisitos mudem. Defina uma data de validade na evidência e o Sightadel lembra-o atempadamente.
Em quarto lugar, os textos das normas não pertencem aos seus documentos. As normas ISO estão protegidas por direitos de autor. Descreva o que faz, em vez de copiar a norma. É exatamente isso que o auditor quer ver.
