Sistema de gestão de segurança da informação
Implementação da ISO/IEC 27001:2022
Implementamos o seu sistema de gestão de segurança da informação (SGSI) em conformidade com a ISO/IEC 27001:2022 e integramo-lo com o ENS quando este também se aplica à sua organização. Estamos certificados na ISO/IEC 27001 desde 2020.
A norma
O que é a ISO/IEC 27001
A ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação. Baseia-se na análise de riscos e na melhoria contínua: a organização decide de que controlos precisa, aplica-os, mede a sua eficácia e revê-os.
A versão em vigor, de 2022, organiza o seu Anexo A em 93 controlos organizacionais, de pessoas, físicos e tecnológicos. É uma certificação habitual em empresas tecnológicas que trabalham com dados de terceiros, e uma boa base para quem também tem de cumprir o ENS.
ENS + ISO/IEC 27001
Um único sistema para cumprir os dois referenciais
O ENS e a ISO/IEC 27001 partilham a lógica de gestão do risco. Integrados, trabalha-se com uma única análise de riscos, uma política comum e uma documentação que serve para ambas as auditorias.
| Aspeto | ENS (RD 311/2022) | ISO/IEC 27001:2022 |
|---|---|---|
| Natureza | Obrigatório para o setor público e os seus fornecedores (RD 311/2022). | Norma internacional de adoção voluntária. |
| Abordagem | Medidas de segurança determinadas pela categoria do sistema. | Sistema de gestão com controlos selecionados de acordo com a análise de riscos. |
| Medidas ou controlos | Anexo II: quadro organizativo, quadro operacional e medidas de proteção. | Anexo A: 93 controlos organizacionais, de pessoas, físicos e tecnológicos. |
| Documento-chave | Declaração de aplicabilidade. | Declaração de aplicabilidade (SoA). |
| Conformidade | Declaração (BÁSICA) ou certificação (MÉDIA e ALTA) por entidade acreditada. | Certificação por entidade acreditada. |
| Auditorias | Pelo menos de dois em dois anos. | Ciclo de três anos com auditorias anuais de acompanhamento. |
Metodologia
Fases da implementação do SGSI
-
Contexto e âmbito
Partes interessadas, requisitos legais e contratuais, e âmbito do SGSI, alinhado com o do ENS, se aplicável.
-
Liderança e política
Compromisso da gestão de topo, política de segurança, objetivos e funções.
-
Riscos e SoA
Avaliação e tratamento de riscos e declaração de aplicabilidade dos controlos do Anexo A.
-
Implementação
Controlos, procedimentos, formação e sensibilização, e registo de evidências.
-
Auditoria interna
Auditoria interna e revisão pela gestão antes da certificação.
-
Certificação
Acompanhamento nas fases 1 e 2 da auditoria da entidade certificadora.
Experiência própria
Certificados na ISO/IEC 27001 desde 2020
Obtivemos a certificação em virtude da nossa atividade diária com dados de entidades dos setores público e privado, e mantemo-la a par do ENS categoria MÉDIA. É com esse sistema que desenvolvemos o software à medida e as soluções que instalamos nos nossos clientes.
Ver as nossas certificações
Perguntas frequentes
Dúvidas sobre a ISO/IEC 27001
Se já tenho a ISO/IEC 27001, cumpro o ENS?
Não automaticamente. Grande parte do trabalho é reaproveitada (análise de riscos, política, controlos e documentação), mas o ENS tem medidas próprias consoante a categoria e o seu próprio processo de conformidade. Por isso, é conveniente implementá-los de forma integrada.
A ISO/IEC 27001 é obrigatória para trabalhar com a Administração Pública?
Não é obrigatória por lei, ao contrário do Esquema Nacional de Segurança, mas alguns cadernos de encargos exigem-na como requisito ou valorizam-na como critério de adjudicação.
O que mudou na versão de 2022 da norma?
O Anexo A passou de 114 controlos em 14 domínios para 93 controlos agrupados em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. Foram incorporados 11 controlos novos, como informações sobre ameaças, segurança na utilização de serviços na nuvem, codificação segura ou prevenção de fuga de dados.
Quanto tempo dura a certificação ISO/IEC 27001?
O certificado tem um ciclo de três anos, com auditorias de acompanhamento anuais e uma auditoria de renovação no final do ciclo.
Pretende obter a certificação ISO/IEC 27001?
Propomos-lhe um plano de implementação integrado com o ENS e ajustado ao âmbito da sua organização.
