Ciclo PDCA de gestão da ISO 27001

Com a necessidade crescente de adotar medidas eficazes de cibersegurança diante de tantos ataques, as normas ISO já fazem parte da realidade das empresas. As normas ISO são padrões desenvolvidos e publicados pela Organização Internacional de Normalização (ISO), e seu objetivo principal é padronizar processos em áreas como a segurança da informação.

Entre elas, a chamada família ISO 27000 é uma das mais conhecidas. É uma série de normas com as diretrizes e os requisitos para implantar um Sistema de Gestão de Segurança da Informação (SGSI).

Dentro dessa família, a principal e a única certificável é a ISO 27001. Essa norma define os requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI.

No conteúdo da norma, os capítulos 4 a 10 podem ser lidos como um ciclo de Deming ou PDCA. São eles:

• Contexto da organização
• Liderança
• Planejamento
• Apoio
• Operação
• Avaliação de desempenho
• Melhoria

O nome PDCA vem das iniciais de Plan-Do-Check-Act (planejar, fazer, verificar e agir). A metodologia se baseia na melhoria contínua, já que nenhum processo é implantado com 100% de eficácia e precisão. As quatro palavras que dão nome ao ciclo correspondem às suas quatro fases.

Uma ressalva: a ISO 27001 de 2005 descrevia o PDCA de forma expressa como o modelo para implantar o SGSI. A partir da versão de 2013, que adota a estrutura comum a todas as normas ISO de sistemas de gestão, ele deixou de ser exigido. Os capítulos continuam se encaixando no ciclo, e por isso ele segue sendo usado para organizar a implantação.

O objetivo principal desta fase é estabelecer o Sistema de Gestão de Segurança da Informação. Nela são definidos os objetivos, procedimentos e políticas de segurança da informação, sempre com foco em melhorá-la.

Também é preciso definir o escopo do sistema de gestão e os papéis, com suas funções e responsabilidades no projeto.

Quatro capítulos da ISO 27001 fazem parte desta primeira fase de planejamento:

• Contexto da organização
• Liderança
• Planejamento
• Apoio

O capítulo de contexto define os primeiros elementos do sistema de gestão: o próprio contexto, com tudo o que cerca e afeta a organização, as partes interessadas e o escopo do sistema que será implantado.

O capítulo de liderança trata de a alta direção demonstrar liderança e comprometimento com a implantação e a manutenção do sistema de gestão. Para isso, define-se uma política de segurança, que deve ser conhecida e aplicada por todos os envolvidos, além dos papéis e responsabilidades de cada um.

No planejamento, o capítulo seguinte da norma, define-se como os riscos de segurança da informação são avaliados e tratados (6.1), incluindo o plano de tratamento e a Declaração de Aplicabilidade. Também são fixados os objetivos de segurança da informação (6.2), que devem ser coerentes com a política de segurança, mensuráveis, comunicados e atualizados, como diz a própria norma. A versão de 2022 acrescenta o planejamento de mudanças no SGSI (6.3).

Por fim, esta fase também inclui tudo o que se refere ao apoio. Aqui há vários pontos a considerar. De um lado, determinar os recursos indispensáveis para implantar o sistema de gestão e garantir que eles estejam disponíveis. De outro, assegurar a competência e a conscientização, com ações de capacitação em segurança. Também é preciso prever procedimentos para uma boa comunicação na empresa. Para fechar, a organização deve cuidar da gestão da documentação do sistema.

Nesta fase, o SGSI definido é colocado em prática. Os procedimentos estabelecidos na fase anterior são executados e são implantados os controles e as operações necessários para gerenciar as informações da organização de forma segura e eficaz.

Na ISO 27001, esta fase corresponde ao capítulo 8, Operação. Como dito, é aqui que o sistema de gestão definido entra em funcionamento.

Os pontos de destaque são as avaliações de riscos em intervalos planejados (8.2) e a execução do plano de tratamento de riscos (8.3). O inventário de ativos, que costuma ser o ponto de partida da análise, é um dos controles do Anexo A (5.9).

Nesta fase, a letra “C” do ciclo PDCA, avalia-se e revisa-se a eficácia do Sistema de Gestão de Segurança da Informação planejado e implantado nas fases anteriores. Verifica-se, por exemplo, se a política de segurança, os objetivos e os procedimentos implantados estão sendo cumpridos.

Essas avaliações e revisões devem ser feitas periodicamente, para garantir que os procedimentos e as ações adotados para estabelecer e implementar o SGSI estão bem implantados e funcionando.

Esta fase do ciclo de Deming equivale ao capítulo 9 da ISO 27001, chamado Avaliação de desempenho. Nele, determina-se o que precisa ser monitorado e medido e quais métodos garantem resultados válidos. Para o monitoramento, medição, análise e avaliação do SGSI, a organização deve se apoiar em dados maduros o suficiente para gerar valores de referência adequados.

Para isso, são definidas métricas e indicadores para medir a eficácia do SGSI. Também são criados procedimentos para a auditoria interna e a análise crítica pela direção, realizadas antes da auditoria externa de certificação.

Nesta última fase do ciclo, o SGSI é mantido e melhorado. Ou seja, são tomadas ações corretivas para melhorar os resultados e alcançar a melhoria contínua do Sistema de Gestão de Segurança da Informação.

Esta fase corresponde ao capítulo 10, Melhoria, da norma, que se divide em duas partes. Na primeira, faz-se a gestão das não conformidades detectadas no sistema, seja em auditorias internas e externas, seja por colaboradores que, no dia a dia, identifiquem falhas ou descumprimentos.

As ações preventivas deixaram de ser um requisito próprio a partir da versão de 2013: esse papel agora é cumprido pela gestão de riscos do capítulo 6.

Na segunda parte, é preciso manter um processo de melhoria contínua, ou seja, uma manutenção permanente do SGSI que busque aumentar a eficácia e a eficiência do sistema implantado pela organização.

Na GlobalSuite Solutions, temos uma área de Consultoria que pode ajudar sua empresa a implantar um SGSI baseado na ISO 27001, com mais de 10 anos de experiência nesse tipo de projeto em empresas de todos os setores.

Contamos com o software GlobalSuite®, que facilita a automação e a gestão da ISO 27001 para otimizar o seu SGSI. A versatilidade do software permite atender aos requisitos mais complexos de forma acessível e intuitiva, ajudando a obter a certificação ISO 27001 e, com isso, a melhorar a cibersegurança da empresa.