ISO/IEC 27001 — Sistema de Gestão de Segurança da Informação

A ISO/IEC 27001 exige definir o contexto da organização e o escopo do Sistema de Gestão de Segurança da Informação. O escopo precisa dizer quais produtos, serviços, pessoas, locais, processos, tecnologias e interfaces estão incluídos. Uma empresa de casa inteligente pode certificar a operação da plataforma cloud, o desenvolvimento do aplicativo e o suporte, deixando a fabricação de hardware terceirizada fora. Isso precisa estar claro. A certificação não se estende automaticamente ao que está fora. A organização identifica partes interessadas e requisitos legais, contratuais e regulatórios. Liderança aprova política, atribui papéis, fornece recursos e integra o SGSI aos processos. Segurança não pode ficar apenas com TI. Produto, engenharia, suporte, jurídico, compras e operações possuem responsabilidades. A política precisa ser aplicável, comunicada e revisada. Objetivos devem ser mensuráveis quando possível. Exemplos incluem reduzir tempo de correção de vulnerabilidade crítica, aumentar cobertura de MFA e testar restauração. O organograma precisa separar responsabilidades e evitar conflito. Quem desenvolve pode não aprovar sozinho a mudança crítica. Em empresas pequenas, segregação pode ser compensada por revisão independente. O escopo inclui dependências. Se AWS, Azure, Google Cloud, Twilio ou fabricante terceirizado processam dados, entram na gestão de fornecedores. A organização não transfere responsabilidade ao contratar. A documentação deve refletir a operação real. Um escopo estreito usado apenas para marketing pode ser formalmente válido, mas precisa ser interpretado. O cliente deve ler a declaração. A ISO/IEC 27001 não certifica um dispositivo individual. Ela certifica o sistema de gestão da organização no escopo. Um hub pode ter vulnerabilidade mesmo quando a empresa é certificada; o que se espera é um processo consistente para prevenir, detectar, responder e melhorar.

O SGSI precisa de processo de avaliação de riscos repetível e consistente. A organização define critérios de aceitação, impacto e probabilidade. Identifica ativos, ameaças, vulnerabilidades, consequências e proprietários. Em casa inteligente, ativos incluem credenciais, chaves de dispositivo, vídeo, áudio, presença, histórico de fechaduras, firmware, pipelines de build e infraestrutura. A perda de confidencialidade de uma câmera tem impacto diferente da indisponibilidade de uma lâmpada. O risco deve refletir. O tratamento escolhe evitar, reduzir, transferir ou aceitar. Controles são selecionados do Anexo A e de outras fontes. A Statement of Applicability documenta quais controles são aplicáveis, justificativas, status e exclusões. Não é aceitável marcar todos sem análise. A edição 2022 reorganizou os controles em temas organizacionais, de pessoas, físicos e tecnológicos, totalizando 93 controles no Anexo A. A ISO/IEC 27002 fornece orientação de implementação, mas não é um checklist obrigatório idêntico para todos. A organização pode usar NIST, CIS, IEC 62443, ETSI EN 303 645 e requisitos legais. O risco residual é aprovado por autoridade definida. A avaliação precisa ser atualizada após mudanças: nova câmera com reconhecimento, novo fornecedor, incidente, aquisição ou alteração regulatória. O método precisa evitar números falsamente precisos. Uma matriz 5×5 é comum, mas depende de critérios claros. Evidências incluem registro de riscos, planos, responsáveis e prazos. O valor está em priorizar. Um scanner pode encontrar mil vulnerabilidades; o SGSI decide quais afetam o escopo e em que prazo. A certificação verifica se o processo existe e é seguido, não se o risco chegou a zero.

A organização precisa planejar e controlar processos, manter recursos, competência, conscientização e comunicação. Pessoas com funções de segurança precisam de treinamento. Desenvolvedores precisam entender autenticação, criptografia e revisão. Suporte precisa verificar identidade antes de resetar conta. Operações precisam responder a alertas. A documentação pode ter formatos diversos, mas precisa ser controlada: versão, aprovação, acesso, retenção e descarte. Procedimentos, registros, inventários, diagramas, runbooks, evidências de backup, logs de auditoria e relatórios são exemplos. O Anexo A inclui temas como políticas, papéis, inteligência de ameaças, ativos, controle de acesso, identidade, autenticação, fornecedores, incidentes, continuidade, conformidade, segurança física, endpoint, configuração, exclusão, mascaramento, prevenção de vazamento, backup, logging, monitoramento, rede, criptografia, desenvolvimento seguro, testes e gestão de mudanças. Nem todos são aplicados da mesma maneira. O controle precisa ser proporcional ao risco. Uma plataforma de casa inteligente deve considerar chaves por dispositivo, rotação, atualização assinada, segregação de ambientes, secrets manager, MFA administrativo e logs de comandos sensíveis. Dispositivos antigos sem suporte são risco. O processo de fim de vida precisa existir. A cadeia de fornecimento de firmware e bibliotecas também. SBOM pode ser adotado. O SGSI não especifica algoritmo único. Não diz “usar AES-256 em todos os casos”. A organização escolhe tecnologia com justificativa e revisão. A operação precisa tratar exceções. Uma conta compartilhada temporária deve ter aprovação, prazo e compensação. Incidentes precisam ser identificados, classificados, respondidos e aprendidos. Exercícios e testes verificam. Backup sem restauração testada é evidência incompleta. A segurança precisa ser integrada à rotina, não mantida apenas para auditoria anual.

A ISO/IEC 27001 exige monitorar, medir, analisar e avaliar o desempenho do SGSI. A organização define o que medir, método, frequência e responsáveis. Métricas podem incluir cobertura de patch, tempo de resposta, taxa de phishing, falhas de backup, vulnerabilidades abertas e disponibilidade de controles. Métrica não deve incentivar ocultação. “Número de incidentes igual a zero” pode significar ausência de detecção. Auditorias internas verificam conformidade com requisitos próprios e da norma. Auditores precisam de objetividade. A alta direção realiza análise crítica em intervalos planejados, considerando mudanças, resultados, riscos, oportunidades e recursos. Não conformidades precisam de correção, análise de causa e ação corretiva. A melhoria é contínua. Um incidente de credencial exposta deve gerar revogação imediata, investigação, revisão do pipeline e prevenção. Corrigir apenas a chave não basta. A certificação externa é feita por organismo de certificação acreditado, com auditoria inicial e ciclos de supervisão. O certificado possui escopo, versão e validade. A organização precisa manter. Certificação não é aprovação eterna. Mudanças significativas e falhas podem afetar. A Emenda 1:2024 introduziu a necessidade de determinar se mudança climática é questão relevante no contexto e reconhecer que partes interessadas podem ter requisitos relacionados. Em SGSI de plataforma IoT, isso pode tocar continuidade, disponibilidade de data centers, energia e fornecedores, conforme contexto. Não significa adicionar um controle climático genérico. A avaliação precisa ser real. Para o cliente, a certificação é um sinal de governança, não garantia absoluta. Questionários, relatórios, testes e contratos continuam. O escopo deve ser lido.