Governança de segurança · Cibersegurança
Implementação da ISO/IEC 27001:2022
Levamos sua organização do estado atual até um Sistema de Gestão de Segurança da Informação pronto para ser auditado e certificado.
- Norma
- ISO/IEC 27001:2022 e Anexo A
- Duração
- 8 a 14 meses conforme o escopo
- Equipe
- Senior Lead Implementer certificado
- Saída
- SGSI pronto para auditoria de certificação
O problema
Certificar a ISO 27001 deixou de ser enfeite: cada vez mais clientes corporativos e licitações exigem isso como condição para contratar. A versão 2022 reorganizou os controles do Anexo A em quatro temas e somou onze controles novos, então uma implementação baseada na edição antiga já não serve.
O que inclui
Análise de lacunas
Confronto do estado atual com cada requisito da norma e cada controle do Anexo A, com o percentual real de cumprimento por cláusula.
Escopo e contexto
Definição do escopo do SGSI, das partes interessadas e de seus requisitos, que é onde se decide quanto custará todo o resto.
Gestão de riscos
Metodologia de avaliação e tratamento, inventário de ativos, riscos valorados com donos designados e Declaração de Aplicabilidade.
Corpo documental
Política do SGSI, procedimentos obrigatórios, registros e evidências, redigidos para a sua operação e não copiados de um modelo.
Implementação de controles
Acompanhamento técnico nos controles do Anexo A que exigem trabalho real: acessos, criptografia, backup, registro, desenvolvimento seguro e fornecedores.
Conscientização e competências
Formação do pessoal e da alta direção, com a evidência que o auditor pedirá.
Auditoria interna e revisão
Execução da auditoria interna, tratamento de não conformidades e revisão pela direção antes de convocar o organismo certificador.
Acompanhamento na certificação
Preparação da etapa 1 e da etapa 2, e apoio durante a auditoria do organismo certificador.
Como trabalhamos
- 01DiagnósticoLacuna frente à norma, escopo proposto e estimativa de esforço.
- 02DesenhoMetodologia de riscos, política, papéis e plano de tratamento aprovados pela direção.
- 03ImplementaçãoImplantação de controles e geração de evidências, com acompanhamento quinzenal.
- 04VerificaçãoAuditoria interna, não conformidades e revisão pela direção.
- 05CertificaçãoAcompanhamento nas etapas 1 e 2 com o organismo certificador.
Entregáveis
| Documento | Extensão |
|---|---|
| Manual do SGSI Escopo, política, papéis e processos. | incluído |
| Declaração de Aplicabilidade Controle a controle, com justificativa. | incluído |
| Matriz de riscos Valorada, com donos e plano de tratamento. | incluído |
| Corpo documental Procedimentos e registros obrigatórios. | incluído |
| Relatório de auditoria interna Com não conformidades e ações. | incluído |
A certificação é emitida por um organismo independente, não por nós. Nosso trabalho é deixar o sistema em condições de aprovar: preparamos, acompanhamos e respondemos durante a auditoria, mas o parecer é de um terceiro acreditado, e é justamente isso que dá valor ao certificado.