Segurança da informação nas PME do Minho: o que muda com a ISO/IEC 27001

.

Muitas empresas do Alto Minho exportam para Espanha e para o resto da Europa, trabalham com grandes clientes industriais ou prestam serviços digitais. Em todos estes casos chega um momento em que o cliente envia um questionário de segurança e pergunta se a empresa tem a ISO/IEC 27001. Para uma PME, a pergunta pode parecer desproporcionada, mas a norma é mais acessível do que parece.

O que é a ISO/IEC 27001

É a norma internacional para sistemas de gestão de segurança da informação. Não obriga a comprar equipamento caro. Exige que a empresa identifique os riscos para a sua informação e a dos clientes, escolha medidas proporcionais e mostre que essas medidas funcionam. A versão em vigor é de 2022 e inclui 93 controlos organizados em quatro temas: organizacionais, pessoas, físicos e tecnológicos.

Porque interessa às PME

• Responde de uma vez aos questionários de segurança dos clientes.
• Ajuda em concursos públicos e privados onde a segurança é critério.
• Prepara a empresa para exigências como a NIS2, que chega também aos fornecedores das entidades abrangidas.
• Reduz a dependência de uma ou duas pessoas que sabem tudo sobre os sistemas.

Como funciona a certificação

Depois de implementar o sistema e fazer uma auditoria interna, a empresa é auditada por um organismo de certificação acreditado, em duas fases: análise da documentação e verificação no terreno. O certificado é válido por três anos, com auditorias de acompanhamento anuais.

Os erros mais comuns

Quem faz o quê

A empresa implementa o sistema, muitas vezes com apoio de consultores. A certificação é sempre feita por um organismo independente acreditado, que não pode ter participado na preparação. Esta separação é o que dá valor ao certificado perante os clientes.

O primeiro passo

Definir o âmbito: que processos, serviços e instalações entram no sistema. Depois fazer o inventário dos ativos de informação, a avaliação de riscos e escolher os controlos. A Declaração de Aplicabilidade mostra que controlos foram escolhidos e porquê.

Para uma PME, o investimento mais útil é a formação das pessoas. A maioria dos incidentes começa num email de phishing ou numa palavra-passe partilhada, e regras simples conhecidas por todos reduzem esse risco de imediato.

Copiar políticas de modelos genéricos que ninguém segue, definir um âmbito demasiado largo logo no início e esquecer os fornecedores com acesso aos sistemas. Um âmbito bem escolhido e poucas regras, mas cumpridas, valem mais do que um dossier volumoso. Para conhecer as etapas e os documentos obrigatórios, veja a página sobre certificação ISO/IEC 27001 em Portugal.