Implementação e Certificação de um SGSI ISO 27001.Parte 1 - Por onde começar

Porquê implementar?

As empresas são motivadas para a implementação e certificação por diferentes razões, que podem ser tão simples quanto a exigência de um cliente ou tão complexas como a visão estratégica de médio/longo prazo para implementar melhorias internas na organização. Outro motivo para a empresa se certificar pode ser a diferenciação, em particular no caso da norma ISO 27001 ainda com poucas empresas certificadas em sistemas de gestão de segurança da informação.

Benefícios

A implementação de um sistema de gestão faz com que gestores e colaboradores persigam objetivos organizacionais comuns dentro de um prazo pré-determinado, permite que um conjunto de boas práticas sejam implementadas e os mecanismos existentes sejam repensados e melhorados. O sistema implementado pode ser certificado, ou não, mas a certificação reforça a confiança externa e melhora a reputação da empresa porque se baseia em normas reconhecidas internacionalmente.

Um sistema de gestão de segurança da informação implementado e certificado de acordo com a norma ISO 27001 está focado na preservação da confidencialidade, integridade e disponibilidade da informação. Para que a confidencialidade, a integridade e disponibilidade da informação sejam mantidas são aplicados controlos previstos na norma ISO 27001, que mitigam os riscos de segurança da informação, de que é exemplo o plano de continuidade. Também os requisitos legais são considerados na implementação do sistema de gestão, auxiliando no objetivo de evitar incumprimentos e multas.

Custos

Existem custos internos e externos, os internos correspondem ao tempo gasto pelos colaboradores na formalização dos processos e na implementação das novas práticas. Os custos externos estão relacionados com a contratação de serviços de consultoria e formação, para apoio na implementação do sistema de gestão e com a contratação de serviços de certificação a um organismo de certificação, acreditado para a ISO 27001.

Podem também existir custos em aplicações informáticas ou equipamentos a adquirir que podem ser muito reduzidos ou avultados, dependendo de cada caso. Neste ponto deve ser pedida ajuda a um profissional experiente, contratando um consultor, que não seja representante, distribuidor ou fabricante destes equipamentos ou aplicações, que podem ser por exemplo aplicações de controlo de acessos e monitorização dos sistemas de TI.