114 controlos a implementar na ISO 27001
Será mesmo assim?
Na verdade as organizações que pretendem implementar um sistema de Gestão de Segurança da Informação não têm necessariamente de implementar os 114 controlos previstos na norma, cada organização terá de analisar quais os controlos que se aplicam.
Como é feita essa análise?
Considerando aspetos como os ativos de informação a proteger pelo Sistema de Gestão da Segurança da Informação SGSI, o suporte em que é guardada, os serviços que dela dependem ou que operacionaliza e a tecnologia usada pela organização.
Um exemplo muito simples de um controlo que pode ser excluído é o teletrabalho, se a empresa não tem, então não vai implementar este controlo.
Se não se implementa todos, então porquê 114?
Os 114 controlos previstos na norma garantem que na Gestão da Segurança da Informação são tomadas medidas relevantes e abrangentes, para minorar riscos e de forma a obter garantia credível da segurança da informação.
É neste contexto que se fundamenta a Declaração de Aplicabilidade onde a organização justifica porque implementa determinados controlos, clarificando a sua abordagem.
Então a Declaração de Aplicabilidade é só uma lista de controlos aplicados?
Sim, mas é mais do que isso.
É a lista dos 114 controlos da ISO 27001 sobre os quais a organização teve de ponderar e justificar, quer a exclusão da aplicação de um determinado controlo, quer a aplicação dos que considera necessários para garantir a segurança da informação.
Para além de justificar a aplicação de controlos, também pode explicitar a profundidade dos controlos aplicados.
Sem implementar a ISO 27001 não existe Segurança da Informação?
Pode existir.
Mas a implementação da norma ISO 27001 acaba por ser uma abordagem consistente e sistematizada para a identificação dos riscos, conduzindo por isso à implementação dos controlos adequados e necessários, em qualquer organização, independentemente da sua atividade.
As organizações que procuram a segurança da informação sem a implementação da norma ISO 27001 podem ser bem sucedidas, mas frequentemente acabam a investir mais tempo e recursos em falhas inesperadas.
