Sistemas de Gestão de Segurança da Informação (ISMS)

Um sistema de gestão de segurança da informação, ou ISMS (também chamado de SGSI), é o conjunto de políticas, processos, papéis e controles pelo qual a organização decide quais informações precisam de proteção, contra o quê e de que forma, e depois verifica se essas decisões se sustentam. A palavra importante é gestão. Um ISMS não é um produto que se instala, e sim um jeito de conduzir a segurança de dados como responsabilidade contínua, com responsáveis, registros e revisões periódicas.

A referência internacional é a família ISO/IEC 27000. A ISO/IEC 27001 define os requisitos que um ISMS deve atender e é a norma pela qual as organizações são certificadas, enquanto a ISO/IEC 27002 é um catálogo de controles de segurança com orientações de implementação. O objetivo é proteger a confidencialidade, a integridade e a disponibilidade da informação em qualquer formato: arquivos, bancos de dados, papel e até conversas.

Como o ISMS é baseado em risco, duas empresas podem atender à mesma norma com conjuntos de controles bem diferentes. A norma não exige uma lista de compras fixa, e sim evidências de que os riscos foram identificados, tratados de propósito e revisados.

Um ISMS funciona como um ciclo, muitas vezes descrito pelo modelo Plan-Do-Check-Act, e não como um projeto pontual. Tudo começa por saber o que você tem: um inventário de ativos de TI atualizado e um esquema de classificação de dados em uso mostram onde os controles valem o custo. A ordem habitual do ciclo é esta:

1. 1

   Definir o escopo

   Defina quais áreas, locais, sistemas e dados o ISMS cobre e quem tem interesse nele: clientes, reguladores, funcionários.

2. 2

   Avaliar e tratar o risco

   Identifique ativos e ameaças, classifique os riscos e decida se cada um será reduzido, evitado, compartilhado ou aceito. Todo risco tem um responsável e uma decisão registrada.

3. 3

   Escolher e operar controles

   Escolha controles compatíveis com os riscos, registre a escolha e seus motivos na Declaração de Aplicabilidade e coloque os controles na rotina.

4. 4

   Medir e auditar

   Acompanhe o desempenho dos controles, faça auditorias internas e análises críticas pela direção, para que a liderança veja resultados e não só políticas.

5. 5

   Melhorar

   Corrija não conformidades, aprenda com os incidentes e leve as conclusões para a próxima avaliação de riscos.

A norma pede informação documentada, mas documentos sozinhos não formam um ISMS. A maior parte dos elementos abaixo existe para mostrar que o ciclo de gestão realmente gira:

Um ISMS precisa de evidências de que os controles existem e de que as mudanças neles podem ser rastreadas. No Anexet Inventory, o cartão de uma estação de trabalho lista os programas instalados com versão e data de instalação, matéria-prima para um inventário de ativos. No console do administrador, a aba Journal registra quem alterou qual perfil ou regra, e quando.

1 / 2

• 
• 

Uma surpresa comum para quem implanta pela primeira vez é como pouco do ISMS pertence à equipe de segurança. A norma espera a participação da liderança, e os donos dos riscos devem ser as pessoas que de fato respondem pelo processo de negócio. Na prática, os papéis são estes:

A ISO/IEC 27001 costuma ser confundida com o próprio ISMS. O ISMS é o que a organização opera, a norma é a régua, e a certificação é uma auditoria independente desse sistema dentro de um escopo declarado. Um certificado, portanto, diz que o sistema no escopo atende à norma. Não diz que a empresa inteira está segura nem que uma violação é impossível.

Outros referenciais convivem com ela. O NIST Cybersecurity Framework e a NIST SP 800-53 oferecem estruturas e catálogos de controles, o SOC 2 é um relatório de atestação de um auditor segundo critérios para prestadores de serviços, e leis como a LGPD e a Diretiva NIS2 da UE exigem medidas de segurança adequadas sem prescrever um ISMS. Um ISMS em funcionamento torna essa sobreposição mais barata, porque um único processo de riscos e um único conjunto de evidências atendem a vários requisitos por meio da gestão de conformidade. Ele ajuda a demonstrar diligência, mas sozinho não equivale a conformidade legal.

A maioria dos programas de ISMS emperra por razões organizacionais, não técnicas. Uma sequência típica é comprar uma ferramenta, como um sistema de DLP, antes de alguém listar o que precisa ser protegido, e escrever a papelada depois. Os padrões se repetem:

• Um escopo tão estreito que o certificado cobre pouco do que importa aos clientes
• Um registro de riscos copiado de um modelo, sem responsáveis reais
• Uma Declaração de Aplicabilidade cheia de “não aplicável” sem justificativas
• Políticas escritas uma vez, nunca lidas e nunca testadas
• Achados de auditoria encerrados no papel sem eliminar a causa

Comece pequeno e real: escolha um escopo que importe aos clientes, liste seus ativos de informação e os responsáveis, e classifique os poucos riscos que mais doeriam. Os controles vêm depois, por ordem de risco, e não na ordem do sumário da norma.

Deixe que os próprios sistemas produzam as evidências, por exemplo relatórios de segurança agendados e registros de alterações, em vez de juntar capturas de tela na semana anterior à auditoria. Um ISMS barato de manter é o que sobrevive ao segundo ano.