O cliente exigiu ISO 27001. E agora?

O e-mail chega num dia comum. Um cliente importante, às vezes o maior da carteira, avisa que, para continuar o contrato ou fechar uma nova etapa, vai precisar que a sua empresa tenha a certificação ISO 27001 ou comprove que segue a norma. A primeira reação costuma ser de susto: sigla estranha, prazo curto, nenhuma ideia de por onde começar.

Respire. A situação é mais comum do que parece e tem solução. O que ajuda é entender o que está sendo pedido.

O que é a ISO 27001, em português simples

A ISO 27001 é uma norma internacional de gestão da segurança da informação. Ela não é uma lista de produtos para comprar nem um manual técnico para a equipe de informática. É um jeito de organizar a empresa para proteger as informações que importam: as suas, as dos clientes e as dos fornecedores.

O foco está em três coisas: a informação só pode ser acessada por quem deve (confidencialidade), precisa estar correta (integridade) e precisa estar disponível quando o negócio precisa dela (disponibilidade).

Certificação ou conformidade: qual é a exigência?

Antes de qualquer coisa, pergunte ao cliente o que exatamente ele precisa. As respostas possíveis mudam muito o esforço:

• Certificado emitido por um organismo de certificação independente, que audita a empresa.
• Declaração de que a empresa segue a norma, sem certificado.
• Resposta a um questionário de segurança, que muitas vezes pede práticas inspiradas na norma.

Muitas vezes o cliente quer, na verdade, a garantia de que seus dados estão em boas mãos. Entender isso pode evitar um projeto maior do que o necessário. Se a certificação for mesmo obrigatória, pergunte também o prazo e se o escopo pode ser limitado, por exemplo, ao serviço que você presta a esse cliente.

Defina o escopo

Nem toda a empresa precisa entrar na certificação. O escopo diz quais áreas, sistemas, unidades e processos serão cobertos. Um escopo bem definido torna o projeto menor, mais barato e mais fácil de manter. Um escopo grande demais é uma das causas mais frequentes de projetos que se arrastam.

Os passos do caminho

Embora cada empresa tenha suas particularidades, o caminho segue uma lógica:

1. Diagnóstico inicial. Comparar o que a empresa já faz com o que a norma pede. Quase sempre existe mais coisa pronta do que o dono imagina.
2. Análise de riscos. Identificar o que pode dar errado com a informação (perda, vazamento, indisponibilidade) e decidir o que tratar primeiro.
3. Políticas e controles. Escrever regras curtas e aplicáveis e implantar as medidas necessárias, como controle de acesso, cópias de segurança, gestão de fornecedores e resposta a incidentes.
4. Treinamento e rotina. Segurança que só existe no papel não passa em auditoria. A equipe precisa saber o que fazer no dia a dia.
5. Auditoria interna e análise pela direção. A norma exige que a própria empresa verifique seu funcionamento e que a diretoria avalie os resultados.
6. Auditoria de certificação. Realizada por um organismo independente, que verifica se o sistema existe e funciona.

Depois da certificação, o trabalho continua: a norma prevê melhoria contínua e auditorias periódicas de acompanhamento.

Erros que custam caro

• Comprar ferramenta antes de entender o risco. Tecnologia sem processo não resolve.
• Copiar políticas prontas. Documento genérico que ninguém segue vira problema na auditoria.
• Deixar tudo na mão de uma pessoa. O sistema precisa continuar funcionando se ela sair de férias ou da empresa.
• Esquecer a direção. A norma exige envolvimento da liderança. Sem o dono por perto, o projeto perde força.
• Deixar para a última hora. O sistema precisa operar por um tempo antes da auditoria para gerar evidências de que funciona.

E se o prazo for apertado?

Converse com o cliente. Muitos aceitam um plano de adequação com marcos claros enquanto a certificação não sai, principalmente quando percebem que a empresa está levando o assunto a sério. Mostrar um cronograma realista costuma valer mais do que prometer o impossível.

Uma exigência que pode virar vantagem

Empresas pequenas que organizam sua segurança da informação costumam ganhar mais do que o selo. Passam a saber onde estão seus dados, reduzem dependência de pessoas específicas e respondem com segurança a questionários de novos clientes, o que ajuda a fechar contratos.

Se um cliente já pediu a certificação, ou se você quer se antecipar a esse pedido, solicite um diagnóstico à Aptus. Avaliamos onde a sua empresa está, o que a exigência realmente pede e qual é o caminho mais enxuto para chegar lá.