O que é ISO e o que eles fazem?
ISO é uma organização voluntária, sem fins lucrativos, criada em 1949, como agência técnica das Nações Unidas, para promover a padronização internacional em uma ampla gama de indústrias. O Modelo de Referência ISO de Interconexão de Sistemas Abertos (OSI) estabelece diretrizes para arquiteturas de rede.
O que é ISO/IEC 27001?
A ISO/IEC 27001 é o padrão mais conhecido do mundo para sistemas de gerenciamento de segurança da informação (ISMS). Ela define os requisitos que um SGSI deve cumprir.
A norma ISO/IEC 27001 fornece às empresas de qualquer tamanho e de todos os setores de atividade orientação para estabelecer, implementar, manter e melhorar continuamente um sistema de gerenciamento de segurança da informação.
A conformidade com a ISO/IEC 27001 significa que uma organização ou empresa implementou um sistema para gerenciar riscos relacionados à segurança dos dados de propriedade ou tratados pela empresa, e que este sistema respeita todas as melhores práticas e princípios consagrados nesta Norma Internacional.
Porque a ISO/IEC 27001 é importante?
Com o aumento da criminalidade cibernética e o surgimento constante de novas ameaças, pode parecer difícil ou até mesmo impossível gerenciar os riscos cibernéticos. A ISO/IEC 27001 ajuda as organizações a se tornarem conscientes dos riscos e a identificarem e tratarem os pontos fracos de forma proativa.
A ISO/IEC 27001 promove uma abordagem holística para a segurança da informação: examinando pessoas, políticas e tecnologia. Um sistema de gerenciamento de segurança da informação implementado de acordo com esta norma é uma ferramenta para gerenciamento de risco, ciberresiliência e excelência operacional.
Qual benefício que o ISO/IEC poderá trazer para minha empresa?
A implementação da estrutura de segurança da informação especificada na norma ISO/IEC 27001 ajudará você a:
- Reduzir sua vulnerabilidade à crescente ameaça de ciberataques
- Responder à evolução dos riscos de segurança
- Assegurar que ativos como demonstrações financeiras,propriedade intelectual, dados de funcionários e informações confiadas por terceiros permaneçam intactos, confidenciais e disponíveis conforme necessário.
- Fornecer uma estrutura gerenciada centralmente, que assegure todas as informações em um único lugar.
- Preparar pessoas, processos e tecnologia em toda a sua organização para enfrentar riscos e outras ameaças de base tecnológica.
- Mostrar informações seguras em todas as formas, incluindo dados em papel, em nuvem e digitais.
- Economizar dinheiro aumentando a eficiência e reduzindo as despesas com tecnologias de defesa ineficazes.
Quem precisa da ISO/IEC 27001?
Atualmente, roubo de dados, crimes cibernéticos e responsabilidade por vazamentos de privacidade são riscos que todas as organizações precisam levar em conta.
Qualquer empresa precisa pensar estrategicamente sobre suas necessidades de segurança da informação, e como elas se relacionam com seus próprios objetivos, processos, tamanho e estrutura.
A norma ISO/IEC 27001 permite às organizações estabelecer um sistema de gerenciamento de segurança da informação e aplicar um processo de gerenciamento de riscos adaptado a seu tamanho e necessidades, e dimensioná-lo conforme a evolução desses fatores.
Embora a tecnologia da informação (TI) seja a indústria com o maior número de (quase um quinto de todos os certificados válidos para a ISO/IEC 27001 conforme a pesquisa ISO 2021), os benefícios desta norma convenceram empresas de todos os setores econômicos (todos os tipos de serviços e fabricação, bem como o setor primário; organizações privadas, públicas e sem fins lucrativos).
As empresas que adotam a abordagem holística descrita na ISO/IEC 27001, vão garantir que a segurança da informação seja incorporada aos processos organizacionais, sistemas de informação e controles de gestão. Elas ganham eficiência e frequentemente emergem como líderes dentro de suas indústrias.
FONTES:
ISO Standard (Outubro 2022) – ISO
What is ISO (2023) – Gartner
Douglas Bernardini
Cybersecurity Specialist & Cloud Computing Expert with +10 years experience in IT infrastructure.
Specialist delivering assets for development teams in Google Cloud Platform (GCP) and Amazon web services (AWS)
Hands-on cloud security enterprise architect, with experience in SIEM/SOC, IAM, cryptography, pentest, network topologies, operating systems, databases, and applications.
Experience in DevSecOps analysis to discover vulnerabilities in software, identifying CI/CD risks gaps and recommending secure-coding process (S-SDLC).