ISO 27001:2022: Fundamentos e objetivos

‍

A norma ISO 27001:2022 fornece uma estrutura abrangente para garantir a segurança da informação em uma organização. Com base em uma abordagem de gerenciamento de riscos, busca identificar, avaliar e tratar os riscos de segurança da informação de forma sistemática e proativa. Seus principais objetivos incluem estabelecer políticas e procedimentos, identificar e avaliar riscos, implementar controles de segurança apropriados e monitorar e melhorar continuamente o sistema de gerenciamento de segurança da informação.

‍

Os requisitos da ISO 27001:2022 abrangem aspectos como comprometimento da gestão, avaliação e tratamento de riscos, a definição de uma política de segurança da informação e a implementação de controles apropriados. Esse padrão é crucial para as organizações, pois permite que elas demonstrem seu compromisso com a segurança da informação, cumpram os requisitos legais e regulatórios, gerenciem riscos de forma eficaz e melhorem continuamente sua postura de segurança.

‍

A ISO 27001:2022 é importante por vários motivos:

‍

• Confiança do cliente: a obtenção da certificação ISO 27001:2022 demonstra o compromisso de uma organização com a segurança da informação, aumentando a confiança dos clientes e parceiros de negócios.

‍

• Conformidade regulatória: A ISO 27001:2022 ajuda as organizações a cumprir os requisitos legais e regulatórios relacionados à segurança da informação.

‍

• Gestão de riscos: A ISO 27001:2022 fornece uma estrutura estruturada para gerenciar eficazmente os riscos de segurança da informação, ajudando a proteger os ativos críticos da organização.

‍

• Melhoria contínua: Ao adotar uma abordagem baseada em processos e melhoria contínua, a ISO 27001:2022 ajuda as organizações a fortalecer sua postura de segurança da informação ao longo do tempo.

‍

Em conclusão, a ISO 27001:2022 é uma norma reconhecida internacionalmente que estabelece os requisitos para implementar, manter e melhorar um sistema de gerenciamento de segurança da informação. A adoção desse padrão ajuda as organizações a proteger seus ativos de informação, aumentar a confiança do cliente, cumprir os requisitos legais e normativos e melhorar constantemente sua segurança em um ambiente digital focado em dados.

‍

Mas não certificamos apenas a ISO 27001:2022 — também certificamos a ISO 27017:2015 e a ISO 21018:2019!

‍

O que é 27017?

‍

O padrão ISO/IEC 27017 fornece um conjunto de diretrizes específicas para segurança da informação no contexto de serviços de computação em nuvem. Mas o que exatamente é a ISO/IEC 27017 e como ela afeta as práticas de segurança na nuvem?

‍

‍

A ISO/IEC 27017, desenvolvida pela ISO e pela IEC, se concentra em fornecer diretrizes específicas para garantir a segurança da informação na nuvem. Complementando o padrão ISO/IEC 27001, esse padrão busca fornecer uma estrutura clara para organizações que usam serviços em nuvem, abordando desafios específicos associados a essa tecnologia.

‍

Entre os principais aspectos abordados pela ISO/IEC 27017 estão a definição de responsabilidades compartilhadas entre provedores de serviços em nuvem e clientes, o gerenciamento de riscos específicos da nuvem, controle de acesso e gerenciamento de identidade, bem como segregação e virtualização de dados. Esses aspectos ajudam a garantir a proteção efetiva dos dados e a minimizar riscos, como perda de informações ou acesso não autorizado.

‍

A importância da ISO/IEC 27017 está em sua capacidade de melhorar a confiança e a transparência nos serviços em nuvem, mitigar os riscos associados ao uso dessa tecnologia e garantir a conformidade regulatória, como o GDPR na Europa. Por fim, seguindo as diretrizes desse padrão, as organizações podem fortalecer a segurança de suas operações na nuvem e aumentar a confiança dos clientes e das partes interessadas em um ambiente digital cada vez mais centrado na nuvem.

‍

O que é 27018?

‍

O padrão ISO/IEC 27018, intitulado “Tecnologia da Informação - Técnicas de Segurança - Código de Prática para a Proteção de Informações de Identificação Pessoal (PII) em serviços de computação em nuvem que atuam como processadores de dados pessoais”, fornece uma estrutura clara e detalhada para garantir a segurança e a privacidade das informações pessoais na nuvem.

‍

‍

Ele se concentra na proteção de informações de identificação pessoal (PII) na nuvem. Publicado pela ISO e pela IEC, esse padrão fornece diretrizes para provedores de serviços em nuvem sobre como processar dados pessoais com segurança, estabelecendo requisitos para obter o consentimento do usuário, definir as responsabilidades do processador de dados e estabelecer diretrizes para a transferência de dados entre jurisdições.

‍

A ISO/IEC 27018 aborda vários aspectos relacionados à proteção de dados pessoais na nuvem. Alguns dos pontos principais abordados incluem:

‍

• Consentimento do usuário: O padrão estabelece requisitos para obter o consentimento do usuário para o processamento de seus dados pessoais na nuvem. Isso inclui transparência na coleta, uso e divulgação de dados pessoais, bem como a capacidade do usuário de revogar o consentimento a qualquer momento.

‍

• Controle do processador de dados: A ISO/IEC 27018 define as responsabilidades do provedor de serviços em nuvem como processador de dados pessoais. Essas responsabilidades incluem a implementação de medidas de segurança apropriadas para proteger os dados pessoais, bem como restringir o acesso a esses dados somente ao pessoal autorizado.

‍

• Transferência de dados: o padrão estabelece diretrizes para a transferência de dados pessoais entre o cliente e o provedor de serviços em nuvem, bem como entre diferentes jurisdições. Isso inclui garantir que as transferências de dados sejam feitas de acordo com as leis e regulamentos de privacidade aplicáveis.

‍

• Direitos dos titulares de dados: A ISO/IEC 27018 reconhece os direitos dos titulares de dados pessoais, como o direito de acesso, retificação, cancelamento e oposição (direitos ARCO), e estabelece requisitos para que eles os forneçam

‍

Além disso, a ISO/IEC 27018 fornece clareza nas responsabilidades dos provedores de serviços em nuvem e dos clientes, estabelecendo diretrizes sobre quem é responsável por quais aspectos da segurança de dados. Isso ajuda a evitar mal-entendidos e conflitos relacionados à segurança e privacidade dos dados, o que, por sua vez, contribui para um relacionamento mais forte entre fornecedores e clientes.

‍

Conclusão

‍

Em conclusão, a norma ISO 27001:2022 estabelece uma estrutura sólida para a segurança da informação nas organizações, com foco no gerenciamento de riscos de forma sistemática e proativa. Ao adotar esse padrão, as organizações podem não apenas proteger seus ativos de informação, mas também melhorar continuamente sua postura de segurança, aumentar a confiança do cliente e cumprir os requisitos legais e normativos em um ambiente digital cada vez mais centrado em dados. Além disso, a ISO/IEC 27017 e a ISO/IEC 27018 complementam a ISO 27001:2022 fornecendo diretrizes específicas para a segurança das informações na nuvem e a proteção de informações de identificação pessoal (PII), respectivamente.