SegInfocast #66 – Faça o download aqui. (24:43 min, 17,8 MB)
Andréa Melo, especialista na norma ISO 27001 é entrevistada por Luiz Felipe Ferreira neste episodio do SegInfocast.
Qual o principal objetivo da norma ISO 27001?
Andréa explica que a norma vai além dos controles tecnológicos e foca em sistema de gestão de segurança da informação, permitindo assim verificar a eficácia dos controles implementados e envolver a alta direção.
Quais são os principais requisitos da norma?
A entrevistada diz que a norma se divide em duas partes. A primeira, trata da gestão de segurança da informação o SGSI. A segunda (anexo A), contém os controles indicados para mitigação dos riscos.
Como é o processo de certificação da norma ISO 27001?
Nossa convidada diz que o processo varia de acordo com o tamanho e escopo da empresa, mas que o processo de certificação normalmente varia entre seis meses a um ano. Inicia-se com um Gap analysis para entender o nível de maturidade atual da empresa. Depois, elabora-se um plano de ação para implementação dos controles. Realiza-se primeiramente uma auditoria interna e após verificar (e corrigir) os gaps restantes, chama-se a auditoria externa. As manutenções são semestrais ou anuais e a certificação tem duração de três anos.
Quais são as maiores dificuldades para implementação da norma ISO 27001?
A questão cultural é o principal obstáculo para a implementação dos controles sugeridos pela norma. Uma pessoa somente é suficiente para causar um incidente de segurança da informação.
E quais são as vantagens adquiridas quando se obtêm a certificação ISO 27001?
Andréa cita que a melhoria contínua do processo de segurança da informação é a principal vantagem, sem conter a mudança da cultura corporativa, através da conscientização das pessoas sobre o tema.
Sobre a entrevistada
Desde 2005, Andréa Melo trabalha com normas de sistemas de gestão tais como as ISO 9001, 20001, 22031 e 27001, certificando, treinando e palestrando tanto no Brasil quanto no exterior. Formada em Administração de Empresas com Especialização em Gestão de Tecnologia da Informação pela FGV.