Políticas e procedimentos de segurança Auxílio na construção de políticas e procedimentos de segurança
Análise da situação atual Conheça a fundo sua infraestrutura tecnológica
Midias sociais
Itens mais procurados
OSTEC Blog
Cultura em segurança digital
Treinamentos e conscientização Treinamento de colaboradores em segurança digital
Eventos Eventos para disseminação da cultura em segurança digital
Plataforma de aprendizagem Torne seus colaboradores Guardiões de Resultado
Conteúdos educativos
OSTEC Blog Blog posts sobre temas associados a segurança digital
E-books Materiais educativos para aprofundamento em temas associados a segurança
Webinars Eventos virtuais sobre segurança digital e privacidade de dados
Midias sociais
Aprendizado e descoberta 5min de Leitura - 27 de junho de 2022
17 passos para a certificação ISO 22301
This post is also available in: Português
Existem várias maneiras de provar que uma empresa é capaz de continuar suas atividades normais após incidentes de segurança digital. Entretanto, o modo mais confiável é obter a certificação ISO 22301 – Sistemas de gestão de continuidade de negócios. Publicado pela International Organization for Standardization (ISO), descreve como gerenciar a continuidade de negócios em uma empresa após eventos adversos – independente de ser por falha de segurança digital ou qualquer outro motivo.
Entre os vários benefícios dessa certificação, está o diferencial competitivo. Comparando com concorrentes sem essa chancela, uma empresa credenciada pela ISO 22301 terá melhor visibilidade no mercado – principalmente quando se trata de clientes que são sensíveis em manter a continuidade de suas operações e a entrega de seus produtos e serviços.
Além disso, essa ISO pode melhorar a reputação e ajudar a conquistar novos clientes, tornando mais fácil demonstrar que determinado negócio está entre os melhores do setor. Afinal, possui uma documentação que comprova isso.
Porém, implementar a continuidade de negócios não é uma tarefa fácil. Inclusive, existem 17 etapas a serem cumpridas, que são obrigatórias conforme exigido pela ISO 22301. Abaixo segue a lista de verificação que abrange os passos necessários para implementar o padrão, lembrando que existem tarefas adicionais que são necessárias para manter o sistema depois de instalado.
1) Apoio dos gestores
Para iniciar qualquer tipo de projeto dessa magnitude, os gestores da empresa precisam estar dispostos a investir em recursos humanos, financeiros e tecnológicos. Para isso, eles precisam estar cientes sobre todos os benefícios, com o intuito de conseguir o apoio necessário à certificação. Nesse contexto, é preciso envolver todos e esclarecer sobre tudo que a ISO abrange.
2) Identificação dos requisitos
Antes de tomar qualquer medida, é preciso ter certeza de que está em conformidade com tudo o que as partes interessadas desejam. Não são apenas as leis e regulamentos, mas também os requisitos nos acordos já firmados com os clientes, desejos dos proprietários da empresa, etc. Deve-se listar todos esses requisitos e definir como se comunicar com cada uma das partes interessadas.
3) Política e objetivos de continuidade de negócios
Aqui é o ponto onde é necessário definir algumas das principais responsabilidades e regras para a continuidade de negócios. É para isso que existe uma política de continuidade de negócios, mas os diretores também precisam determinar exatamente o que se espera da continuidade de negócios – definindo metas claras. É algo fundamental para quem quiser averiguar se a continuidade dos negócios cumpriu seu propósito.
4) Documentos de apoio ao sistema de gestão
Seja focado em continuidade de negócios, segurança da informação, gestão da qualidade ou proteção ambiental, os sistemas de gestão têm em comum um conjunto de procedimentos sobre os quais se baseiam. Esses envolvem controle de documentos e registros, auditoria interna e ações corretivas. Em empresas que já possuem tais ativos, será muito mais fácil executar o sistema.
5) Avaliação e tratamento de risco
Para poder enfrentar eventuais incidentes disruptivos – ou até mesmo impedi-los – é preciso descobrir quais problemas podem acontecer com mais frequência. Em seguida, é hora de definir quais controles pode-se aplicar para mitigá-los, o que remonta à essência da avaliação e tratamento de riscos.
6) Análise de impacto nos negócios
A análise não termina com a avaliação de risco, pois é preciso fazer pelo menos dois questionamentos. O primeiro é quanto à rapidez necessária para se recuperar, e o segundo trata do que é preciso para ter sucesso com essa recuperação. Portanto, o objetivo da análise de impacto nos negócios é definir o objetivo de tempo de recuperação e os recursos necessários para isso.
7) Estratégia de continuidade de negócios
O sétimo passo é o momento de buscar meios para conseguir tudo o que foi listado nas etapas anteriores com um nível mínimo de investimento, evitando gastos desnecessários que podem fazer a diferença nos estágios seguintes. Talvez seja esse o ponto mais trabalhoso, mas é aqui que se diferencia um projeto sério de um plano sem o devido detalhamento.
8) Plano de continuidade de negócios
É preciso existir, no mínimo, planos de resposta inicial a incidentes e planos de recuperação que detalham o que precisa ser feito para iniciar as atividades. Tudo isso precisa ser baseado em estratégia, para que não exista o risco de faltar recursos na hora de agir – sejam eles de tecnologia ou humanos.
9) Treinamento e conscientização
Além de ter planejamento contra eventuais incidentes, os colaboradores precisam saber como implementá-los. Portanto, é preciso ensinar os funcionários (e também os fornecedores, em alguns casos) sobre como executar determinadas etapas do plano, enfatizando o porquê tudo isso é tão importante. Tal engajamento é essencial para o sucesso na implementação da ISO.
10) Manutenção da documentação
Vários documentos podem ter um prazo de validade, ou seja, possuem a possibilidade de ficarem desatualizados. Além disso, funcionários entram e saem, processos de trabalho são alterados, novas tecnologias surgem, produtos são lançados – e tudo isso precisa estar refletido nas documentações. Sem registrar essas mudanças, ninguém será capaz de implementar os planos quando eles são mais necessários.
11) Exercício e teste
Treinamento é muito importante, mas os testes também são. O ideal então é criar situações nas quais se possa testar os planos no modo mais real possível. Quem não pôr os planos à prova para descobrir como eles se comportam em situações reais nunca descobrirá os pontos nos quais precisam melhorar. Portanto, realizar exercícios e testes regulares é de suma importância, e esses testes não devem se limitar apenas à TI – todos, incluindo a alta administração e parceiros e fornecedores terceirizados, devem ser incluídos.
12) Revisões pós-incidentes
Acidentes podem acontecer mesmo que todo preparo do mundo seja feito. Quando acontecerem, o ideal é estar a postos e aprender com eles, tirando lições para evitar que problemas semelhantes aconteçam novamente. É possível analisar pontos sobre como as pessoas reagem, o quão prontas elas estão, quais evoluções são necessárias nos planos e se o tempo de recuperação estabelecido foi cumprido.
13) Comunicação com as partes interessadas
Este passo deve ser executado em paralelo com todos os outros estágios. O motivo é que a continuidade dos negócios pode depender também de órgãos reguladores, autoridades, proprietários, funcionários, fornecedores, etc. Portanto, eles devem estar a par de tudo, sendo devidamente informados sobre os detalhes que lhes dizem respeito.
14) Medição e avaliação
A ideia aqui é saber se as metas estão sendo atingidas. No caso da continuidade de negócios, os objetivos são definidos na etapa 3, e descobrir se esses objetivos estão sendo atingidos deve ser feito por meio de algum tipo de métrica. Pode ser algo sofisticado como Balanced Scorecard, mas também pode ser tão básico quanto medir a realização do RTO durante exercícios e testes.
15) Auditoria interna
Nem sempre é possível ser totalmente objetivo ao analisar o próprio trabalho. Portanto, outras pessoas da empresa devem revisar o projeto e sugerir melhorias – é essa a função de uma auditoria interna. Embora muitas vezes seja considerada uma sobrecarga, uma auditoria interna é realmente muito útil quando se trata de enfrentar a realidade e integrar equipes.
16) Ações corretivas
A ISO 22301 leva a melhorias diárias que acabam sendo feitas sistematicamente. É o que conduz uma empresa a descobrir porque determinado problema aconteceu, garantindo que nunca aconteça novamente. O próprio texto da ISO fala sobre “garantir que as não conformidades não se repitam”. É algo que precisa ser feito de forma sistemática e transparente.
17) Revisão
Assim que todas essas etapas forem executadas, a alta administração precisa avaliá-las e tomar algumas decisões cruciais – como atualizar os objetivos, liberar verbas, fazer melhorias adicionais, entre outros. Afinal, é deles a responsabilidade final sobre a capacidade que a empresa tem de sobreviver a incidentes maiores.
This post is also available in: Português
Compartilhe:
Fast Shop sofre tentativa de acesso não autorizado e fica fora do ar
Postagem anterior
Hermit, o spyware que ataca Android e iOS
Próxima postagem
Pesquisar
Categorias em Destaque
Acesso remoto
Certificações de segurança
E-mails
Educação Digital
Geral
LGPD
Padronização de segurança
Perímetro
Virtualização
+ Acessados da semana
Trabalho remoto não é para todos
19 de março de 2020 Ler a notícia
O que faz um DPO?
19 de maio de 2021 Ler a notícia
Apple lança atualizações de emergência
25 de agosto de 2022 Ler a notícia
Últimos Eventos & novidades
Materiais para download
Diagnósticos Diagnóstico Lei Geral de Proteção de Dados
Diagnóstico que avalia a nível de conformidade com a Lei Geral de Proteção de Dados
Fazer diagnóstico
Ebooks 5 Dicas para evitar sequestro de dados
Nossas 5 dicas fundamentais para evitar sequestro de dados
Baixar eBook
Ebooks 10 dicas essenciais para aquisição de firewalls
Conheça os principais tópicos a serem considerados na aquisição de um firewall.
Baixar eBook
Ebooks Guia Lei Geral de Proteção de Dados
Documento completo para ambientalização à Lei Geral de Proteção de Dados
Baixar eBook
Cadastre-se em nossa newsletter
Cadastre-se em nossa newsletter e receba nossos últimos conteúdos associados a segurança digital e tecnologia.
Cadastrar newsletter
Nosso endereço Rua Coronel Cabral, 158, Centro - Tubarão - SC CEP 88701-050 48 3052-8500
EMPRESA
Quem somos
Produtos
NGFW
UTM
Mail Security
Mail Suite
Serviços
LGPD
Pentest
Análise da situação atual
ISO 27001
Conteúdo
Blog
Materiais
Contato
Fale conosco
Programas
OSTEC - 2020. Todos os direitos reservados.
Política de privacidade
Utilizamos cookies para personalizar conteúdo e anúncios, fornecer funcionalidades de redes sociais e analisar o nosso tráfego. Também partilhamos informações acerca da sua utilização do site com os nossos parceiros de redes sociais, de publicidade e de análise, que podem ser combinadas com outras informações fornecidas por você ou recolhidas a partir do uso dos respectivos serviços.Eu aceitoNão aceitoPolítica de privacidade
Você pode revogar o seu consentimento a qualquer momento utilizando o botão para revogação.Revogar consentimento