Checklist ISO 27001:2022 requisito a requisito, com as evidências que o auditor pede

Como usar esta checklist

Para cada ponto, classifique a situação em três níveis: existe e tem evidência, existe parcialmente ou não existe. Não marque como cumprido um requisito só porque há um documento. O auditor de certificação procura coerência entre o que está escrito, o que as pessoas dizem nas entrevistas e o que os registos mostram.

Lembre-se de que as cláusulas 4 a 10 são todas obrigatórias. A versão de 2022 trouxe poucas mudanças nas cláusulas, mas algumas são relevantes: a nova cláusula 6.3 sobre planeamento de alterações, a exigência de definir processos e as suas interações em 4.4 e a troca de ordem entre 10.1 e 10.2. Em 2024 foi publicada uma alteração que pede para considerar se as alterações climáticas são uma questão relevante no contexto da organização.

Cláusula 4: contexto da organização

Esta cláusula define o ponto de partida do sistema. Verifique os seguintes requisitos e as respetivas evidências:

• 4.1 Questões internas e externas identificadas, incluindo a questão climática introduzida pela alteração de 2024. Evidência: análise de contexto datada e revista.
• 4.2 Partes interessadas, os seus requisitos e quais deles serão tratados pelo SGSI. Evidência: lista de partes interessadas com requisitos legais, contratuais e regulamentares.
• 4.3 Âmbito do SGSI documentado, com interfaces e dependências. Evidência: declaração de âmbito aprovada, coerente com o que constará no certificado.
• 4.4 SGSI estabelecido, incluindo os processos necessários e as suas interações. Evidência: mapa de processos ou descrição do sistema.

Cláusula 5: liderança

O auditor vai entrevistar a gestão de topo. Respostas vagas sobre segurança da informação são um sinal de alerta imediato.

• 5.1 Liderança e compromisso: a gestão garante recursos, integra o SGSI nos processos de negócio e promove a melhoria. Evidência: atas, aprovação de orçamento, comunicações internas.
• 5.2 Política de segurança da informação adequada ao propósito, com objetivos ou enquadramento para os definir e compromisso de melhoria. Evidência: política aprovada, comunicada e disponível.
• 5.3 Papéis, responsabilidades e autoridades atribuídos e comunicados, incluindo quem reporta o desempenho do SGSI à gestão. Evidência: nomeações formais, descrições de funções, organigrama.

Cláusula 6: planeamento

É a cláusula onde se concentram as não conformidades mais graves, porque a avaliação de riscos sustenta todo o sistema.

• 6.1.1 Riscos e oportunidades do próprio SGSI considerados. Evidência: registo de riscos e oportunidades do sistema.
• 6.1.2 Processo de avaliação de riscos de segurança da informação com critérios de aceitação definidos, resultados consistentes e comparáveis e responsáveis pelos riscos identificados. Evidência: metodologia documentada e relatório de avaliação.
• 6.1.3 Tratamento de riscos: seleção de controlos, comparação com o Anexo A, Declaração de Aplicabilidade e plano de tratamento aprovado pelos responsáveis pelos riscos, incluindo a aceitação dos riscos residuais.
• 6.2 Objetivos de segurança da informação mensuráveis, monitorizados e com planos para os atingir. Evidência: lista de objetivos com indicadores, responsáveis e prazos.
• 6.3 Planeamento de alterações: mudanças no SGSI feitas de forma planeada. Evidência: registos de gestão de alterações que afetam o sistema.

Cláusula 7: suporte

Aqui verifica-se se o sistema tem meios, pessoas competentes e documentação controlada.

• 7.1 Recursos necessários determinados e disponibilizados. Evidência: orçamento, tempo atribuído, ferramentas.
• 7.2 Competência das pessoas com funções no SGSI. Evidência: requisitos de competência, certificados, registos de formação.
• 7.3 Consciencialização dos colaboradores sobre a política, o seu contributo e as consequências do incumprimento. Evidência: plano de sensibilização, presenças, resultados de testes de phishing.
• 7.4 Comunicação interna e externa definida: o quê, quando, a quem e como.
• 7.5 Informação documentada criada, atualizada e controlada, com versões, aprovação, distribuição e retenção. Evidência: lista de documentos controlados e histórico de versões.

Cláusula 8: operação

A cláusula 8 confirma que o planeado está a ser executado, e o auditor vai cruzá-la com a cláusula 6.

• 8.1 Planeamento e controlo operacional, incluindo critérios para os processos e controlo de processos, produtos ou serviços fornecidos externamente.
• 8.2 Avaliações de riscos realizadas em intervalos planeados e quando ocorrem alterações significativas. Evidência: avaliações datadas, incluindo a mais recente.
• 8.3 Plano de tratamento de riscos implementado. Evidência: estado das ações, com datas de conclusão e responsáveis.

Cláusulas 9 e 10: avaliação do desempenho e melhoria

Sem estas cláusulas não há certificação. É obrigatório ter pelo menos um ciclo completo de auditoria interna e de revisão pela gestão antes da auditoria externa.

• 9.1 Monitorização, medição, análise e avaliação: o que se mede, como, quando e quem analisa. Evidência: relatórios de indicadores.
• 9.2 Auditoria interna com programa, critérios, âmbito e auditores imparciais. Evidência: programa de auditoria, relatórios e seguimento das constatações.
• 9.3 Revisão pela gestão que considere todas as entradas exigidas, incluindo alterações nas necessidades das partes interessadas, e produza decisões. Evidência: ata com entradas e saídas.
• 10.1 Melhoria contínua da adequação e eficácia do SGSI. Evidência: ações de melhoria registadas.
• 10.2 Não conformidades e ações corretivas, com análise de causas e verificação da eficácia. Evidência: registo de não conformidades.

Anexo A e Declaração de Aplicabilidade: verificação rápida

O Anexo A da versão de 2022 tem 93 controlos em quatro temas: 37 organizacionais, 8 de pessoas, 14 físicos e 34 tecnológicos. Entre os controlos introduzidos em 2022 encontram-se informações sobre ameaças, segurança da informação na utilização de serviços cloud, preparação das TIC para a continuidade do negócio, monitorização da segurança física, gestão da configuração, eliminação de informação, mascaramento de dados, prevenção de fuga de dados, atividades de monitorização, filtragem web e codificação segura.

Na Declaração de Aplicabilidade, confirme que cada um dos 93 controlos aparece com indicação de inclusão ou exclusão, justificação, estado de implementação e ligação ao risco ou requisito que o motiva. As falhas mais comuns são exclusões sem justificação, controlos marcados como implementados sem prova e uma declaração que não coincide com o plano de tratamento de riscos. Uma autoavaliação gratuita no baltum.ai mostra rapidamente em que cláusulas e controlos estão as suas maiores lacunas.

Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.