Maturidade ISO/IEC 27000 · Sistemas de gestão da segurança da informação (SMSI)
Seu sistema de gestão da segurança da informação, situado na família ISO 27000 e traduzido em plano de ação.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO/IEC 27000 · Sistemas de gestão da segurança da informação (SMSI)
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO/IEC 27000:2018 (família ISO/IEC 27000) iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que conecta os dois) que transforma uma constatação em trajetória.
A declaração de aplicabilidade está atualizada e coerente com os controles realmente implementados?
- N1
Nenhuma declaração de aplicabilidade utilizável. Os controles implementados não estão vinculados a uma lista de referência.
- N2
Uma declaração existe, estabelecida durante o processo inicial. Ela não foi revisada desde então e várias menções não correspondem mais à realidade.
- N3
A declaração é revisada periodicamente, cada controle adotado ou excluído tem uma justificativa e um responsável identificado.
- N4
As revisões são sistemáticas, alimentadas pela avaliação de riscos e pelas auditorias internas. As lacunas identificadas geram uma ação registrada.
- N5
A declaração é atualizada a cada mudança no escopo ou no contexto de risco, com histórico de versões e dos motivos de revisão.
Ação para passar de N2 para N3
Revisar a declaração de aplicabilidade controle por controle com os responsáveis envolvidos, registrar para cada um uma justificativa e um responsável, e vincular sua revisão à análise crítica semestral pela direção.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 27000.
Do que trata esse referencial
ISO/IEC 27000 é a norma de entrada da família dedicada à segurança da informação. Ela define os termos e os princípios compartilhados pela ISO 27001 para os requisitos, ISO 27002 para os controles, ISO 27005 para os riscos e os textos setoriais associados. Ela descreve o que é um SMSI: um escopo definido, uma política conduzida pela alta direção, uma avaliação de riscos, um conjunto de controles selecionados e justificados, evidências de funcionamento, análises críticas e melhoria contínua. Ela não é auditada por si só, ela fornece o referencial de leitura do conjunto.
Na prática, um SMSI dificilmente é gerenciado de forma simples porque ele atravessa toda a organização. O escopo declarado ainda corresponde às atividades reais, depois das reorganizações e dos novos serviços digitais? A declaração de aplicabilidade reflete controles efetivamente implementados, ou intenções herdadas do processo de certificação inicial? As análises críticas pela direção geram decisões registradas, ou apenas uma ata de reunião? Essas perguntas raramente têm resposta no mesmo lugar, e ninguém detém a resposta completa.
Uma confusão frequente merece ser esclarecida: a família ISO 27000 não é um empilhamento de normas concorrentes. ISO 27000 fornece o vocabulário, ISO 27001 traz os requisitos certificáveis, ISO 27002 propõe o catálogo de controles reorganizado em quatro temas desde a versão 2022, ISO 27005 trata da avaliação de riscos. Um SMSI maduro sabe dizer qual norma serve para quê em seu dispositivo. Muitas organizações usam o vocabulário da ISO 27000 sem ter alinhado esses blocos entre si.
O diagnóstico de maturidade responde a uma pergunta diferente da auditoria de conformidade. A auditoria conclui por uma lacuna, uma não conformidade menor ou maior, ou uma conformidade. O diagnóstico situa cada prática em uma escala progressiva e indica a ação que permite avançar para o nível seguinte. Ele não emite nenhuma certificação: ele mede o estado real do dispositivo e prepara a auditoria, mostrando onde o SMSI vai se sustentar e onde não vai.
No Datamensio, o referencial está pronto para uso e permanece adaptável. A IA ajusta os temas, reformula as perguntas e refina os níveis de acordo com o método CMMI, ou constrói uma versão personalizada a partir de seus próprios documentos: política de segurança, declaração de aplicabilidade, atas de análise crítica.
Norma de referência: ISO/IEC 27000:2018 (família ISO/IEC 27000)
Os temas avaliados
Contexto e escopo do SMSI
Definição do escopo de aplicação, atividades e unidades cobertas, interfaces e dependências, identificação das partes interessadas e de seus requisitos.
Liderança e política
Comprometimento da alta direção, política de segurança da informação formalizada e divulgada, papéis e responsabilidades atribuídos, recursos alocados.
Avaliação e tratamento de riscos
Metodologia de avaliação, critérios de avaliação e aceitação, plano de tratamento, declaração de aplicabilidade e justificativa dos controles adotados ou excluídos.
Controles organizacionais
Gestão de ativos, classificação da informação, gestão de acessos, relações com fornecedores, requisitos contratuais e cláusulas de segurança.
Segurança de pessoas
Verificações antes da contratação, conscientização e treinamento, termos de confidencialidade, procedimentos de desligamento e mobilidade, trabalho remoto.
Segurança física e ambiental
Áreas seguras, controle de acessos físicos, proteção de equipamentos, gestão de mídias e descarte.
Controles tecnológicos
Hardening de configurações, registro de logs e monitoramento, gestão de vulnerabilidades e correções, criptografia, backups, segurança no desenvolvimento.
Gestão de incidentes e continuidade
Detecção e qualificação, procedimentos de resposta, notificação às partes envolvidas, lições aprendidas, continuidade de negócios e testes associados.
Documentação e evidências
Controle de informações documentadas, gestão de versões, retenção de registros, rastreabilidade das decisões de segurança.
Monitoramento, análise crítica e melhoria
Indicadores de desempenho, auditorias internas, análises críticas pela direção, tratamento de não conformidades, ações corretivas e acompanhamento ao longo do tempo.
Uma versão curta do referencial, com 27 perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
A ISO 27000 é certificável?
Não. A ISO/IEC 27000 fornece o vocabulário e os princípios da família. A certificação se aplica à ISO/IEC 27001, para a qual a ISO 27000 fornece o referencial de leitura. O diagnóstico mede a maturidade de seu SMSI e prepara a auditoria, mas não emite nenhum atestado.
Qual a diferença entre este diagnóstico e uma auditoria de conformidade?
A auditoria verifica a presença de requisitos e conclui por uma conformidade ou uma lacuna. O diagnóstico situa cada prática em uma escala de maturidade e indica a ação que permite progredir. Os dois se complementam: o diagnóstico prepara, a auditoria valida.
Quanto tempo leva a avaliação?
A versão curta é preenchida em uma única sessão de trabalho. A versão completa, em modo colaborativo com vários participantes, se estende por uma a duas semanas, sendo a maior parte do tempo dedicada à coleta de informações junto às equipes envolvidas.
É preciso já ser certificado para usar este referencial?
Não. Ele é voltado tanto para organizações que estão construindo seu SMSI quanto para aquelas já certificadas que querem avaliar objetivamente seu nível real entre duas auditorias, ou ampliar seu escopo.
É possível adaptar o referencial à nossa organização?
Sim. Você pode modificar as perguntas, os níveis e os temas, ou partir de uma base em branco. A IA também pode construir uma versão personalizada a partir de sua política de segurança e de sua declaração de aplicabilidade. O controle do referencial é seu.
Como comparar várias entidades?
Cada unidade de negócio passa pelo mesmo diagnóstico. As pontuações por tema se comparam entre entidades e com avaliações anteriores. Um roteiro transversal consolida as auditorias e agrupa as ações comuns.
Como esse diagnóstico se articula com a NIS 2 ou a DORA?
Esses textos se baseiam em grande parte nos mesmos princípios de gestão da segurança. Um SMSI avaliado constitui uma base reaproveitável. O roteiro transversal permite cruzar os referenciais sem duplicar as ações.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.