Maturidade ISO 27001 e ISO 27032 · Cibersegurança
Sua segurança da informação medida nas normas ISO 27001 e 27032, traduzida em plano de ação quantificado.
12 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 12 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO 27001 e ISO 27032 · Cibersegurança
12 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO/IEC 27001:2022 e ISO/IEC 27032:2012 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 12 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação em trajetória.
A declaração de aplicabilidade reflete os controles realmente implementados?
- N1
Nenhuma declaração de aplicabilidade formalizada, ou um documento produzido uma vez e nunca mais revisto desde então.
- N2
A declaração existe e cobre os 93 controles, mas descreve o estado desejado. As lacunas em relação à implementação real não são identificadas.
- N3
Cada controle está vinculado a uma prática existente e a um responsável. As exclusões são justificadas e o documento é revisado pelo menos uma vez por ano.
- N4
A declaração é atualizada a cada mudança significativa de escopo, risco ou organização, com histórico de versões e evidências de implementação associadas.
- N5
A declaração está conectada ao plano de tratamento de riscos e aos indicadores de segurança. As lacunas constatadas em auditoria interna disparam uma revisão rastreável.
Ação para passar de N2 para N3
Confrontar cada controle do anexo A com a prática observada, nomear um responsável por controle e registrar as lacunas no plano de tratamento. Incluir a revisão da declaração de aplicabilidade na pauta da análise crítica anual pela diretoria.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 27001.
Do que trata esse referencial
A ISO 27001 exige um sistema de gestão de segurança da informação: um escopo definido, uma análise de riscos, uma declaração de aplicabilidade que justifica a inclusão ou exclusão de cada um dos 93 controles do anexo A, objetivos mensurados, auditorias internas e uma análise crítica pela diretoria. A versão 2022 reestruturou esse anexo em quatro temas, organizacional, humano, físico e tecnológico, e introduziu novos controles sobre inteligência de ameaças, segurança de serviços em nuvem e proteção de dados em desenvolvimento. A ISO 27032 não é certificável: ela descreve práticas de cibersegurança que ultrapassam o escopo da organização, coordenação entre partes interessadas, segurança de aplicações expostas, troca de informações sobre incidentes.
Essas duas normas são difíceis de gerenciar porque se prestam ao declarativo. Um SGSI pode existir no papel e não mudar nada nas práticas cotidianas. As perguntas que realmente importam são concretas: a declaração de aplicabilidade reflete os controles de fato implementados, ou o estado desejado no momento da certificação inicial? Os indicadores de segurança alimentam uma decisão, ou apenas preenchem uma planilha? Os controles do anexo A se aplicam às filiais e aos prestadores de serviço, ou apenas ao escopo histórico da matriz? A análise crítica pela diretoria produz decisões registradas, ou apenas uma ata?
A transição para a ISO/IEC 27001:2022 evidenciou uma confusão frequente: muitas organizações atualizaram sua declaração de aplicabilidade sem reexaminar as práticas subjacentes. A passagem de 114 para 93 controles é um exercício de correspondência, não uma prova de progresso. Outra confusão a desfazer: a ISO 27032 não é uma versão estendida da 27001. Ela trata de um ângulo que a 27001 cobre mal, a segurança das interações com agentes que você não controla, fornecedores, clientes, comunidades de compartilhamento de informações sobre ameaças. As duas se complementam, uma pela gestão, a outra pelo ciberespaço.
O diagnóstico de maturidade responde a uma pergunta diferente da auditoria de certificação. A auditoria conclui por conformidade ou não conformidade, em um escopo dado, em uma data dada. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação precisa que leva ao próximo nível. Uma organização certificada pode estar em um nível de maturidade modesto na gestão de terceiros ou na conscientização. Uma organização não certificada pode ser sólida na operação. A pontuação por tema torna essas lacunas visíveis antes que um auditor as aponte.
No Datamensio, o referencial ISO 27001 e 27032 está pronto para uso. Você também pode adaptá-lo: a IA ajusta os temas, as perguntas e os níveis de maturidade conforme seu setor e seu escopo, ou constrói uma versão personalizada a partir dos seus próprios documentos, política de segurança, declaração de aplicabilidade, relatórios de auditoria interna.
Norma de referência: ISO/IEC 27001:2022 e ISO/IEC 27032:2012
Os temas avaliados
Contexto, escopo e governança do SGSI
Determinação das questões internas e externas, expectativas das partes interessadas, escopo documentado e justificado, política de segurança, papéis e responsabilidades, comprometimento da diretoria.
Avaliação e tratamento de riscos
Método de avaliação, critérios de aceitação, plano de tratamento, declaração de aplicabilidade e justificativa das exclusões, validação dos riscos residuais.
Controles organizacionais
Políticas temáticas, gestão de ativos, classificação da informação, segurança nas relações com fornecedores, gestão de incidentes, continuidade, conformidade legal.
Segurança de recursos humanos
Verificação antes da contratação, cláusulas contratuais, conscientização e treinamento, processo disciplinar, gestão de desligamentos e movimentações.
Segurança física e ambiental
Perímetros e controles de acesso físico, proteção contra ameaças ambientais, segurança de equipamentos, estações de trabalho e mídias, descarte.
Controles tecnológicos
Gestão de acessos e identidades, proteção contra códigos maliciosos, registro de logs e monitoramento, gestão de vulnerabilidades técnicas, criptografia, segurança de redes e serviços em nuvem.
Segurança de desenvolvimento e aplicações
Requisitos de segurança em projetos, ambientes separados, testes, gestão de mudanças, proteção de dados usados em desenvolvimento e teste, segurança de aplicações expostas na internet.
Inteligência de ameaças e compartilhamento de informações
Fontes de inteligência utilizadas, uso operacional dos sinais, participação em iniciativas setoriais de troca de informações, coordenação com autoridades e CERTs, tema central da ISO 27032.
Segurança do ecossistema e de terceiros
Mapeamento de dependências, exigências contratuais, avaliação e acompanhamento de prestadores, segurança da cadeia de suprimentos digital, gestão de acessos remotos de terceiros.
Gestão de incidentes e continuidade
Detecção, qualificação, escalonamento, tratamento e lições aprendidas, planos de continuidade e recuperação, testes e exercícios, preparo das partes interessadas externas.
Medição de desempenho e auditoria interna
Indicadores e objetivos de segurança, programa de auditoria interna, competência dos auditores, acompanhamento das constatações, análise crítica pela diretoria e decisões registradas.
Melhoria contínua
Tratamento de não conformidades, ações corretivas, atualização do SGSI, comparação dos resultados ao longo do tempo e entre unidades.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 12 temas e undefined perguntas.
Perguntas frequentes
Esse diagnóstico concede a certificação ISO 27001?
Não. A certificação é concedida por um organismo acreditado, após uma auditoria em duas etapas. O Datamensio mede a maturidade das suas práticas, identifica as lacunas e produz o plano de ação que prepara essa auditoria. A ISO 27032, por sua vez, não é certificável: é um guia de boas práticas.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade?
A auditoria verifica a presença dos requisitos e conclui por conformidade ou não conformidade. O diagnóstico posiciona cada prática em uma escala de maturidade de cinco níveis e indica a ação que leva ao próximo nível. Uma organização certificada pode apresentar níveis muito desiguais entre os temas.
Por que avaliar a 27001 e a 27032 juntas?
A ISO 27001 organiza a segurança dentro do escopo da organização. A ISO 27032 trata do que acontece fora dele: terceiros, aplicações expostas, compartilhamento de informações sobre incidentes. Avaliá-las juntas evita o ponto cego clássico de um SGSI sólido internamente e frágil em seu ecossistema.
Quanto tempo leva a avaliação?
A versão resumida é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo com vários colaboradores, costuma se estender por uma a duas semanas. A maior parte do tempo é dedicada à coleta junto às equipes de operação, de recursos humanos e de compras.
É possível adaptar o referencial ao nosso escopo?
Sim. Você pode modificar as perguntas, os níveis, adicionar seus próprios temas ou restringir o escopo a uma unidade de negócio. A IA também pode gerar uma versão personalizada a partir da sua política de segurança e da sua declaração de aplicabilidade. O controle do referencial é seu.
Como comparar várias unidades?
Cada unidade conduz sua avaliação no mesmo referencial. O benchmark compara as pontuações por tema entre unidades de negócio e em relação a campanhas anteriores. Um roteiro transversal consolida os planos de ação de várias auditorias, o que evita financiar a mesma medida duas vezes.
É preciso ter expertise técnica para responder?
As perguntas tratam de práticas de gestão e implementação, não de configurações. Um responsável de segurança ou um auditor interno pode respondê-las. As perguntas relativas à operação ou ao desenvolvimento são direcionadas ao colaborador certo no modo colaborativo.
Onde os dados são hospedados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.