Maturidade ISO 27005 · Gestão dos riscos de cibersegurança
Seus riscos cibernéticos, medidos pela ISO 27005 e convertidos em plano de ação.
8 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 8 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO 27005 · Gestão dos riscos de cibersegurança
8 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO/IEC 27005:2022 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 8 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma uma constatação em trajetória.
Os critérios de aceitação do risco estão definidos e são aplicados de maneira coerente?
- N1
Nenhum critério formalizado. As decisões de aceitação são tomadas caso a caso, sem referência comum.
- N2
Existem critérios em um documento, mas são pouco conhecidos e a aplicação varia conforme as equipes.
- N3
Os critérios estão documentados, divulgados e aplicados de modo geral. As lacunas são pontuais.
- N4
Os critérios são aplicados sistematicamente, as aceitações são rastreadas e validadas no nível hierárquico apropriado.
- N5
Os critérios são revisados periodicamente conforme a evolução do contexto e dos incidentes, com acompanhamento documentado das revisões.
Ação para passar do N2 ao N3
Divulgar os critérios de aceitação a todos os responsáveis por riscos, incorporá-los ao modelo de ficha de risco e verificar sua aplicação na revisão trimestral.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 27005.
Do que trata esse referencial
A ISO 27005 é a norma que acompanha a ISO 27001 em um ponto específico: a maneira de gerenciar os riscos. Enquanto a 27001 define os requisitos de um sistema de gestão da segurança da informação, a 27005 explica como conduzir a apreciação e o tratamento dos riscos que alimentam esse sistema. Ela não é certificável. Ela é aplicada.
É justamente isso que torna difícil pilotá-la. Uma organização pode afirmar que "segue a ISO 27005" sem que nenhum elemento permita verificar o quanto suas práticas são de fato estruturadas, repetíveis e aprimoradas ao longo do tempo. Os critérios de aceitação do risco estão formalizados ou são decididos caso a caso? A apreciação cobre todo o escopo ou apenas os sistemas que a equipe de segurança conhece bem? Os planos de tratamento são acompanhados até o fim ou param no registro?
A versão 2022 da norma deslocou o acento: menos método prescritivo, mais integração com a gestão de riscos corporativos no sentido da ISO 31000. Na prática, o risco cibernético deixa de ser um assunto de especialistas em segurança e passa a ser um componente do risco global, que precisa chegar à diretoria em uma linguagem compreensível por não técnicos. Muitas organizações adotaram o vocabulário sem terem feito essa mudança.
O diagnóstico de maturidade responde a uma pergunta diferente da do audit de conformidade. A auditoria pergunta: está conforme, sim ou não. O diagnóstico pergunta: em que nível de domínio você está e quais ações precisas levam ao nível seguinte.
No Datamensio, o referencial já vem pronto para uso. Você também pode adaptá-lo ao seu contexto: a IA ajusta os temas, as perguntas e os níveis, ou constrói uma versão sob medida a partir dos seus próprios documentos.
Norma de referência: ISO/IEC 27005:2022
Os temas avaliados
Governança e estrutura de gestão de riscos
Existência de uma política formalizada, definição de papéis e responsabilidades, articulação com a governança corporativa, alocação de recursos.
Definição do contexto e do escopo
Escopo de aplicação, critérios de apreciação, critérios de aceitação do risco, consideração das partes interessadas.
Identificação dos riscos
Inventário de ativos, identificação de ameaças e vulnerabilidades, fontes de informação mobilizadas, frequência das revisões.
Análise e avaliação
Método adotado e sua coerência, avaliação da probabilidade e do impacto, distinção entre risco inerente e residual, hierarquização.
Tratamento dos riscos
Escolha das opções de tratamento, seleção das medidas, formalização do plano, aceitação dos riscos residuais pelo nível hierárquico apropriado.
Comunicação e consulta
Apresentação dos resultados às partes interessadas, reporte à diretoria, conscientização das áreas de negócio, linguagem utilizada.
Monitoramento e revisão
Acompanhamento da evolução dos riscos, indicadores, disparo das reavaliações, integração dos incidentes e da inteligência sobre ameaças.
Melhoria contínua
Lições aprendidas, atualização do método, comparação ao longo do tempo, maturidade do próprio dispositivo.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 8 temas e undefined perguntas.
Perguntas frequentes
A ISO 27005 é certificável?
Não. É uma norma de apoio que fornece diretrizes para a gestão de riscos. A certificação recai sobre a ISO 27001, cujo dispositivo de gestão de riscos é alimentado pela 27005.
Qual a diferença entre um diagnóstico de maturidade e uma auditoria de conformidade?
A auditoria verifica a presença de requisitos e conclui por uma lacuna ou pela conformidade. O diagnóstico de maturidade posiciona suas práticas em uma escala progressiva e indica a trajetória para evoluir. Os dois são complementares: o diagnóstico prepara a auditoria, a auditoria valida.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo com vários contribuidores, costuma se estender por uma a duas semanas, sendo a maior parte do tempo dedicada à coleta junto às diferentes equipes.
É possível adaptar o referencial?
Sim. Você pode modificar as perguntas, os níveis, acrescentar seus próprios temas ou partir de uma base em branco. O controle do referencial pertence a você: é uma diferença de fundo em relação às ferramentas que impõem sua grade.
Como esse diagnóstico se articula com a NIS2 ou o DORA?
Essas regulamentações impõem exigências de gestão de riscos que se apoiam nos mesmos princípios. Um diagnóstico ISO 27005 sólido constitui uma base reaproveitável. O roteiro transversal permite cruzar os três sem duplicar as ações.
É preciso ter conhecimento técnico para responder?
As perguntas tratam das práticas de gestão, não das configurações técnicas. Um responsável por riscos ou um auditor interno consegue respondê-las. Algumas perguntas exigem a contribuição de um correspondente técnico: o modo colaborativo permite atribuir essas perguntas à pessoa certa.
Onde os dados ficam hospedados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.