.webp)
ISO27001 / NIS2
Os especialistas da Mr. Franklin podem acompanhar a sua organização na obtenção da certificação ISO 27001. Prestamos apoio na implementação da norma, na criação de um Sistema de Gestão da Segurança da Informação (SGSI / ISMS) e na realização da auditoria interna.
Além disso, apoiamos organizações abrangidas pelo Regulamento NIS2 no cumprimento das obrigações relativas à gestão de incidentes, planos de continuidade, deveres de notificação e na elaboração de uma política de segurança adequada.
O QUE É A NORMA ISO 27001?
A norma ISO 27001 é uma norma internacionalmente reconhecida no domínio da segurança da informação. A ISO 27001 descreve como uma organização pode estruturar, de forma sistemática, a segurança da informação no seio da sua empresa.
COMO DECORRE UM PROCESSO DE CERTIFICAÇÃO?
-
Definição dos objetivos
-
Plano de ação
-
Contexto – análise de riscos – declaração de aplicabilidade
-
Política de segurança da informação e implementação do SGSI / ISMS
-
-
Implementação de procedimentos e políticas
-
Formação
-
Auditoria interna e revisão pela gestão
-
Preparação da auditoria externa
PORQUE É NECESSÁRIA A CERTIFICAÇÃO ISO 27001?
Importância internacional da ISO 27001
A ISO 27001 é uma norma reconhecida a nível mundial e, atualmente, é também a norma com crescimento mais rápido. Tal deve-se, em parte, ao facto de muitas empresas (incluindo estrangeiras) exigirem esta certificação aos seus prestadores de serviços, como fornecedores de software em cloud.
Uma empresa que valorize oportunidades no estrangeiro ou que esteja a ponderar uma expansão internacional beneficia claramente da obtenção desta certificação.
Em 2022, a norma ISO 27001 foi revista, dando origem à norma ISO 27002, que constitui uma extensão da ISO 27001. Neste artigo do blog da Mr. Franklin encontrará uma explicação detalhada sobre a nova norma ISO 27002.
Reforço da imagem
A obtenção da certificação ISO 27001 permite demonstrar que a sua empresa cumpre todos os requisitos da versão mais recente das normas ISO. A certificação comprova igualmente que foram implementadas medidas adequadas para mitigar os riscos em matéria de segurança da informação. A implementação de um sistema de segurança da informação robusto e conforme com normas reconhecidas tem um impacto positivo na imagem da empresa.
QUE EMPRESAS DEVEM CUMPRIR A NIS2?
A diretiva NIS2 tem um âmbito de aplicação alargado e dirige-se a organizações que operam em setores críticos, distinguindo entre entidades essenciais e entidades importantes com base na dimensão e no setor de atividade.
Entidades essenciais
Tratam-se de grandes organizações em setores como a energia, os transportes, a banca, os cuidados de saúde e a água potável. Uma organização enquadra-se nesta categoria se tiver, pelo menos, 250 trabalhadores, um volume de negócios anual superior a 50 milhões de euros e um balanço total superior a 43 milhões de euros. Incluem-se igualmente as organizações designadas como “entidades críticas” ao abrigo da Diretiva CER.
Entidades importantes
São organizações de média dimensão em setores altamente críticos, bem como empresas de grande ou média dimensão noutros setores críticos, como os serviços postais e de correio, a gestão de resíduos e o setor alimentar. Considera-se média dimensão uma empresa com, pelo menos, 50 trabalhadores ou com um volume de negócios anual e um balanço total superiores a 10 milhões de euros.
Exceções
Algumas organizações estão abrangidas pela NIS2 independentemente da sua dimensão, como os prestadores de redes públicas de comunicações eletrónicas e os prestadores de serviços DNS.
PRINCIPAIS OBRIGAÇÕES AO ABRIGO DO REGULAMENTO NIS2
A diretiva NIS2 impõe às entidades essenciais e importantes a obrigação de reforçar a sua cibersegurança. Tal inclui a gestão de riscos, a notificação de incidentes e a segurança da cadeia de fornecimento.
Medidas de cibersegurança
As organizações devem realizar análises de risco e adotar medidas para gerir os riscos cibernéticos, incluindo a gestão de incidentes, a continuidade do negócio, a segurança da cadeia de fornecimento e ações de formação em cibersegurança. A certificação ISO 27001 é considerada uma medida adequada, embora não seja obrigatória.
Obrigação de notificação de incidentes
Os incidentes significativos devem ser notificados às autoridades competentes no prazo de 24 horas, sendo exigido um relatório mais detalhado no prazo de 72 horas.
Segurança da cadeia de fornecimento
As organizações devem avaliar e gerir os riscos de cibersegurança dos seus fornecedores, através de acordos claros e da verificação periódica das respetivas políticas de segurança.
QUAIS SÃO AS VANTAGENS DA ISO 27001?
A norma internacional ISO 27001 oferece vantagens tanto externas como internas:
Vantagens externas
A certificação ISO 27001 é cada vez mais exigida pelas empresas aos seus prestadores de serviços. Tanto em contextos B2B como B2C, espera-se uma melhoria contínua da segurança da informação, uma vez que os clientes (potenciais) pretendem evitar que informações confidenciais que disponibilizam aos prestadores de serviços sejam divulgadas indevidamente. Por esse motivo, exigem garantias adequadas de proteção.
Um certificado ISO 27001 constitui a prova objetiva e independente de que uma organização trata a segurança da informação de forma séria e estruturada. Desta forma, oferece aos clientes (potenciais) confiança quanto à proteção das informações confidenciais.
A posse de uma certificação ISO 27001 reforça não só a relação de confiança com os clientes, como também a imagem da empresa. A certificação cria igualmente oportunidades comerciais significativas, permitindo diferenciar-se da concorrência e fidelizar clientes.
Vantagens internas
A obtenção da certificação ISO 27001 representa, acima de tudo, uma importante mais-valia interna para a empresa. Proporciona uma abordagem profissional e estruturada à proteção de dados e à segurança da informação. Após a certificação, a empresa tem a garantia de que as suas medidas de proteção de dados foram reforçadas.
Além disso, com um certificado ISO 27001, a organização cumpre, em grande medida, as normas legais relevantes em matéria de segurança da informação. Por fim, reduz-se o risco de violações de dados e, consequentemente, a probabilidade de danos reputacionais.
FAQ
O que é a ISO 27001?
A ISO 27001 é a norma internacional para a segurança da informação. Ajuda as organizações a proteger de forma estruturada os seus dados contra violações de dados, ciberataques e riscos internos através da implementação de um Sistema de Gestão da Segurança da Informação (SGSI / ISMS). A norma define a forma de identificar riscos, estabelecer políticas e procedimentos e implementar medidas de segurança.
A ISO 27001 é particularmente relevante para empresas que tratam dados pessoais, prestam serviços de TI ou gerem informação empresarial confidencial. A obtenção da certificação demonstra aos clientes e parceiros que a sua organização leva a segurança a sério. Além disso, a norma ajuda a cumprir obrigações legais, como o RGPD e a Diretiva NIS2. A ISO 27001 oferece, assim, não só proteção técnica, mas também reforça a confiança e a reputação.
O que é a NIS2?
A NIS significa Network and Information Systems Directive (Diretiva relativa à segurança das redes e dos sistemas de informação) e é uma legislação europeia que visa reforçar a ciber-resiliência dos serviços essenciais e digitais. Obriga as organizações a adotar medidas de segurança adequadas e a notificar incidentes graves às autoridades competentes.
A diretiva revista NIS2 alarga significativamente o âmbito das obrigações a um maior número de setores, como a energia, os transportes, a saúde, a gestão da água, os serviços financeiros, as infraestruturas digitais, bem como a prestadores de serviços, incluindo empresas de TI, consultores e escritórios de advogados. As empresas abrangidas pela NIS2 devem ser capazes de demonstrar que gerem adequadamente os riscos e que dispõem de políticas de segurança da informação. O incumprimento pode conduzir a sanções severas e a danos reputacionais.
A NIS2 impõe, assim, não apenas medidas técnicas de segurança, mas também uma clara responsabilidade ao nível da governação e da gestão.
Qual é a diferença entre a ISO 27001 e a NIS2?
Embora a ISO 27001 e a NIS2 estejam ambas relacionadas com a segurança da informação, têm naturezas distintas. A ISO 27001 é uma norma internacional voluntária que ajuda as organizações a estruturar e melhorar a sua segurança de forma sistemática. A NIS2, por sua vez, constitui uma obrigação legal para setores e empresas específicos.
As organizações que estão obrigadas a cumprir a NIS2 podem utilizar a ISO 27001 como um quadro prático para demonstrar a implementação das medidas de segurança exigidas. A ISO 27001 fornece, assim, a metodologia, enquanto a NIS2 estabelece a obrigação legal. As empresas que implementam a ISO 27001 estão, em regra, melhor preparadas para auditorias NIS2 e para as obrigações de notificação de incidentes. Na prática, ambos os regimes são complementares e reforçam a conformidade e a credibilidade de uma organização.
Como pode a sua organização preparar-se da melhor forma para a ISO 27001 e/ou a NIS2?
Uma boa preparação começa com uma análise de riscos aprofundada e com a identificação da informação sensível no seio da sua organização. De seguida, determina-se quais as medidas de segurança, processos e responsabilidades necessários para mitigar os riscos. No caso da ISO 27001, isso implica a implementação de um Sistema de Gestão da Segurança da Informação (SGSI / ISMS); no caso da NIS2, o cumprimento das obrigações legais e dos procedimentos de reporte. Muitas organizações optam por recorrer ao acompanhamento de especialistas que compreendem tanto os requisitos técnicos como os jurídicos.
Na Mr. Franklin, acompanhamos as empresas passo a passo na implementação da ISO 27001, na conformidade com a NIS2 e nas auditorias. Asseguramos políticas juridicamente corretas, salvaguardas contratuais adequadas e apoio prático durante todo o processo de certificação. Desta forma, a sua organização constrói não só conformidade, mas também confiança e continuidade.
