Preparação para ISO 27001 e consultoria de SGSI
Um certificado ISO/IEC 27001 só é emitido por um organismo de certificação acreditado após uma auditoria formal. Nenhuma consultora o pode conceder. Ajudamo-lo a construir um Sistema de Gestão da Segurança da Informação preparado para essa auditoria: âmbito e tratamento de riscos, os controlos do Anexo A, auditoria interna e revisão pela gestão, além dos testes de intrusão que evidenciam os seus controlos técnicos. A auditoria de certificação é realizada por um organismo acreditado.
Construir o SGSI
A ISO/IEC 27001:2022 certifica um sistema de gestão, não um produto isolado. As cláusulas 4 a 10 da norma definem o SGSI, e o Anexo A lista 93 controlos em quatro temas: Organizacional, Pessoas, Físico e Tecnológico. Ajudamo-lo a pôr o sistema a funcionar e a selecionar, implementar e evidenciar os controlos aplicáveis.
- Âmbito, contexto e liderança do SGSI e os requisitos de sistema de gestão das cláusulas 4 a 10
- Apreciação do risco e plano de tratamento do risco, com a Declaração de Aplicabilidade
- Seleção e implementação dos controlos do Anexo A 2022 (93 controlos nos quatro temas)
- Políticas, procedimentos e registos que o auditor irá amostrar
- Testes de intrusão como evidência para os controlos tecnológicos
- Auditoria interna e revisão pela gestão antes da auditoria de certificação
Nós construímo-lo; um organismo acreditado certifica-o
Somos o seu parceiro de implementação e preparação. A certificação é uma auditoria de Fase 1 (documentação) e depois Fase 2 (implementação), realizada por um organismo de certificação acreditado que tem de ser independente de quem construiu o SGSI. Preparamo-lo e podemos conduzir a sua auditoria interna, mas não somos um organismo de certificação e nunca emitimos o certificado.
- 1
Definição do âmbito e análise de lacunas
Definimos o âmbito do SGSI, conduzimos uma análise de lacunas face à ISO/IEC 27001:2022 e ao Anexo A, e assinamos um NDA.
- 2
Tratamento de riscos
Construímos a apreciação do risco, o plano de tratamento do risco e a Declaração de Aplicabilidade que orientam a seleção de controlos.
- 3
Controlos e documentação
Implementamos as cláusulas do sistema de gestão e os controlos do Anexo A, e realizamos o pentest que os evidencia.
- 4
Auditoria interna e revisão
Conduzimos a auditoria interna e a revisão pela gestão para que as não conformidades sejam corrigidas antes da auditoria externa.
- 5
Acompanhamento da certificação
Acompanhamo-lo durante as auditorias de Fase 1 e Fase 2 do organismo acreditado e em quaisquer ações corretivas.
O que recebe
Um SGSI completo, pronto para auditoria, e as evidências técnicas que o sustentam. O certificado em si é emitido pelo organismo de certificação acreditado após uma auditoria de Fase 2 bem-sucedida, não por nós.
- Análise de lacunas face à ISO/IEC 27001:2022 e aos controlos do Anexo A 2022
- Apreciação do risco, plano de tratamento do risco e Declaração de Aplicabilidade
- Conjunto de políticas e procedimentos do SGSI, mais os registos que o auditor amostra
- Relatório de teste de intrusão (CVSS 3.1, prova de conceito, reprodução) que evidencia os controlos tecnológicos
- Relatório de auditoria interna e dossiê de revisão pela gestão
- Confirmação de preparação e acompanhamento durante a auditoria de certificação
Assente na ISO/IEC 27001:2022
A preparação segue a ISO/IEC 27001:2022 (cláusulas 4 a 10 de sistema de gestão), com controlos selecionados do Anexo A 2022 (93 controlos nos temas Organizacional, Pessoas, Físico e Tecnológico) e orientação da ISO/IEC 27002:2022. O certificado só é concedido por um organismo de certificação acreditado após as auditorias de Fase 1 e Fase 2. Prestamos a implementação do SGSI, a auditoria interna e o teste de intrusão de apoio, mas não somos um organismo de certificação e não emitimos certificados ISO 27001.