ISO 27001:2022 para pequenas empresas: certificação do SGSI

Este curso contém o uso de inteligência artificial.

Um cliente importante pediu a ISO 27001 e o projeto caiu na sua mesa. Você não tem uma equipe de segurança, a TI é terceirizada e quase tudo está na nuvem. Este curso mostra como implantar a ISO/IEC 27001:2022 numa empresa desse porte, com números reais e documentos prontos para adaptar.

Uma empresa do começo ao fim. Acompanhamos a Ledgerwick, uma empresa britânica de folha de pagamento com 24 pessoas, desde o pedido do cliente até o certificado e o primeiro ano depois dele. A Ledgerwick usa o Microsoft 365, um sistema de folha em nuvem e um provedor de TI terceirizado. Você vê cada decisão sendo tomada e cada documento sendo preenchido, não apenas descrito.

O que o curso aborda

• Um plano de 12 meses, com o esforço interno em horas e um orçamento indicativo
• Contexto, partes interessadas e uma declaração de escopo que inclui os serviços em nuvem
• Papéis e responsabilidades quando não existe uma equipe de segurança, incluindo o papel do provedor de TI
• Um método de avaliação de riscos pelas cláusulas 6.1.2 e 6.1.3, com riscos pontuados, tratados e com custos
• A Declaração de Aplicabilidade linha por linha, com exclusões justificadas
• Controles do Anexo A na prática: gerenciador de senhas, MFA, desligamentos, dispositivos, backups, fornecedores e incidentes
• A rotina mensal do SGSI, indicadores, auditoria interna e análise crítica pela direção
• Como escolher um organismo de certificação, o que acontece nos estágios 1 e 2, como tratar constatações e o ciclo de três anos

O que você recebe

• 29 videoaulas em 8 seções, cerca de três horas e meia no total
• Um kit de 15 documentos em Word e Excel, cada um como modelo em branco e como versão preenchida da Ledgerwick: escopo, política, inventário de ativos, registro de riscos, Declaração de Aplicabilidade, lista de verificação de auditoria interna, registro de ações corretivas e outros
• Oito questionários de seção, um ao final de cada seção
• Quatro tarefas práticas com resposta-modelo: escopo e papéis, avaliação e tratamento de riscos, linhas da Declaração de Aplicabilidade e uma auditoria interna de uma área

Para quem é, e para quem não é. O curso é para donos, gestores e a pessoa que recebeu a tarefa da ISO 27001 em empresas de cerca de 5 a 50 pessoas. Não é um curso de auditor líder nem de implantação em grandes empresas. A empresa-modelo é do Reino Unido, então os custos aparecem em libras e alguns exemplos citam o Cyber Essentials e o UK GDPR; os valores são indicativos e variam de país para país. O curso não reproduz o texto da norma, e é útil ter um exemplar da ISO/IEC 27001:2022 ao lado das aulas.

A decisão de certificar é sempre do organismo de certificação. Ao final, você tem um plano, um conjunto completo de documentos para adaptar e uma rotina para manter o SGSI funcionando depois do certificado.