A sua avaliação de riscos ISO 27005 passo a passo, pronta para a auditoria.

O que é, de fato, a ISO/IEC 27005

A ISO/IEC 27005 é a norma internacional que fornece diretrizes para a gestão de riscos de segurança da informação. Ela não substitui a ISO/IEC 27001: explica como realizar a avaliação e o tratamento de riscos que a cláusula 6.1 da ISO/IEC 27001 exige. Na prática, a ISO/IEC 27001 diz que você precisa gerir o risco de segurança da informação, e a ISO/IEC 27005 mostra uma forma defensável de fazê-lo. A edição de 2022 alinha o seu vocabulário com a ISO/IEC 27001:2022 e com os princípios gerais de gestão de riscos da ISO 31000, de modo que os termos abaixo são os que um auditor espera ouvir.

O processo de gestão de riscos da ISO 27005, passo a passo

O processo é um ciclo, não um exercício pontual. Estas são as etapas, na ordem em que você deve executá-las.

1. Estabelecer o contexto

Antes de avaliar qualquer coisa, você define as regras do exercício: o escopo, as questões internas e externas, as pessoas envolvidas e, acima de tudo, os critérios de risco. Os critérios de risco são a régua que você usará para decidir o tamanho de um risco e, principalmente, quais riscos está disposto a aceitar. Definir os critérios de aceitação no final, quando os resultados já são conhecidos, é a forma mais comum de enviesar uma avaliação. Decida-os primeiro, por escrito.

2. Identificar os riscos

A ISO/IEC 27005:2022 admite duas abordagens complementares. A abordagem baseada em ativos parte do que você protege (informações, sistemas, processos) e pergunta quais ameaças e vulnerabilidades se aplicam a cada um. A abordagem baseada em eventos parte dos cenários que você teme (um surto de ransomware, uma violação em um fornecedor, um notebook perdido) e retrocede até os ativos que seriam afetados. Os programas mais maduros combinam as duas. O resultado desta etapa é uma lista de cenários de risco, cada um expresso como uma ameaça que explora uma vulnerabilidade com uma consequência.

3. Analisar os riscos

Para cada cenário você estima duas coisas: a probabilidade de que aconteça e a consequência caso aconteça. Você pode fazer isso de forma qualitativa (uma escala de 1 a 5, por exemplo) ou quantitativa (em dinheiro ou em tempo). A combinação resulta em um nível de risco. Mantenha a escala escolhida documentada e aplicada da mesma forma a todos os cenários; caso contrário, os resultados não serão comparáveis.

4. Avaliar os riscos

Agora você compara cada nível de risco com os critérios definidos na etapa 1 e coloca os riscos em ordem de prioridade. A avaliação é o momento de decidir o que precisa de tratamento e o que já está dentro do seu apetite. É uma etapa de decisão, não de cálculo, e pertence aos proprietários dos riscos, não a quem preencheu a planilha.

5. Tratar os riscos

Para cada risco que excede os seus critérios, você escolhe uma de quatro opções: modificá-lo acrescentando ou reforçando controles (os controles da ISO/IEC 27002 e do Anexo A da ISO/IEC 27001 são o catálogo habitual), retê-lo conscientemente porque está dentro do apetite, evitar a atividade que o gera ou compartilhá-lo, por exemplo por meio de um seguro ou de um contrato. O resultado é um plano de tratamento de riscos, e os controles que você decide aplicar são os que compõem a sua Declaração de Aplicabilidade.

6. Aceitar, monitorar e comunicar

O risco que permanece após o tratamento é o risco residual, e ele deve ser aceito explicitamente pelo proprietário do risco, nunca deixado implícito. A partir daí o ciclo continua: monitore se as probabilidades e as consequências estão mudando, revise a avaliação em um calendário definido e após qualquer mudança significativa, e comunique os resultados às pessoas que tomam decisões. Uma avaliação feita uma única vez e arquivada é uma avaliação que já está desatualizada.

A matriz de riscos 5x5

A matriz 5x5 é a forma mais comum de transformar probabilidade e consequência em um único nível de risco. Leia-a localizando a linha da probabilidade e a coluna da consequência: a célula em que elas se encontram é o nível de risco.

Os rótulos importam menos do que a disciplina por trás deles. Duas regras mantêm uma matriz honesta. Primeira: defina o que cada número significa antes de pontuar, para que "3 Moderada" seja a mesma coisa para todos os cenários e para todos os avaliadores. Segunda: decida de antemão quais níveis você aceitará (por exemplo, Baixo é aceito, Médio é monitorado, Alto e Crítico exigem tratamento), de modo que a matriz oriente decisões em vez de apenas colori-las.

Um registro de riscos preenchido

O registro de riscos é onde o processo se torna um documento de trabalho. Não precisa de software especial: uma planilha bem estruturada é suficiente, e é assim que recomendamos começar. Abaixo estão duas linhas preenchidas da forma como um avaliador as manteria.

Observe o que cada linha torna explícito: um proprietário nomeado, uma opção de tratamento (não apenas um comentário) e uma data-limite. São essas três colunas que transformam uma lista de preocupações em algo que um auditor aceita como evidência.

Os erros que os auditores encontram repetidamente

• Critérios de aceitação decididos tarde demais. Se você só decide o que é aceitável depois de ver as pontuações, os critérios se dobram para encaixar na resposta que você queria.
• Um método que não é repetível. Sem escalas escritas, dois avaliadores produzem dois números diferentes para o mesmo risco, e a avaliação do ano que vem não poderá ser comparada com a deste ano.
• Sem proprietários dos riscos. Se ninguém é nomeado, ninguém aceita o risco residual, e a aceitação é um requisito, não uma cortesia.
• A Declaração de Aplicabilidade não corresponde ao plano de tratamento. Controles marcados como aplicáveis que não aparecem em lugar nenhum do plano, ou controles planejados ausentes da SoA, estão entre as não conformidades mais frequentes.
• Risco residual nunca aceito formalmente. O tratamento é planejado, mas o risco que permanece depois nunca é reavaliado nem assinado.
• Avaliado uma vez, nunca revisado. Um registro com uma única data, meses depois da última grande mudança, diz ao auditor que o processo não está vivo.
• Riscos genéricos copiados de um modelo. Um registro que poderia pertencer a qualquer organização não pertence a nenhuma. Os cenários precisam refletir o seu contexto real.

Onde entra a certificação

Conduzir bem este processo é uma competência, e existem certificações reconhecidas para ela. A ISO/IEC 27005 Foundation cobre os conceitos e o vocabulário. A certificação ISO/IEC 27005 Risk Manager valida que você sabe conduzir o processo completo de avaliação e tratamento, e a ISO/IEC 27005 Lead Risk Manager é para quem lidera o programa de gestão de riscos. Todos os cursos estão disponíveis em autoestudo e em autoestudo com acompanhamento individual. Se o seu contexto é o setor público francês ou uma exigência da ANSSI, o método EBIOS Risk Manager é a escolha habitual, e o nosso guia EBIOS RM explica quando preferi-lo à ISO/IEC 27005. A trilha de aprendizado em riscos mostra a sequência completa.

Perguntas frequentes

Qual é a diferença entre a ISO 27005 e a ISO 27001?

A ISO/IEC 27001 é a norma certificável para um sistema de gestão de segurança da informação, e exige que você avalie e trate os riscos. A ISO/IEC 27005 é a orientação que diz como fazer essa avaliação e esse tratamento. Você se certifica na 27001; segue a 27005 para chegar lá.

ISO 27005 ou ISO 31000: qual delas devo usar?

A ISO 31000 é o marco geral da gestão de riscos em qualquer disciplina. A ISO/IEC 27005 aplica esses mesmos princípios especificamente à segurança da informação e os conecta à ISO/IEC 27001. Se o seu assunto é segurança da informação, a 27005 é a que fala a sua língua.

Preciso de software para aplicar a ISO 27005?

Não. Nem a ISO/IEC 27005 nem auditor algum prescrevem uma ferramenta. Uma planilha estruturada é suficiente para uma avaliação completa, e é a forma certa de começar. Um software dedicado passa a ser útil quando você mantém muitas avaliações ao longo do tempo, não na primeira.

O modelo de registro de riscos é realmente gratuito?

Sim, sem nenhuma condição e sem cartão. Todo o processo acima está nesta página para leitura. O formulário apenas acrescenta a opção da versão diagramada em PDF, em inglês, com o modelo incluído.

Por qual certificação devo começar?

Se você está começando no trabalho com riscos, comece pela Foundation para fixar o vocabulário, depois a Risk Manager para praticar o processo completo. Se você já conduz avaliações e precisa liderar o programa, vá direto para a Lead Risk Manager.