ISO 27001:2022 para pequenas empresas: certificação do SGSI

Este curso contém o uso de inteligência artificial. Um cliente importante pediu a ISO 27001 e o projeto caiu na sua mesa. Você não tem uma equipe de segurança, a TI é terceirizada e quase tudo está na nuvem.

Este curso mostra como implantar a ISO/IEC 27001:2022 numa empresa desse porte, com números reais e documentos prontos para adaptar. Uma empresa do começo ao fim. Acompanhamos a Ledgerwick, uma empresa britânica de folha de pagamento com 24 pessoas, desde o pedido do cliente até o certificado e o primeiro ano depois dele.

A Ledgerwick usa o Microsoft 365, um sistema de folha em nuvem e um provedor de TI terceirizado. Você vê cada decisão sendo tomada e cada documento sendo preenchido, não apenas descrito. O que o curso abordaUm plano de 12 meses, com o esforço interno em horas e um orçamento indicativoContexto, partes interessadas e uma declaração de escopo que inclui os serviços em nuvemPapéis e responsabilidades quando não existe uma equipe de segurança, incluindo o papel do provedor de TIUm método de avaliação de riscos pelas cláusulas 6.

1. 2 e 6. 1.

3, com riscos pontuados, tratados e com custosA Declaração de Aplicabilidade linha por linha, com exclusões justificadasControles do Anexo A na prática: gerenciador de senhas, MFA, desligamentos, dispositivos, backups, fornecedores e incidentesA rotina mensal do SGSI, indicadores, auditoria interna e análise crítica pela direçãoComo escolher um organismo de certificação, o que acontece nos estágios 1 e 2, como tratar constatações e o ciclo de três anosO que você recebe29 videoaulas em 8 seções, cerca de três horas e meia no totalUm kit de 15 documentos em Word e Excel, cada um como modelo em branco e como versão preenchida da Ledgerwick: escopo, política, inventário de ativos, registro de riscos, Declaração de Aplicabilidade, lista de verificação de auditoria interna, registro de ações corretivas e outrosOito questionários de seção, um ao final de cada seçãoQuatro tarefas práticas com resposta-modelo: escopo e papéis, avaliação e tratamento de riscos, linhas da Declaração de Aplicabilidade e uma auditoria interna de uma áreaPara quem é, e para quem não é. O curso é para donos, gestores e a pessoa que recebeu a tarefa da ISO 27001 em empresas de cerca de 5 a 50 pessoas. Não é um curso de auditor líder nem de implantação em grandes empresas.

A empresa-modelo é do Reino Unido, então os custos aparecem em libras e alguns exemplos citam o Cyber Essentials e o UK GDPR; os valores são indicativos e variam de país para país. O curso não reproduz o texto da norma, e é útil ter um exemplar da ISO/IEC 27001:2022 ao lado das aulas. A decisão de certificar é sempre do organismo de certificação.

Ao final, você tem um plano, um conjunto completo de documentos para adaptar e uma rotina para manter o SGSI funcionando depois do certificado.