Como obter a certificação ISO 27001 para o seu escritório contábil

A Certificação ISO 27001 pode ser obtida pela contabilidade, ou empresas de outros segmentos, a partir da execução das exigências previstas na normatização de cibersegurança.

Para isso, existem algumas etapas de implementação, sendo desde avaliação de riscos, análises de aplicabilidade, auditoria, até a implementação.

Se o seu escritório de contábil coleta desde dados simples, até informações confidenciais de seus clientes, a ISO 27001 deve ser uma preocupação.

O que é a ISO 27001?

A ISO 27001 é uma norma internacional voltada para a gestão de segurança da informação. A partir dela, foram estabelecidas uma série de requisitos e processos.

Isto porque, ela busca garantir que a empresa tenha o compromisso de proteger os dados, principal alvo de cibercriminosos na atualidade. 

Com ela, a contabilidade aprende a analisar e implementar controles para gerenciar riscos e proteger a confidencialidade e integridade das informações essenciais aos seus clientes.

Além disso, ela também estabelece padrões de monitoramento em conformidade com a Lei Geral de Proteção de Dados (LGPD), um importante diferencial competitivo. 

Leia também: LGPD contabilidade: você sabe o que muda?

Baseada na Norma Britânica BS 7799-2, ela foi publicada em outubro de 2005 pelo International Organization for Standardization (ISO), entidade responsável por promover a padronização de produtos, serviços e processos.

Como surgiu?

Entretanto, apenas no ano seguinte é que ela foi traduzida e publicada no Brasil, sendo nomeada de ISO/IEC 27001. 

A versão mais recente utilizada foi revisada em 2013, onde houve a atualização com as inovações tecnológicas da área de TI, como a nuvem. 

Quem precisa implementá-la?

A ISO 27001 não é obrigatória e pode ser implementada em qualquer organização, com ou sem fins lucrativos, pública ou privada, independentemente do porte.

Ela é indicada principalmente àquelas que lidam com dados críticos seus e de terceiros, e que precisam se resguardar dos possíveis riscos de vazamento.

No que consiste a norma?

Desenvolvida pelos melhores especialistas do mundo no campo da segurança de dados, seu objetivo principal é proteger os três pilares da informação, sendo eles:

• Confidencialidade, para que somente as pessoas necessárias e autorizadas tenham acesso aos dados;
• Integridade, estabelecendo que somente as pessoas autorizadas podem e devem alterar os dados;
• Disponibilidade, pois a informação não deve ser acessível a todos. Mais uma vez, estabelecendo acesso a pessoas autorizadas e apenas quando necessário.

Requisitos para obter a certificação

Para que a contabilidade tenha direito a certificação ISO 27001, é necessário cumprir os requisitos principais descritos em cinco seções da Norma, separados nos grupos:

1. Política de segurança: Este grupo garante que a empresa forneça orientações sobre o gerenciamento seguro da informação, de acordo com as leis e regulamentos.
   
2. Organização da segurança da informação: Fiscaliza se há o monitoramento da segurança da informação dentro da empresa, gerenciando acessos, processamentos, comunicações etc.
3. Gestão de ativos: Valida se foram implantadas ações para proteção de ativos organizacionais e se elas são mantidas.
4. Segurança de RH: Os funcionários e contratados devem saber e entender quais as suas responsabilidades quanto aos dados da organização e ameaças à segurança.
5. Segurança física: A empresa deve impedir também o acesso físico não autorizado em suas instalações, evitando danos, roubos ou a interrupção da operação.
6. Gerenciamento de comunicações e operações: Garante que as informações são processadas seguindo as boas práticas de segurança, e que há o backup recorrente.
7. Atualização de sistemas: Deve certificar que a segurança seja parte dos sistemas da empresa, protegendo aplicações e arquivos, realizando atualização constante para reduzir as vulnerabilidades.
8. Comunicação de incidentes: A contabilidade precisa comprovar a eficiência da comunicação em tempo hábil em caso de violação ou problemas com os dados.
9. Gerenciamento de continuidade de negócios: Garantir a proteção de processos críticos em caso de falhas em sistemas importantes, neutralizando as interrupções.
10. Conformidade: A empresa deve estar em conformidade e evitar violações de leis, contratos ou requisitos de segurança.

Registro para a ISO 27001

Além destes requisitos, a Norma ISO 27001 requer, obrigatoriamente, os seguintes registros:

• Registros de treinamento, habilidades, experiências e qualificações, descritos na cláusula 7.2;
• Resultados de monitoramento e conferência, como manda a cláusula 9.1;
• Programa de auditoria interna e seus resultados, segundo a cláusula 9.2;
• Resultados das análises críticas, cláusula 9.3;
• Resultados das ações corretivas, descrito na cláusula 10.1
• Registros de atividades de usuários, exceções e eventos de segurança, como mandam as cláusulas A.12.4.1 e A.12.4.3.

Passo a passo para obter a ISO 27001

Em primeiro lugar, para obter a certificação leva-se algum tempo devido a todas as suas etapas, por isso, em média, ela é obtida da seguinte maneira:

De 1 a 2 meses para se preparar para a auditoria;

De 1 a 3 meses para realização do diagnóstico durante a auditoria;

De 3 a 6 meses para início e conclusão da operação de adequação.

Portanto, esse é um processo que requer paciência. Algumas das fases que a sua contabilidade passará são:

• Análise preliminar

Ela é o ponto de partida. A partir de uma análise informal, é verificado se a empresa possui os documentos essenciais exigidos pela Norma.

• Auditoria

Esta é a principal fase, e normalmente, uma das complexas. Para a análise preliminar é permitido que seja feita pela equipe interna.

Entretanto, para a avaliação detalhada de validação da aplicação, é exigido uma auditoria externa feita por uma empresa especializada no processo de certificação.

• Análise de lacunas

Consiste em uma avaliação do desenvolvimento que ocorreu até o momento da análise, identificando possíveis mudanças de rota.

Isto porque, nem todos os controles da ISO serão aplicáveis ao escritório contábil. Assim, se algum serviço não for executado, o controle associado a ele pode ser eliminado.

Acima de tudo, percebemos que obter a ISO 27001 é um processo demorado pela sua complexidade, mas que vale a pena pela segurança gerada ao seu escritório.

Assim como, pelo diferencial competitivo que ela representa, tendo em vista as exigências do mercado brasileiro pela segurança de dados, seja em contratantes ou parceiros.

Entendeu como é válido priorizar esta certificação? Para ficar por dentro de outros assuntos contábeis, se inscreva em nossa newsletter!