Hoje de manhã eu atendi a uma palestra do BSI Brasil sobre a nova norma ISO 27001 sobre Sistema de Gestão de Segurança da Informação.
A norma internacional ISO 27001:2005 (baseada na norma BS 7799, publicada pelo BSI), foi desenvolvida para a avaliação de risco e gestão da segurança da informação. A ISO 27001 tem como principais requisitos o gerenciamento da segurança através da implantação de boas práticas; avaliação do risco; política de segurança; organização da segurança; classificação e controle dos ativos; segurança pessoal; segurança física e ambiental; gestão de comunicações e operações; controle de acesso; desenvolvimento e manutenção de sistemas; gestão do negócio e conformidade.
A segurança da informação, muitas vezes presumida na responsabilidade da área de TI, torna-se mais complexa à medida que a organização possua fatores de riscos e áreas de vulnerabilidade inerentes em aspectos globais.
Instituições financeiras, bancos, seguradoras, empresas de telecomunicações, indústrias dos mais diversos setores e empresas de serviços, onde na ocorrência de falha de segurança poderá afetar sua imagem institucional, resultar em perdas, prejuízos, multas, queda de ações entre outros.
As empresas que adicionarem a certificação ISO 27001 em seus processos poderão ampliar seu mercado e apresentar mais este diferencial competitivo em seus processos.
Empresas certificadas em Sistemas de Gestão da Qualidade, Meio Ambiente, Segurança e Saúde Ocupacional poderão alcançar mais esta certificação de forma integrada com os sistemas já certificados, além de facilitar a implantação.
Eu estou me qualificando para atuar também nas auditorias, treinamentos e consultorias nessa área de Segurança da informação.
Grande Rubis! Pode-se dizer entao que a 27001 seria para empresas menores que nao necessitam de grandes estruturas de governanças de TI como ITIL e COBIT?
Luciano, you can work with all these systems integrated. ISO 27001 can be imlemented in all companies: all sizes and sectors. Naturaly, in some cases is more difficult or irrelevant (small size companies, as you said, with low-value assets). Normally you implement an ISO 27001 when you have high value assets in your company. No pre-determined size is required.
ITIL is for IT servicies as ISO 20000. COBIT must be used when you're working hard with control objectives. So the three metologies must be integrated in a concret project.
More information in the site iso9001-iso27001-gestion but in Spanish. Our languages are similar so ...
Thanks!
José Manuel