Uma auditoria interna ISO 27001 que melhora o sistema

Uma auditoria interna dá à organização a oportunidade de descobrir onde o seu sistema de gestão da segurança da informação (SGSI) se afasta das suas intenções. O resultado útil é uma avaliação fundamentada e um caminho de melhoria claro para cada constatação material, e não simplesmente uma pasta de capturas de ecrã preparada para a certificação.

Para um responsável técnico, a questão central é saber se o sistema funciona nos serviços, pessoas e passagens de testemunho reais. Uma política pode estar aprovada e a sua implementação falhar. Uma auditoria deve expor essa diferença sem transformar cada imperfeição operacional numa constatação de conformidade sem fundamento.

Determinar o que a auditoria tem de demonstrar

A ISO/IEC 27001, na sua cláusula 9.2, exige auditorias internas a intervalos planeados para avaliar a conformidade com os requisitos do SGSI da própria organização e com a norma, bem como se o SGSI está eficazmente implementado e mantido. O programa de auditoria tem de ter em conta a importância dos processos e os resultados de auditorias anteriores, sendo os auditores selecionados de forma a assegurar a objetividade e a imparcialidade.

Uma auditoria interna pode ser realizada por colaboradores ou por um especialista externo contratado para o efeito. Não emite um certificado: a certificação é uma avaliação separada, efetuada por um organismo de certificação independente. As auditorias internas continuam a fazer parte da operação do SGSI após a certificação, e não apenas da preparação para a avaliação inicial.

A ISO 27001 não prescreve uma frequência anual universal para a auditoria interna. Como recomendação prática, utilize um calendário documentado que reflita o risco, as alterações e as constatações anteriores, com atenção mais frequente aos processos instáveis ou críticos.

Acordar critérios, fronteiras e responsabilidades

Uma auditoria individual não precisa de examinar tudo em simultâneo. O programa deve assegurar a cobertura do SGSI no seu âmbito ao longo do ciclo planeado, em vez de inspecionar repetidamente apenas os controlos conhecidos.

Documente estas decisões antes de pedir evidências:

O Anexo A não é uma exigência de implementar todos os controlos da mesma forma. Verifique se as decisões de aplicabilidade e as exclusões estão justificadas e, depois, teste os compromissos que a organização efetivamente assumiu.

Escolha auditores competentes que compreendam tanto os requisitos do sistema de gestão como os controlos examinados. Evite que as pessoas auditem o seu próprio trabalho. Numa pequena equipa de engenharia, um auditor externo ou um revisor de outra função podem resolver conflitos, desde que tenham competência suficiente e acesso às evidências.

Construir as evidências em torno de perguntas operacionais

Comece pelo âmbito, pela avaliação de riscos, pelo plano de tratamento, pela Declaração de Aplicabilidade, pelas políticas, pelas constatações anteriores e pelos registos operacionais relevantes. Estes explicam o que deveria acontecer e onde as falhas teriam mais importância.

Depois, formule perguntas testáveis. Para o acesso privilegiado, pergunte se as aprovações precedem o acesso, se as revisões abrangem a população de contas relevante e se as permissões revogadas desaparecem efetivamente. Uma política de acessos assinada demonstra a intenção; as exportações de contas, os registos de aprovação e os registos de remoção demonstram o funcionamento.

Crie um plano de amostragem que inclua alterações recentes, serviços críticos, fragilidades anteriores e exceções. Registe a população, o método de seleção, o período e a fundamentação. Uma amostragem prática não precisa de utilizar um único tamanho fixo de amostra, mas tem de ser explicável. Meia dúzia de capturas de ecrã convenientes raramente representa todo um período de funcionamento.

Triangule os registos com entrevistas e observação. Se os responsáveis descrevem uma passagem de testemunho manual, inspecione passagens concluídas. Se a evidência contradiz uma entrevista, investigue em vez de escolher a versão mais tranquilizadora. Registe as limitações quando um sistema não consegue fornecer evidência histórica; não deduza silenciosamente o desempenho passado a partir da configuração atual.

Acompanhar um controlo através de um exemplo prático

Pressupostos ilustrativos: uma empresa SaaS audita as saídas de colaboradores ao longo de três meses. O seu procedimento exige a remoção dos acessos até ao momento da saída do colaborador. Os registos de recursos humanos mostram 12 saídas; o auditor examina os três utilizadores privilegiados e quatro saídas adicionais em equipas diferentes.

O auditor compara os registos temporais de saída dos recursos humanos com os eventos do fornecedor de identidades, o estado das contas nas aplicações e os pedidos de offboarding. A conta no fornecedor de identidades de um antigo engenheiro foi desativada a tempo, mas uma conta de repositório gerida separadamente manteve-se ativa durante dois dias.

Antes de classificar a constatação, determine se a conta conseguia autenticar-se, que permissões se mantinham e se existia uma exceção aprovada. Entreviste os recursos humanos e o responsável pela aplicação para compreender a passagem de testemunho. Alargue os testes a outras saídas que envolvam aplicações geridas separadamente se a omissão parecer sistémica.

Uma constatação defensável identifica o procedimento violado, a condição observada, os registos de suporte, o âmbito afetado e a potencial consequência. Não deve afirmar que ocorreu um acesso não autorizado, a menos que a evidência sustente essa conclusão.

Separar constatações de pressupostos

Uma não conformidade exige evidência de que um requisito não foi cumprido. Uma oportunidade de melhoria identifica um aperfeiçoamento útil sem demonstrar um incumprimento. Uma questão por resolver permanece em aberto até que exista evidência suficiente para sustentar uma conclusão.

Utilize classificações consistentes e dê prioridade às constatações de acordo com a exposição, a recorrência e a amplitude. Não deixe que um rótulo de gravidade substitua o raciocínio. Dê aos responsáveis pelos processos a oportunidade de corrigir erros factuais, mantendo a responsabilidade do auditor pela conclusão.

O relatório deve indicar o âmbito, os critérios, os métodos, as limitações, as constatações e a avaliação global sustentada pelo trabalho realizado.

Fazer da ação corretiva mais do que um encerramento

Um plano de ação deve identificar um responsável, uma data-limite, a correção imediata, a causa raiz e a alteração destinada a evitar a recorrência. Remover a conta do repositório corrige esse caso. Corrigir o inventário incompleto de aplicações e a passagem de testemunho entre recursos humanos e TI trata do processo.

Evite aceitar «erro humano» como causa raiz completa quando o fluxo de trabalho depende da memória ou não tem responsável. Defina critérios de eficácia antes de encerrar a ação: por exemplo, as saídas subsequentes devem incluir verificações conciliadas com o inventário de aplicações relevante.

Um pedido concluído prova a execução, não necessariamente a eficácia. Após a implementação, inspecione outra amostra e conserve o resultado da verificação. Reabra a ação se a mesma falha voltar a ocorrer.

Integrar os resultados na gestão e no trabalho quotidiano

Reporte à gestão relevante as fragilidades recorrentes, as ações em atraso, as necessidades de recursos e as decisões de risco significativas. Os resultados da auditoria interna são uma entrada para a revisão pela gestão nos termos da ISO 27001; a revisão é uma atividade distinta, com outras entradas obrigatórias, e não apenas uma reunião para aprovar o relatório de auditoria.

A Secani liga requisitos, evidências, responsáveis, tarefas e decisões de revisão para que a avaliação e o seguimento permaneçam no seu contexto. Mantenha os registos de suporte associados aos controlos relevantes e preserve a aprovação humana das conclusões sobre as evidências. Utilize o nosso guia de preparação para auditorias para organizar esses registos antes do trabalho de campo.

Um próximo passo prático é escolher um processo crítico, nomear um auditor imparcial e redigir os respetivos critérios e plano de amostragem. Agende a verificação da eficácia no momento em que atribuir as ações corretivas, e não depois de todos as considerarem concluídas.