NIST CSF e ISO 27001: escolher o papel operacional de cada um

O NIST CSF e a ISO 27001 ajudam as organizações a organizar a segurança, mas desempenham papéis operacionais diferentes. A decisão da gestão torna-se mais clara quando se pergunta que resultado o negócio precisa: uma visão partilhada das prioridades de cibersegurança, um programa de segurança da informação gerido formalmente, uma garantia independente para os clientes ou uma combinação destes.

Escolher um referencial não retira a responsabilidade à gestão. Os líderes continuam a ter de definir o âmbito, financiar melhorias, atribuir responsáveis e decidir que riscos residuais o negócio vai aceitar. A pergunta útil não é, por isso, «Que referencial é melhor?». É «Que papel deve cada um desempenhar na forma como gerimos e demonstramos a segurança?».

Comparar os resultados, não apenas as listas de controlos

O NIST Cybersecurity Framework, atualmente o CSF 2.0, descreve resultados de cibersegurança. Dá às equipas técnicas e aos executivos uma linguagem comum para discutir riscos, capacidades e prioridades, sem prescrever uma implementação única para todas as organizações.

A ISO/IEC 27001 especifica requisitos para um sistema de gestão da segurança da informação, ou SGSI. Esse sistema estabelece a forma como uma organização identifica riscos de segurança da informação, seleciona tratamentos, atribui responsabilidades, avalia o desempenho e melhora. A certificação independente pode proporcionar garantias sobre a conformidade do sistema de gestão dentro do seu âmbito definido.

Ambos podem ser utilizados por organizações de diferentes dimensões e níveis de maturidade. O NIST CSF não se destina apenas a principiantes ou a empresas norte-americanas, e a ISO 27001 não está reservada a grandes empresas internacionais. A prontidão afeta o esforço necessário, e não a adequação conceptual da abordagem.

O que o NIST CSF contribui para as decisões da gestão

O CSF 2.0 organiza os resultados em seis funções. Estas funcionam em conjunto; não são seis fases de projeto que terminam definitivamente em sequência.

A função Govern é particularmente importante para os executivos. Liga a cibersegurança aos objetivos de negócio, à responsabilização, à política e à supervisão. Impede que a segurança se torne uma lista de pendentes técnicos sem um responsável de negócio explícito.

Transformar resultados num plano de investimento

Um Perfil Atual descreve os resultados de cibersegurança que a organização alcança atualmente. Um Perfil Alvo descreve os resultados que pretende alcançar, tendo em conta os seus objetivos, ameaças, obrigações e expectativas das partes interessadas. A diferença entre ambos fornece uma base para priorizar o trabalho.

Por exemplo, uma empresa pode ter cópias de segurança, mas poucas evidências de que o seu serviço mais importante pode ser reposto em condições realistas. A lacuna útil não é simplesmente «recuperação incompleta». É um resultado definido, um serviço afetado, um responsável, um exercício de reposição proposto e uma decisão sobre a perturbação aceitável.

Os Tiers (níveis) do CSF descrevem características das práticas de governação e gestão do risco de cibersegurança. Dão contexto às discussões sobre rigor e coerência; não são graus de certificação nem uma pontuação universal de maturidade que todas as organizações devam maximizar.

O CSF em si não é uma norma de certificação ao estilo ISO. Uma organização pode encomendar uma avaliação e fundamentar o seu Perfil com evidências, mas não deve apresentá-lo como uma certificação emitida pelo NIST. O valor para o negócio resulta da clareza da avaliação e das melhorias que impulsiona.

O que a ISO 27001 acrescenta ao sistema operacional

A ISO 27001 centra-se num sistema de gestão com âmbito definido. As suas cláusulas 4 a 10 tratam do contexto da organização, liderança, planeamento, suporte, operação, avaliação do desempenho e melhoria. Implementá-la significa estabelecer um ciclo de gestão em funcionamento, e não apenas reunir políticas para um auditor.

A segurança da informação inclui a confidencialidade, a integridade e a disponibilidade. A confidencialidade diz respeito ao acesso adequado; a integridade diz respeito à exatidão, à completude e à proteção contra alterações indevidas; a disponibilidade diz respeito ao acesso autorizado quando necessário. Integridade não significa que a informação nunca possa mudar: as alterações legítimas precisam de autorização e controlo adequados.

O SGSI aplica estas preocupações através da avaliação e do tratamento de riscos. Não é uma instrução genérica para implementar todas as tecnologias de segurança possíveis.

Manter distintos os principais resultados do SGSI

Vários documentos estão intimamente relacionados, mas respondem a perguntas diferentes:

• Âmbito: que atividades, localizações, informação, sistemas e interfaces da organização abrange o SGSI?
• Avaliação de riscos: o que pode acontecer, qual seria a sua importância e como é feito esse juízo de forma coerente?
• Plano de tratamento de riscos: que ações vão tratar os riscos identificados, quem é responsável por elas e que aprovações são necessárias?
• Declaração de Aplicabilidade: que controlos necessários estão incluídos, porque estão incluídos, se estão implementados e porque é que quaisquer controlos do Anexo A foram excluídos?
• Auditoria interna: o SGSI cumpre os requisitos aplicáveis e funciona de forma eficaz, com base num exame adequadamente imparcial?
• Revisão pela gestão: a gestão considera o desempenho, as alterações, as constatações e as necessidades de melhoria e toma as decisões daí resultantes?

Um registo de riscos não substitui uma Declaração de Aplicabilidade. Uma reunião de gestão não constitui automaticamente uma revisão pela gestão. Cada resultado precisa do seu próprio objetivo, entradas e conclusões registadas.

O Anexo A da ISO 27001:2022 contém 93 controlos agrupados nas categorias organizacional, pessoas, física e tecnológica. A aplicabilidade baseia-se no risco. As organizações determinam os controlos necessários e comparam-nos com o Anexo A para que nenhum controlo necessário seja esquecido; podem precisar de controlos para além desse conjunto de referência. A ISO 27002 fornece orientações de implementação para os controlos.

O nosso guia do Anexo A explica a estrutura dos controlos com mais pormenor. Para a gestão, o essencial é que uma checklist preenchida não é o mesmo que um SGSI em funcionamento.

Compreender o que a certificação demonstra

A certificação é facultativa, a menos que um contrato ou outra obrigação aplicável a exija. Uma organização pode operar um SGSI sem procurar um certificado.

Quando a certificação é necessária, um organismo de certificação independente avalia o SGSI; a ISO não emite o certificado. A certificação inicial envolve geralmente uma primeira fase de análise da prontidão e das disposições documentadas, seguida de uma segunda fase de avaliação da implementação. Manter a certificação implica avaliações contínuas e recertificação, segundo as regras do organismo de certificação.

Leia o âmbito antes de confiar num certificado. A certificação de um serviço ou de uma unidade de negócio não deve ser apresentada como abrangendo todos os produtos, filiais ou localizações. Também não garante que nunca ocorrerão incidentes nem estabelece a conformidade com todas as leis aplicáveis.

Escolher com base na decisão que o negócio tem de tomar

Comece pelas expectativas externas e depois analise as necessidades operacionais internas. Peça às equipas comerciais e de compras que distingam o que os clientes efetivamente exigem do que apenas preferem.

«Em conformidade com a ISO 27001», «certificado ISO 27001» e «alinhado com o NIST CSF» são afirmações diferentes. Se um contrato exige um certificado, uma avaliação CSF não satisfaz essa redação. Se o conselho de administração precisa de um plano de melhoria claro, um certificado, por si só, pode não explicar onde a organização deve investir a seguir.

Use estes pontos de decisão:

• Escolha o CSF como principal estrutura de comunicação quando a necessidade imediata é estabelecer uma referência partilhada, comparar os resultados atuais e desejados e priorizar o investimento em cibersegurança.
• Escolha a ISO 27001 como principal estrutura de gestão quando a organização precisa de um SGSI formal com tratamento de riscos, avaliação e melhoria coerentes.
• Procure a certificação quando uma garantia independente com âmbito definido serve um objetivo documentado de clientes, contratual ou de negócio.
• Use ambos quando o SGSI pode governar a execução enquanto os Perfis CSF comunicam os resultados pretendidos à gestão e às partes interessadas.

Uma organização madura pode usar o CSF para reavaliar prioridades após uma aquisição. Uma pequena empresa pode estabelecer cedo um SGSI ISO 27001 porque as expectativas de compras o exigem. Evite que a dimensão da empresa substitua a compreensão da necessidade real.

Nenhuma das abordagens elimina a necessidade de analisar separadamente os deveres legais. Por exemplo, um certificado ISO não estabelece a conformidade com o RGPD ou com a NIS2. As obrigações legais aplicáveis devem informar a avaliação de riscos e a seleção de controlos, com as suas próprias evidências e responsabilização.

Estabelecer um único modelo de execução, com mapeamentos revistos

Usar ambas as abordagens não deve significar criar dois programas de segurança desligados. Como recomendação prática, organize a implementação em torno de serviços, riscos, controlos, responsáveis e evidências e, depois, relacione esse trabalho com cada referencial.

Um registo de implementação útil contém o seguinte:

Os mapeamentos são de muitos para muitos. Um processo de resposta a incidentes pode sustentar vários resultados do CSF e múltiplos requisitos do SGSI. Inversamente, um resultado pode depender de políticas, salvaguardas técnicas, formação e acordos com fornecedores.

Na resposta a incidentes, o CSF descreve capacidades pretendidas, como coordenar a resposta e analisar incidentes. O SGSI acrescenta disposições de gestão relativas à responsabilidade, ao tratamento de riscos, à avaliação e à melhoria. O registo de um exercício pode sustentar ambos, mas não prova que todos os requisitos mapeados foram cumpridos.

Mantenha o âmbito e as versões dos referenciais explícitos. Não aplique um mapeamento desenvolvido para um serviço de produção a uma filial adquirida sem rever as diferenças. O nosso guia de mapeamento entre referenciais explica como partilhar trabalho sem tratar requisitos diferentes como equivalentes.

Exemplo prático: uma empresa de serviços perante duas exigências

Considere uma empresa de software ilustrativa com um serviço dirigido aos clientes. Suponha que o seu conselho de administração quer um plano de investimento em segurança mais claro e que um potencial cliente exige uma certificação ISO 27001 que abranja esse serviço. Estes são pressupostos hipotéticos, não um caso de estudo de um cliente.

O CEO nomeia um patrocinador executivo responsável e pede ao responsável de segurança que proponha um âmbito que inclua as operações do serviço e os processos de suporte relevantes. A proposta identifica a infraestrutura cloud, o apoio ao cliente, o desenvolvimento, a administração de identidades e os fornecedores externos. A gestão verifica se o limite corresponde ao requisito do cliente, em vez de escolher o âmbito mais pequeno e conveniente.

A equipa desenvolve um Perfil Atual do CSF. Conclui que as aprovações de acesso são registadas, mas as revisões de acessos privilegiados são inconsistentes. Existem cópias de segurança, mas as evidências de reposição estão incompletas. As funções em caso de incidente estão documentadas, mas a escalada para os fornecedores nunca foi exercitada.

O Perfil Alvo define três prioridades: governação coerente dos acessos privilegiados, capacidade de reposição demonstrada e resposta a incidentes coordenada. A avaliação de riscos do SGSI avalia as consequências correspondentes para o negócio e estabelece as decisões de tratamento.

A gestão revê o progresso face ao Perfil Alvo e aos objetivos do SGSI. Financia as dependências de recuperação por resolver e decide como serão tratadas as exceções temporárias de acesso. A auditoria interna verifica o sistema de gestão e a implementação; as ações corretivas são tratadas antes da avaliação de certificação.

O resultado não são dois conjuntos de capturas de ecrã. É um único corpo de evidências de implementação, interpretado face a requisitos diferentes, com responsabilidades e decisões da gestão visíveis.

Orçamentar a implementação e o funcionamento contínuo

O NIST CSF está disponível gratuitamente, mas aplicá-lo não é gratuito. Ambas as abordagens exigem tempo do pessoal para compreender os riscos, melhorar os controlos, recolher evidências, formar pessoas e manter as práticas. A ISO 27001 implica ainda a aquisição da norma e, quando procurada, os honorários do organismo de certificação.

Construa um orçamento em torno de pacotes de trabalho, e não de um preço de mercado presumido:

• Avaliação de referência e definição do âmbito.
• Alterações aos controlos, incluindo trabalho de engenharia e com fornecedores.
• Documentação, revisão de evidências e formação do pessoal.
• Auditoria interna, revisão pela gestão e ações corretivas.
• Avaliação de certificação externa, quando necessária.
• Responsabilidade, monitorização, exercícios e reavaliação recorrentes.

Peça propostas de certificação para o mesmo âmbito, para que possam ser comparadas de forma significativa. Pergunte que avaliações, localizações, trabalho de seguimento e despesas estão incluídos. Mantenha a correção dos controlos separada dos honorários de certificação: um orçamento de auditoria barato não prepara um programa de segurança subfinanciado.

Avalie o valor comercial com base em requisitos e oportunidades de clientes documentados, e não na promessa de que a certificação gera automaticamente receitas.

Evitar afirmações que as evidências não sustentam

Os erros comuns são declarar «conformidade com o NIST» sem explicar o Perfil e o âmbito, apresentar um certificado restrito como garantia para toda a empresa e tratar controlos mapeados como prova de eficácia.

Outro erro é medir o sucesso apenas pelos documentos concluídos. A gestão deve também perguntar se os serviços importantes têm caminhos de recuperação testados, se as exceções têm responsáveis, se os tratamentos em atraso estão a ser escalados e se as constatações anteriores se repetem. Estas perguntas ligam o sistema de gestão ao desempenho operacional.

Não existe uma percentagem universal defensável que mostre quão perto uma implementação do CSF está da conformidade com a ISO 27001. Os controlos existentes podem ser reutilizáveis, mas os requisitos do sistema de gestão em falta, as diferenças de âmbito e as evidências fracas continuam a precisar de avaliação.

Fazer do próximo passo uma decisão de gestão com âmbito definido

Crie uma breve nota de decisão que indique o resultado pretendido, o limite proposto, as expectativas dos clientes, o patrocinador responsável, as principais lacunas e os recursos necessários. Decida se o próximo marco é um Perfil CSF revisto, um SGSI em funcionamento ou a prontidão para a certificação. Atribua a cada marco critérios de aceitação que incluam evidências, e não apenas a conclusão de documentos.

A Secani apoia este fluxo de trabalho ao modelar sistemas e serviços, ligar as evidências a requisitos, controlos e decisões e atribuir responsáveis e tarefas de revisão. As equipas podem preservar ligações às fontes, comentários, aprovações e carimbos temporais, tratando as sugestões assistidas por IA como rascunhos que exigem revisão humana. Comece por um âmbito representativo e pelas suas evidências existentes antes de alargar a cobertura.

A responsabilidade da gestão continua explícita: aprovar prioridades, dotar o trabalho de recursos e verificar se as evidências sustentam as afirmações que o negócio faz.