Objetivos
Estabelecer as principais lacunas de segurança da informação e definir, junto com a organização, as prioridades, os recursos e a forma de trabalho para fechá-las.
Indústria e varejo
Indústria e varejo: diagnóstico primeiro, plano depois
Auditorias de diagnóstico e planos de segurança da informação em empresas de manufatura e comércio, onde o ponto de partida não é certificar, mas saber onde se está.
- Setor
- Manufatura e comércio
- País
- Uruguai
- Serviço
- Auditoria de diagnóstico e plano de segurança
- Abordagem
- Priorização por risco e esforço
Problema
Em manufatura e comércio, a segurança da informação costuma ter crescido de forma reativa: resolveu-se o que falhou. Ninguém tem uma visão consolidada da exposição, e as decisões de investimento são tomadas com base em percepções, e não em evidência.
Solução
Auditoria de diagnóstico sobre gestão e tecnologia, análise de vulnerabilidades de alto nível e elaboração de um plano de segurança priorizado, com ações imediatas separadas das de médio prazo.
Resultado
A direção obtém uma fotografia objetiva da sua exposição e um plano com ordem de execução, custos estimados e responsáveis, em vez de uma lista de recomendações genéricas.
Contexto do cliente
A indústria e o varejo compartilham dois traços que mudam a análise: a continuidade operacional pesa mais que a confidencialidade —uma planta parada ou um caixa que não fatura têm custo imediato— e a superfície inclui tecnologia de operação além dos sistemas de gestão. Uma abordagem desenhada para uma organização de serviços se aplica mal nesse contexto.
O projeto
Abordagem
Levantamento de gestão e técnico sobre os processos que sustentam a operação, análise de vulnerabilidades de alto nível sobre a superfície exposta e uma leitura de riscos que pondera a continuidade no mesmo nível da confidencialidade. O resultado é entregue priorizado pela relação entre risco mitigado e esforço requerido, para que a organização possa começar pelo que mais move o ponteiro.
Resultados
Planos de segurança executáveis, com ações imediatas identificadas e separadas do trabalho de fundo. Várias dessas organizações seguiram depois para um sistema de gestão completo; outras executaram o plano com recursos próprios, o que também é um resultado válido.
Reflexão e aprendizados
Nem toda organização precisa certificar. Todas precisam saber onde estão. Um diagnóstico honesto vale mais que um projeto de certificação iniciado sem convicção.
Perguntas frequentes
Convém certificar a ISO/IEC 27001 ou fazer primeiro um diagnóstico?
Salvo se houver uma exigência contratual com prazo, convém diagnosticar primeiro. A auditoria de diagnóstico custa uma fração de um projeto de certificação, mede a distância real até a norma e permite decidir com dados se o certificado justifica o investimento ou se basta executar o plano de melhoria.
O que inclui uma auditoria de diagnóstico de segurança?
Um levantamento de gestão —políticas, papéis, processos, gestão de terceiros, continuidade— e outro técnico, com análise de vulnerabilidades de alto nível sobre a superfície exposta. Encerra-se com um relatório que ordena as lacunas por risco e esforço, e com um conjunto de ações imediatas que a organização pode executar sem esperar pelo plano completo.