É uma cena que se repete na primeira reunião. Alguém da equipe de TI abre uma planilha com os controles do Anexo A da ISO/IEC 27001 e uma coluna de sim/não. O resultado dá alto: setenta e tantos por cento, às vezes mais. A conclusão que se tira é que falta pouco.
Quase sempre falta bastante. Não porque a planilha esteja malfeita, mas porque a pergunta que ela faz não serve para decidir.
O problema de perguntar “existe?”
A versão 2022 da norma reorganizou o Anexo A em 93 controles agrupados em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. Uma autoavaliação binária pergunta, para cada um, se o controle existe.
O problema é que “existe” abriga realidades muito diferentes:
- Alguém escreveu um documento que ninguém leu.
- O controle é aplicado, mas depende de uma pessoa se lembrar.
- O controle está no procedimento e é executado, mas não deixa registro.
- O controle é executado, deixa registro e ninguém revisa esses registros.
- O controle é executado, registrado, revisado, e os desvios são corrigidos.
As cinco situações respondem “sim”. Só a última resiste a uma auditoria de certificação, e a diferença de esforço entre a primeira e a última é enorme.
Daí vem o otimismo sistemático das autoavaliações: elas não medem mal, medem outra coisa.
Medir maturidade, não presença
Nossa metodologia avalia cada um dos 93 controles de forma independente em uma escala de seis níveis de maturidade, a partir de entrevistas pessoais, levantamento da informação documentada e verificação na auditoria de diagnóstico.
A lógica da escala, em termos gerais, vai do controle inexistente até o controle gerenciado e otimizado, passando por estágios intermediários: o controle executado de maneira informal e dependente de pessoas, o que está definido e documentado, e o que além disso é medido e revisado.
A mudança que medir assim produz é concreta. Um controle em estágio inicial e outro a um passo do objetivo deixam de parecer iguais, e com isso aparece algo que a planilha binária não consegue dar: a distância real e o esforço para fechá-la.
O que se vê quando se olha por domínio
Ao agregar os resultados por tema aparece um perfil que costuma ser bastante consistente entre organizações.
Os controles tecnológicos pontuam melhor do que o esperado. Já há backups, antivírus, segmentação, gestão de patches. Com frequência o problema não é que o controle não exista, mas que não está documentado nem é revisado de forma sistemática. É a lacuna mais barata de fechar.
Os controles físicos pontuam alto em organizações com instalações próprias e baixo nas que operam em escritórios compartilhados ou com esquemas de trabalho distribuído, onde o perímetro é difuso.
Os controles de pessoas são consistentemente os mais fracos. Verificação de antecedentes, acordos de confidencialidade vigentes, processos de desligamento que efetivamente revoguem acessos, conscientização com evidência. É o domínio que mais depende de uma área —Recursos Humanos— que raramente participou da conversa sobre segurança.
Os controles organizacionais são os que mais pesam e os que mais faltam: são o sistema de gestão propriamente dito. Política, papéis, gestão de riscos, classificação da informação, relação com fornecedores, gestão de incidentes.
Daí surge uma conclusão que surpreende muitas equipes técnicas: o trabalho pesado de uma implantação não é tecnológico. A tecnologia costuma estar mais adiantada do que a gestão.
Os três controles que mais trabalho revelam
Há três controles que, na nossa experiência, abrem a maior quantidade de trabalho derivado.
Inventário e classificação de ativos de informação. Parece administrativo e é estrutural: sem saber qual informação se tem, onde está e quão crítica é, não se pode avaliar risco, nem definir controle de acesso, nem dimensionar a continuidade. Quando esse controle está em nível baixo, arrasta outros vinte.
Relação com fornecedores. Quase nenhuma organização tem identificados seus fornecedores críticos de informação, nem cláusulas de segurança nos contratos, nem um mecanismo de acompanhamento. E é um controle que depende de terceiros, então o prazo de fechamento não é controlado pela organização: é preciso renegociar contratos e esperar respostas.
Gestão de incidentes. Costuma existir de forma reativa —resolve-se o que aparece—, mas sem classificação, sem critérios de escalonamento, sem análise de causa e sem lições aprendidas. E sem registro de incidentes não há insumo para a melhoria do sistema.
Para que serve o número, então
Um percentual global de maturidade tem um único uso legítimo: comparar consigo mesmo ao longo do tempo. Serve para mostrar avanço à direção e para sustentar o orçamento do segundo ano.
Não serve para comparar organizações, porque o escopo e o contexto mudam o significado. E não serve como objetivo em si: perseguir o número leva a melhorar os controles fáceis e adiar os que pesam.
O que serve —e é o verdadeiro entregável do diagnóstico— é o roteiro: quais controles fechar primeiro, em que ordem, com qual esforço, com quais dependências entre eles e quem é responsável por cada um. Uma sequência, não uma pontuação.
Como melhorar a sua própria autoavaliação
Se você for fazer o exercício internamente antes de chamar alguém, três ajustes o tornam muito mais útil:
- Troque o sim/não por cinco ou seis níveis. Mesmo que você os defina de forma caseira, a simples obrigação de escolher entre “existe informalmente” e “está definido e é revisado” organiza a discussão.
- Exija evidência para qualquer nível alto. Se ninguém consegue mostrar o registro em menos de cinco minutos, o controle não está onde se pensa.
- Não deixe uma só pessoa preencher. A área de TI superestima os controles organizacionais e subestima os de pessoas. Some Recursos Humanos, Jurídico e Operações.
Só com isso, o resultado vai cair. E vai começar a ser útil.
Nosso diagnóstico de segurança avalia os 93 controles em uma escala de seis níveis e entrega um roteiro priorizado por criticidade e esforço.