Esta imersão nivela o participante no entendimento da ISO/IEC 27001: o que ela é, como está estruturada, como se relaciona com a ISO/IEC 27002 e as demais normas da família 27000, e o que a certificação exige de uma organização. A partir da leitura guiada das cláusulas 4 a 10 e do Anexo A, o participante aprende a distinguir requisito de orientação, a reconhecer como nasce a Declaração de Aplicabilidade e a entender o que é preciso para implementar um controle e dimensionar o esforço envolvido. Não é necessário ter as normas; os trechos relevantes são apresentados em aula. É o ponto de partida para quem vai atuar como implementador, auditor ou gestor de segurança da informação.
Aula 1: Por que a 27001 existe e o que é um sistema de gestão
- Informação como ativo e a tríade confidencialidade, integridade e disponibilidade
- Ativo, ameaça, vulnerabilidade, risco, evento e incidente
- O que é um sistema de gestão e como o PDCA o mantém vivo
- Estrutura da ISO/IEC 27001 e a leitura de "deve", "convém" e "pode"
- Quem é quem: ISO, IEC, ABNT e por que a versão brasileira tem outro ano
- Requisito, diretriz e código de prática; normas certificáveis e não certificáveis
- Cadeia de acreditação, como ler um certificado e o ciclo de 3 anos
Aula 2: A 27001 por dentro, cláusulas 4 a 10
- Contexto, partes interessadas e escopo, com case de definição de escopo
- Liderança, política de segurança da informação e papéis
- Avaliação e tratamento de riscos e o nascimento da Declaração de Aplicabilidade
- Objetivos de segurança da informação e planejamento de mudanças
- Recursos, competência, conscientização e informação documentada (mantida e retida)
- Operação, monitoramento e medição, auditoria interna e análise crítica pela direção
- Não conformidade e ação corretiva; como escrever uma não conformidade
Aula 3: Controles e o que é preciso para implementá-los
- Do risco inerente ao risco residual: o que um controle faz
- Definição de controle, controle versus ferramenta, tipos e eficácia
- Os 93 controles do Anexo A em 4 temas, apresentados um a um
- Como ler um controle na ISO/IEC 27002: partes, atributos e leituras guiadas
- Do controle à Declaração de Aplicabilidade: justificar, avaliar todos, evidenciar
- Os 7 elementos de um controle implementado e os níveis que o auditor aceita
- Como dimensionar o esforço: fatores, custo total, sequência e plano de tratamento
