As empresas dependem cada vez mais de soluções baseadas na nuvem para armazenar e gerir informação. Por isso, a segurança dos dados tornou-se uma preocupação central. Para as plataformas de gestão documental, que lidam com volumes significativos de documentos confidenciais e sensíveis, garantir a segurança dos dados armazenados e processados na nuvem é essencial. Uma das formas mais eficazes de assegurar e demonstrar essa segurança é a adoção da ISO 27017, verificada em auditoria de certificação. Esta norma internacional fornece orientações específicas para a segurança da informação em ambientes de computação em nuvem. Assim, oferece uma camada adicional de proteção, crucial para as plataformas de gestão documental. Este artigo explica a importância da certificação ISO 27017 para as plataformas de gestão documental e de que forma beneficia tanto os fornecedores de serviços como os seus clientes.
O que é a ISO 27017
Definição e contexto
A ISO 27017 é uma norma internacional que oferece orientações específicas para a segurança da informação em ambientes de computação em nuvem. Esta norma complementa a ISO 27001, que estabelece os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), e acrescenta controlos específicos para a segurança na nuvem. A ISO 27017 foi desenvolvida para responder às ameaças e aos riscos próprios dos serviços de computação em nuvem e aplica-se tanto aos fornecedores de serviços na nuvem como aos seus clientes.
Âmbito e abrangência da norma
A ISO 27017 abrange uma série de boas práticas para proteger os dados armazenados e processados na nuvem, incluindo:
Gestão de riscos na nuvem: Identificação e mitigação de riscos específicos da computação em nuvem.
Controlo de acesso: Garantir que apenas utilizadores autorizados têm acesso aos dados na nuvem.
Segurança dos dados: Proteção dos dados contra perda, roubo ou corrupção durante o armazenamento e a transmissão.
Responsabilidades partilhadas: Clarificação das responsabilidades de segurança entre o fornecedor de serviços na nuvem e o cliente.
Monitorização e auditoria: Implementação de medidas para monitorizar e auditar o ambiente de nuvem, a fim de identificar e responder a incidentes de segurança.
Importância da certificação ISO 27017 para as plataformas de gestão documental
Garantia de segurança para os clientes
Para as plataformas de gestão documental, a certificação ISO 27017 mostra que a segurança na nuvem é gerida de forma estruturada e verificada por terceiros. Esta certificação demonstra que a plataforma segue as boas práticas de segurança na nuvem. Por isso, é crucial para ganhar a confiança dos clientes, sobretudo dos que lidam com informação sensível ou regulamentada. Assim, a certificação ISO 27017 dá aos clientes garantias adicionais de proteção contra ameaças cibernéticas e demonstra o compromisso da plataforma com a manutenção de um ambiente seguro.
Proteção contra ameaças específicas da nuvem
A ISO 27017 aborda riscos específicos associados à computação em nuvem. Entre eles contam-se a vulnerabilidade a ciberataques, a falta de controlo sobre os dados armazenados por terceiros e as falhas na implementação de medidas de segurança adequadas. As plataformas de gestão documental utilizam muitas vezes infraestruturas de cloud computing para armazenar grandes volumes de dados. Portanto, a implementação dos controlos recomendados pela ISO 27017 é vital para garantir que os dados dos clientes estão protegidos contra estas ameaças.
Conformidade com regulamentações e normas
Muitos setores estão sujeitos a regulamentação rigorosa sobre a proteção e a privacidade dos dados. É o caso, por exemplo, do Regulamento Geral sobre a Proteção de Dados (RGPD) na União Europeia. A ISO 27017 ajuda as plataformas de gestão documental a cumprir estas exigências, porque fornece um quadro de referência para implementar controlos de segurança alinhados com as obrigações legais. Além disso, a conformidade com normas internacionais de segurança, como a ISO 27017, pode facilitar a entrada em mercados globais, em que a segurança da informação é uma prioridade.
Diferenciação no mercado
Num mercado competitivo, a certificação ISO 27017 pode ser um fator diferenciador importante para as plataformas de gestão documental. Esta certificação reforça a credibilidade da plataforma em termos de segurança. Além disso, pode ser um ponto de venda decisivo para os clientes que priorizam a proteção dos seus dados. Empresas que procuram uma plataforma de gestão documental consideram muitas vezes a segurança um dos principais critérios de seleção. Consequentemente, a certificação ISO 27017 pode ser o elemento que distingue uma plataforma das suas concorrentes.
Confiança e tranquilidade para os clientes
A certificação ISO 27017 oferece uma maior tranquilidade aos clientes, assegurando-lhes que os seus dados estão em mãos seguras. Esta confiança é particularmente importante para empresas que lidam com informações sensíveis, como dados financeiros, informações de saúde ou propriedade intelectual. Saber que a plataforma de gestão documental adotou as boas práticas de segurança na nuvem permite que os clientes se concentrem nas suas atividades principais, sem preocupações constantes com a segurança dos seus dados.
Implementação da ISO 27017 em plataformas de gestão documental
Integração com o SGSI (Sistema de Gestão de Segurança da Informação)
Para demonstrar a conformidade com a ISO 27017, as plataformas de gestão documental devem integrar as orientações da norma no seu Sistema de Gestão de Segurança da Informação (SGSI). Isto envolve implementar controlos específicos para a segurança na nuvem, bem como realizar avaliações de risco regulares, monitorização contínua da segurança e auditorias internas para garantir a aplicação eficaz das medidas de segurança.
Formação e sensibilização
A formação dos colaboradores é um componente essencial da implementação da ISO 27017. Os colaboradores devem estar cientes dos riscos associados à segurança na nuvem e das medidas a adotar para mitigar esses riscos. Além disso, a formação contínua e a sensibilização para as práticas de segurança ajudam a garantir que todos os membros da equipa seguem as boas práticas e contribuem para a manutenção de um ambiente seguro.
Monitorização e auditoria contínuas
Após a implementação dos controlos de segurança recomendados pela ISO 27017, é fundamental que as plataformas de gestão documental assegurem a monitorização e a auditoria contínuas. Este processo ajuda a identificar e corrigir rapidamente quaisquer vulnerabilidades ou falhas de segurança. Consequentemente, a plataforma permanece em conformidade com a norma e protegida contra ameaças emergentes.
A ISO 27017 é certificável?
Há um ponto que gera confusão. A ISO/IEC 27017:2015 é um código de boas práticas: dá orientações e controlos adicionais, mas não contém requisitos de um sistema de gestão. Por isso, em regra, não se certifica isoladamente. O que acontece na prática é a certificação ISO/IEC 27001, atualmente na versão de 2022, com os controlos da ISO 27017 incluídos no âmbito da auditoria. Muitas entidades certificadoras emitem uma declaração ou extensão que confirma essa conformidade. Assim, quando um fornecedor apresenta uma «certificação ISO 27017», convém pedir o certificado ISO 27001, verificar o âmbito e confirmar a entidade certificadora e a sua acreditação.
Normas relacionadas
- ISO/IEC 27001: requisitos do sistema de gestão de segurança da informação.
- ISO/IEC 27002: catálogo de controlos de segurança.
- ISO/IEC 27017: controlos específicos para serviços na nuvem.
- ISO/IEC 27018: proteção de dados pessoais em nuvem pública.
- ISO/IEC 27701: gestão da privacidade, em articulação com o RGPD.
Exemplo prático: Avaliar um fornecedor de plataforma
Considere-se uma empresa que vai escolher uma plataforma de gestão documental na nuvem. Em primeiro lugar, pede o certificado ISO 27001 e verifica se o âmbito inclui o serviço contratado. Depois, confirma a inclusão dos controlos da ISO 27017 e da ISO 27018. Em seguida, analisa o acordo de subcontratação previsto no artigo 28.º do RGPD, a localização dos dados e as responsabilidades partilhadas. Dessa forma, a decisão baseia-se em provas e não apenas em logótipos.
Lista de verificação
- Certificado ISO 27001 válido e com âmbito adequado.
- Controlos ISO 27017 e ISO 27018 incluídos.
- Entidade certificadora acreditada.
- Acordo de subcontratação RGPD assinado.
- Localização dos dados e subcontratantes conhecidos.
Perguntas frequentes
Uma plataforma com ISO 27017 está automaticamente conforme com o RGPD?
Não. A norma ajuda a demonstrar medidas de segurança adequadas, mas o RGPD exige também bases jurídicas, prazos de conservação, direitos dos titulares e contratos de subcontratação.
Conclusão sobre a certificação ISO 27017
A certificação ISO 27017 é de grande importância para as plataformas de gestão documental, especialmente no que diz respeito à segurança dos dados na nuvem. Esta norma fornece um conjunto de orientações específicas que ajudam a proteger a informação contra ameaças cibernéticas, a cumprir obrigações legais e a garantir a confiança dos clientes. Ao adotar a ISO 27017, as plataformas de gestão documental não só melhoram a sua segurança, como ganham uma vantagem competitiva no mercado. Assim, destacam-se como soluções fiáveis e seguras para a gestão de documentos na era digital. Para os clientes, por sua vez, escolher uma plataforma com os controlos da ISO 27017 verificados em certificação traduz-se em maior tranquilidade e confiança de que os seus dados estão bem protegidos.
Leia também: Certificação ISO 27001 e Certificação ISO 27701.
Para conhecer a norma em detalhe, consulte o site oficial da ISO.