Para além da recuperação: guia para CISO sobre como construir verdadeira resiliência operacional com ISO 27001:2022

Maria, CISO numa fintech em crescimento, está a apresentar ao Conselho de Administração as métricas de risco do 3.º trimestre. Os seus diapositivos são claros e mostram a redução do número de vulnerabilidades e o sucesso das simulações de phishing. De repente, o telemóvel começa a vibrar insistentemente. É um alerta prioritário do responsável pelo SOC: “Ransomware detetado. Propagação lateral em curso. Serviços bancários centrais afetados.”

O ambiente na sala passa de confiante a tenso. O Diretor Executivo faz a pergunta inevitável: “Com que rapidez conseguimos restaurar a partir de uma cópia de segurança?”

Maria sabe que têm cópias de segurança. Testam-nas trimestralmente. Mas, enquanto a sua equipa se mobiliza para a comutação por falha, uma dúzia de outras perguntas invade-lhe a cabeça. Os ambientes de recuperação são seguros ou estão apenas a reinfetar sistemas restaurados? O nosso registo de incidentes continua funcional no local de contingência ou estamos a operar às cegas? Quem tem acesso administrativo de emergência e as suas ações estão a ser registadas? Na pressa de voltar a colocar os serviços online, estará alguém prestes a enviar dados sensíveis de clientes a partir de uma conta pessoal?

Este é o momento crítico em que um plano tradicional de recuperação de desastres falha e a verdadeira resiliência operacional é posta à prova. Não se trata apenas de recuperar; trata-se de recuperar com integridade. Esta é a mudança fundamental de mentalidade exigida pela ISO/IEC 27001:2022: passar da mera recuperação para a manutenção de uma postura de segurança holística e ininterrupta, mesmo no centro do caos.

A definição moderna de resiliência: a segurança nunca fica em pausa

Durante anos, o planeamento da continuidade do negócio concentrou-se fortemente nos Objetivos de Tempo de Recuperação (RTO) e nos Objetivos de Ponto de Recuperação (RPO). Embora essenciais, estas métricas contam apenas parte da história. Medem a velocidade e a perda de dados, mas não medem a postura de segurança durante a própria crise.

A ISO/IEC 27001:2022, em particular através dos seus controlos do Anexo A, eleva a discussão. Reconhece que uma disrupção não é um botão de pausa para a segurança da informação. Na verdade, o caos de uma crise é precisamente o momento em que os controlos de segurança são mais críticos. Os atacantes prosperam na confusão, explorando exatamente os contornos e procedimentos de emergência concebidos para restaurar o serviço.

Resiliência na ISO/IEC 27001:2022 significa manter a segurança da informação durante a disrupção (controlo 5.29 do Anexo A), uma preparação robusta das TIC para a continuidade do negócio (5.30) e cópias de segurança da informação fiáveis (8.13). O objetivo é assegurar que a resposta não cria novas vulnerabilidades, ainda mais perigosas. Como descrito no Zenith Blueprint: roteiro de 30 passos de um auditor da Clarysec Zenith Blueprint, “os auditores procurarão alinhamento não apenas com a política, mas com a realidade.” É aqui que a maioria das organizações falha: planeia para disponibilidade, mas não para manter a conformidade no meio do caos.

A base: porque a resiliência começa no contexto, não nos controlos

Antes de conseguir implementar eficazmente controlos específicos de resiliência, deve construir um Sistema de Gestão de Segurança da Informação (SGSI) sólido. Muitas organizações falham aqui, saltando diretamente para o Anexo A sem estabelecer as bases adequadas.

O Zenith Blueprint enfatiza que se deve começar pelas cláusulas nucleares do SGSI, uma vez que este trabalho fundacional é a base da resiliência. O processo começa por compreender o ambiente específico da organização:

• Cláusula 4: Contexto da organização: compreender o contexto da organização, incluindo questões internas e externas e requisitos das partes interessadas, e definir o âmbito do SGSI.
• Cláusula 5: Liderança: assegurar o compromisso da gestão de topo, estabelecer uma Política de Segurança da Informação e definir funções e responsabilidades organizacionais.
• Cláusula 6: Planeamento: realizar uma avaliação de riscos abrangente e o planeamento do tratamento de riscos, e definir objetivos claros de segurança da informação.

Para a fintech de Maria, uma análise aprofundada ao abrigo da Cláusula 4 teria identificado as pressões regulamentares de DORA e NIS2 como questões externas-chave. Uma avaliação de riscos ao abrigo da Cláusula 6 teria modelado o cenário exato de ransomware que enfrenta agora, destacando o risco de ambientes de recuperação comprometidos e de registo insuficiente durante um incidente. Sem este contexto, qualquer plano de resiliência é apenas uma tentativa às cegas.

Os dois pilares da resiliência operacional na ISO/IEC 27001:2022

No âmbito do referencial ISO/IEC 27001:2022, dois controlos do Anexo A destacam-se como os pilares da resiliência operacional: Cópia de segurança da informação (8.13) e Segurança da informação durante a disrupção (5.29).

Controlo 8.13: Cópia de segurança da informação — a rede de segurança essencial

Este é o controlo que todos acreditam ter coberto. Mas uma estratégia de cópias de segurança verdadeiramente eficaz é mais do que copiar ficheiros. É um controlo corretivo centrado na integridade e na disponibilidade, e está profundamente interligado com muitos outros controlos.

Atributos: corretivo; Integridade, Disponibilidade; Recuperar; Continuidade; Proteção.
Capacidade operacional: Continuidade.
Domínio de segurança: Proteção.

Perspetiva de auditoria: um auditor exigirá mais do que um “sim” à pergunta “Têm cópias de segurança?”. Exigirá logs que comprovem a existência de cópias de segurança recentes, evidência de que os testes de restauro foram bem-sucedidos e prova de que os suportes de cópia de segurança estavam cifrados, armazenados em segurança e abrangiam todos os ativos críticos definidos no inventário.

Cenário: um sistema é apagado por ransomware ou por um erro crítico de configuração. A capacidade de recuperar com integridade depende de uma estratégia madura de cópias de segurança. Os auditores verificarão que esta estratégia não está isolada, mas ligada a outros controlos críticos:

• 5.9 Inventário de informação e outros ativos associados: não é possível fazer cópias de segurança do que não se conhece. Um inventário abrangente é indispensável.
• 8.7 Proteção contra malware: as cópias de segurança devem ser isoladas e protegidas do próprio ransomware que pretendem neutralizar. Isto inclui a utilização de armazenamento imutável ou cópias isoladas fisicamente.
• 5.31 Requisitos legais, estatutários, regulamentares e contratuais: os seus calendários de retenção de cópias de segurança e locais de armazenamento cumprem as leis de residência dos dados e as obrigações contratuais?
• 5.33 Proteção de registos: as suas cópias de segurança cumprem os requisitos de retenção e privacidade aplicáveis a dados pessoais identificáveis (PII), registos financeiros ou outros dados regulados?

Controlo 5.29: Segurança da informação durante a disrupção — o guardião da integridade

Este é o controlo que separa um SGSI conforme de um SGSI resiliente. Responde diretamente às perguntas críticas que assombram Maria durante a crise: como mantemos a segurança quando as nossas ferramentas e processos principais estão indisponíveis? O controlo 5.29 exige que as medidas de segurança sejam planeadas e permaneçam eficazes durante todo o evento disruptivo.

Atributos: preventivo, corretivo; Proteger, Responder; Confidencialidade, Integridade, Disponibilidade.
Capacidade operacional: Continuidade.
Domínio de segurança: Proteção, Resiliência.

Perspetiva de auditoria: os auditores analisam os Planos de Continuidade do Negócio e de Recuperação de Desastres especificamente para encontrar evidência de considerações de segurança. Verificam as configurações de segurança dos locais alternativos, confirmam que o registo e os controlos de acesso são mantidos e escrutinam quaisquer processos de contingência quanto a fragilidades de segurança, não apenas quanto à sua capacidade de restaurar o serviço.

Cenário: o centro de dados principal está offline e as operações são transferidas para um local de contingência. Os auditores esperam ver evidência — relatórios de visitas ao local, ficheiros de configuração, logs de acesso — de que o local secundário cumpre os requisitos de segurança do local principal. A mudança de emergência para trabalho remoto alargou a proteção de endpoint e o acesso seguro a todos os dispositivos? As decisões de flexibilizar temporariamente alguns controlos e de os repor posteriormente foram documentadas?

O Zenith Blueprint capta perfeitamente a sua essência: “O essencial é que a segurança não fique em pausa enquanto os sistemas estão a ser restaurados. Os controlos podem mudar de forma, mas o objetivo permanece: manter a informação protegida, mesmo sob pressão.” Este controlo obriga a planear a realidade complexa de uma crise e está estreitamente articulado com outros controlos:

• 5.30 Preparação das TIC para a continuidade do negócio: assegura que o plano técnico de recuperação não ignora o plano de segurança.
• 8.16 Atividades de monitorização: exige que exista uma forma de manter visibilidade mesmo quando as ferramentas principais de monitorização estão offline.
• 5.24 Planeamento e preparação da gestão de incidentes de segurança da informação: as equipas de crise e de continuidade devem operar em paralelo, assegurando que a consciência situacional da resposta a incidentes é mantida durante a disrupção.
• 5.28 Recolha de evidência: assegura que, na pressa de restaurar, não se destrói evidência forense crucial necessária para investigação e reporte regulamentar.

Guia prático para implementar resiliência auditável

Traduzir estes controlos da teoria para a prática exige políticas e procedimentos claros e acionáveis. Os modelos de políticas da Clarysec foram concebidos para incorporar estes princípios diretamente no SGSI. Por exemplo, a nossa Política de Cópias de Segurança e Restauro Política de Cópias de Segurança e Restauro fornece um quadro que vai além de simples calendários de cópias de segurança:

“A política aplica controlos da ISO/IEC 27001:2022 relacionados com a recolha de evidência (5.28), resiliência durante a disrupção (5.29), recuperação operacional (8.13) e eliminação de informação (8.10), e mapeia-os para boas práticas da ISO/IEC 27002:2022, NIST SP 800-53 Rev.5, RGPD da UE, DORA e NIS2.”

Esta abordagem holística transforma a resiliência de um conceito abstrato num conjunto de tarefas operacionais e auditáveis.

Lista de verificação acionável: auditar a sua estratégia de cópias de segurança e resiliência

Utilize esta lista de verificação, orientada por uma política abrangente, para preparar a evidência que um auditor exigirá.

O imperativo de conformidade cruzada: mapear a resiliência para DORA, NIS2 e além

Para organizações em setores críticos, a resiliência não é apenas uma boa prática da ISO/IEC 27001:2022; é um mandato legal. Regulamentos como o Regulamento de Resiliência Operacional Digital (DORA) e a Diretiva NIS2 colocam enorme ênfase na capacidade de resistir a disrupções das TIC e recuperar das mesmas.

Felizmente, o trabalho realizado para a ISO/IEC 27001:2022 oferece uma vantagem significativa. O Zenith Controls: guia de conformidade cruzada da Clarysec Zenith Controls foi concebido para criar tabelas de mapeamento explícitas que demonstrem este alinhamento a auditores e reguladores. A documentação proativa demonstra que a segurança é gerida no seu pleno contexto legal.

As nossas políticas são construídas com isto em mente. A Política de Proteção de Dados e Privacidade Política de Proteção de Dados e Privacidade, por exemplo, declara explicitamente o seu papel no reforço da conformidade com DORA e NIS2 juntamente com a ISO/IEC 27001:2022.

Esta tabela de mapeamento ilustra como os controlos centrais de resiliência satisfazem requisitos em vários referenciais principais.

Ao construir o SGSI em torno do quadro robusto da ISO/IEC 27001:2022, constrói simultaneamente uma posição defensável perante estes outros regulamentos exigentes.

Pelos olhos do auditor: como a sua resiliência será testada

Os auditores são treinados para ir além das políticas e procurar prova de implementação. Quando se trata de resiliência, querem ver evidência de disciplina sob pressão. Uma auditoria às capacidades de resiliência será multifacetada, com diferentes auditores a concentrarem-se em diferentes tipos de evidência.

Armadilhas comuns: onde os planos de resiliência falham frequentemente na realidade

As constatações de auditoria da Clarysec mostram fragilidades recorrentes que comprometem até os planos mais bem escritos. Evite estas armadilhas comuns:

• Os processos manuais de contingência não têm segurança suficiente. Quando os sistemas ficam indisponíveis, os colaboradores regressam a folhas de cálculo e correio eletrónico. Estes processos manuais muitas vezes não têm a segurança física ou lógica dos sistemas principais.
  • Correção: integre proteção física (armários fechados, logs de acesso) e controlos lógicos (ficheiros cifrados, canais de comunicação seguros) nos protocolos de crise para procedimentos manuais de contingência.
• Os locais alternativos não estão totalmente configurados. O centro de dados de contingência tem servidores e dados, mas pode não ter regras de firewall equivalentes, agentes de registo ou integrações de controlo de acesso.
  • Correção: documente a equivalência dos controlos de segurança entre os locais principal e secundário. Realize auditorias técnicas regulares ao local de contingência e inclua representantes de segurança em todos os exercícios de comutação por falha.
• Os testes de restauro são incompletos ou não estruturados. As organizações testam se um servidor pode ser restaurado, mas não testam se a aplicação restaurada é segura, está a gerar logs e tem desempenho correto sob carga.
  • Correção: torne os testes abrangentes de restauro de cópias de segurança, incluindo validação de segurança, uma parte obrigatória dos exercícios de incidentes e das revisões anuais de auditoria.
• A privacidade de dados nas cópias de segurança é negligenciada. As cópias de segurança podem tornar-se uma responsabilidade de conformidade, retendo dados que deveriam ter sido eliminados ao abrigo do direito ao apagamento previsto no RGPD da UE.
  • Correção: alinhe os procedimentos de retenção e eliminação de cópias de segurança com as políticas de privacidade de dados. Assegure a existência de um processo documentado para apagar dados específicos de conjuntos de cópias de segurança quando legalmente exigido.

De conforme a resiliente: promover uma cultura de melhoria contínua

Alcançar resiliência não é um projeto pontual que termina com a certificação. É um compromisso contínuo com a melhoria, consagrado na Cláusula 10 da ISO/IEC 27001:2022. Uma organização verdadeiramente resiliente aprende com cada incidente, cada quase-incidente e cada constatação de auditoria.

Isto exige ir além de correções reativas. O Zenith Blueprint sugere incorporar a melhoria contínua na cultura organizacional através da criação de canais para os colaboradores sugerirem melhorias de segurança, da realização de avaliações de risco proativas quando ocorrem alterações significativas e da execução rigorosa de revisões pós-incidente para captar lições aprendidas.

Além disso, o controlo 5.35 (Revisão independente da segurança da informação) desempenha um papel crucial. Convidar uma parte independente a rever o SGSI proporciona uma perspetiva imparcial que pode revelar pontos cegos que a equipa interna pode não detetar. Como o Zenith Blueprint afirma de forma contundente: “…o que separa um SGSI conforme de um SGSI verdadeiramente resiliente é isto: a disponibilidade para fazer perguntas difíceis e para ouvir quando as respostas são desconfortáveis.”

O próximo passo: construir um SGSI inquebrável

A crise de Maria destaca uma verdade universal: a disrupção é inevitável. Seja por ransomware, desastre natural ou falha de um fornecedor crítico, a organização será testada. A pergunta não é se, mas como irá responder. Irá simplesmente recuperar ou responderá com resiliência?

Construir um SGSI que mantenha a integridade sob pressão exige uma abordagem estratégica e holística. Começa por uma base sólida, incorpora controlos profundamente interligados e é sustentado por uma cultura de melhoria contínua. Não espere por uma disrupção real para revelar as lacunas da sua estratégia.

Pronto para construir um SGSI que não seja apenas conforme, mas verdadeiramente inquebrável?

• Descarregue o Zenith Blueprint da Clarysec: roteiro de 30 passos de um auditor para orientar a implementação do princípio ao fim.
• Utilize os nossos modelos abrangentes de políticas, como a Política de Cópias de Segurança e Restauro, para traduzir normas em ações concretas e auditáveis.
• Use o Zenith Controls: guia de conformidade cruzada para assegurar que os seus esforços cumprem as exigências rigorosas da ISO/IEC 27001:2022, DORA e NIS2.

Entre em contacto hoje para uma avaliação gratuita de resiliência e deixe que os especialistas da Clarysec o ajudem a construir um SGSI que prospera sob pressão.