A ISO 27001 dita as regras para um Sistema de Gestão de Segurança da Informação (SGSI) a ser implementado em empresas, com foco na proteção de dados.
Não à toa, essa normativa, por exemplo, acaba mesmo que indiretamente orientando até a forma como devem ocorrer as assinaturas eletrônicas de documentos corporativos.
É a ISO 27001 que mostra como devem ser os controles de segurança do ambiente em que as assinaturas ocorrem e que indica, portanto, o que é e o que não é uma solução adequada a ser implementada nas corporações para que haja a gestão correta de riscos, mais profissionalismo e transparência e apoio consistente à compliance e geração de evidências.
Agora, quem decide se uma plataforma de assinatura eletrônica está, mesmo, adequada à normativa? Quem escolhe a solução a ser implementada? Vale a pena um dono de startup se preocupar com isso?
Fique sabendo: a opinião e análise de gestores e desenvolvedores importam! E a máxima adequação à norma é altamente indicada para organizações de todos os portes e setores!
Aliás, as informações contidas neste artigo talvez tenham grande valor para uma mudança estrutural importante (e econômica!) por aí.
O que é e para que serve a ISO 27001?
A ISO 27001 não é uma norma específica sobre assinatura eletrônica, mas um conjunto de regras que define como uma empresa deve organizar sua própria segurança da informação. Essa normativa estabelece e orienta na criação de um Sistema de Gestão de Segurança da Informação (SGSI), que é um conjunto estruturado de políticas, processos e controles.
O SGSI conforme a ISO 27001 envolve:
- Definição de como as informações circulam na empresa (quem acessa, como são protegidas, quais riscos existem e como acompanhá-los)
- Criação de processos específicos para garantia de segurança da informação
- Atribuição de responsáveis para cada etapa do processo
- Ênfase na gestão contínua da segurança de dados
- Uso de tecnologias adequadas, mas não somente
A norma se apoia em três pilares: confidencialidade, integridade e disponibilidade (CID). Então, a adequação de uma empresa a ela tem tudo a ver com garantir que os dados corporativos, como um todos, sejam acessados apenas por pessoas autorizadas, não sofram alterações indevidas e estejam disponíveis quando necessários.
Vale a pena obter a certificação ISO 27001?
Sim, mesmo que não haja nenhum tipo de obrigação formal, inclusive para que a empresa se destaque aos olhos de stakeholders (principalmente, clientes e parceiros). Muitas negociações já incluem perguntas sobre controle de acesso, tratamento de incidentes e proteção de dados, você sabia?
Além disso, para muitas startups e empresas SaaS, por exemplo, a ISO 27001 já deixou de ser um requisito de TI e passou a ser argumento comercial, especialmente em tratativas que envolvem automação de contratos e padronização de processos digitais.
Enfim, se há identificação do seu negócio com um ou mais dos cenários listados adiante, comece a agir!
- Crescimento (pretendido ou acontecendo)
- Due diligence para investimento
- Parcerias B2B
- Migração para cloud
- Aumento de integrações com outros sistemas (via API)
- Contratos maiores entrando
- Aumento do volume de dados armazenados
- Adequação de compliance do time comercial
- Exigências de clientes (questionários de segurança ou vendor assessment)
- Auditorias e certificações em pauta
- Histórico de incidentes ou alertas de segurança recentes
Aqui, a ISO 27001 passa a ser mais do que um selo, virando um mapa de prioridades que “cataloga” o que organizar primeiro, quais riscos tratar e quais controles provar no cotidiano.
Mas não se preocupe! Dá para começar a adequação por etapas, traduzindo a compreensão correta da norma em rotina e tecnologia. E é exatamente aqui que a assinatura eletrônica entra no SGSI de forma prática!
No fluxo de assinaturas online de documentos existem tráfego de dados sensíveis, armazenamento de documentos, controle de acesso por usuários, geração de logs, aplicação de criptografia e necessidade de continuidade de negócio.
Ou seja: trabalhar com assinaturas eletrônicas não pode ser sinônimo de rubricar um PDF. Independentemente do porte ou setor da sua empresa, o processo precisa envolver segurança em trânsito, segurança em repouso, rastreabilidade, auditoria e gestão de riscos.
O que “pede” a ISO 27001 e como adequar sua empresa?
Você é founder? É desenvolvedor? Tem uma startup, por exemplo? Use a ISO 27001 como referência para organizar uma nova rotina e estrutura, com novos e melhores padrões!
| O que pede a ISO 27001? | Como garantir? |
|---|---|
| Gestão de riscos | Identifique ameaças, avalie impactos e defina medidas de tratamento |
| Controle de acessos | Restrinja o acesso a dados confidenciais conforme perfil, função e necessidade |
| Proteção de todos os dados | Use mecanismos de proteção tanto durante a transmissão quanto no armazenamento |
| Rastreabilidade e auditoria | Garanta registros transparentes, completos e de fácil acesso para investigações |
| Resposta a incidentes | Defina procedimentos de ação diante falhas ou violações em seus sistemas |
| Gestão de fornecedores críticos | Avalie, escolha com cautela e monitore terceiros que acessem seus dados* |
| Continuidade do negócio | Planeje-se para manter sua operação ativa mesmo diante de falhas ou interrupções |
*Mesmo que sua intenção agora seja “só” modernizar o fluxo de gestão de documentos com uma API de assinatura eletrônica, a escolha do fornecedor já entra como decisão de risco.
E cuidado com o risco que você está disposto a correr!
Integrar uma plataforma frágil hoje vai ser sinônimo de “remendas” nos controles de dados quando o amanhã chegar, e talvez de uma troca radical por outra solução num momento em que a empresa não deveria precisar mais disso – aquele momento em que tudo já está maior e mais auditado, sabe?
ISO 27001 vs. assinatura eletrônica: o que você precisa saber
Uma plataforma de assinatura eletrônica é um fornecedor crítico que processa dados sensíveis, como ponto de controle da integridade documental e como fonte de evidências por meio de logs e trilhas de auditoria.
Se essa plataforma não for segura, ela passa a representar um risco sistêmico dentro da estrutura de segurança da informação do seu negócio.
Sem um sistema de gestão sustentando, a segurança dos dados da sua empresa fica restrita a um código ou a uma infraestrutura específicos, enquanto, com um SGSI que segue o que está na ISO, há uma proteção total e que integra processos, tecnologias e pessoas.
Assim fica mais fácil de entender porque a ISO 27001 e suas orientações de SGSI devem ser consideradas no momento da implementação de uma tecnologia com essa, não?
Como cada assinatura envolve informações confidenciais que precisam ser protegidas do início ao fim do fluxo de automatização de documentos, quanto mais conhecimento você tiver da ISO 27001, mais adequação do seu negócio a ela e maiores as chances de a sua escolha de soluções tecnológicas ser acertada.
Por isso, criptografia bem aplicada, controle de acesso definido, geração de logs e registros de auditoria que sustentem o histórico da operação são características importantes dessa ferramenta.
Afinal, como escolher uma API de assinatura eletrônica adequada à ISO 27001?
Questione-se: “qual alternativa melhor sustenta o nível de segurança que o meu negócio vai precisar daqui a um, dois ou cinco anos?”. Escolha aquela que:
- Permite controle de acesso por perfis e níveis de usuário
- Tem API garantidamente segura e documentação técnica transparente
- Protege dados em trânsito e em repouso com criptografia adequada
- Mantém logs disponíveis e gera trilhas de auditoria completas
- Vai facilitar seu compliance futuro
Entenda a arquitetura de segurança, as políticas de criptografia, de trilhas de auditoria e de gestão de incidentes das suas opções e bata o martelo naquela cujo desenvolvimento e a implementação sejam realmente pensados para o longo prazo e que considerem segurança integrada como parte de sua arquitetura.
Conte com uma plataforma/API de assinatura eletrônica que vá lhe ajudar a escalar, auditar, integrar e demonstrar conformidade técnica e processual para toda e qualquer outra pessoa ou empresa.
Deixe seu comentário ou dúvida