Resposta breve
Parte da ISO 27001 você pode configurar por conta própria: descrever seus processos, avaliar riscos e implementar medidas. Mas o certificado em si você não pode emitir por conta própria. Isso é feito por uma instituição certificadora independente e acreditada, que avalia sua organização de acordo com a norma. Portanto, fazer por conta própria e terceirizar não são duas escolhas separadas, mas duas etapas no mesmo processo.
Se você precisa de uma consultoria depende principalmente de quanto tempo, conhecimento e capacidade interna você tem. Para uma pequena empresa com um ambiente de TI simples, é frequentemente possível configurar o sistema por conta própria. Para uma organização com múltiplas filiais, fornecedores e sistemas, esse processo geralmente leva tantas horas que uma orientação profissional encurta o processo.
O que exatamente é a ISO 27001
A ISO 27001 é uma norma internacional para segurança da informação. A norma não descreve produtos técnicos, mas um sistema de acordos: como você avalia riscos, quais medidas você implementa para combatê-los e como você mantém esse sistema. Esse conjunto é chamado ISMS, o Sistema de Gestão de Segurança da Informação. Um certificado demonstra que uma terceira parte independente avaliou esse sistema, não que nunca possa haver problemas.
O que você mesmo pode fazer
Configurar o ISMS por conta própria não é, em princípio, um trabalho que a lei reserva a uma terceira parte externa. Você pode: fazer um inventário de quais informações e sistemas você protege, realizar uma análise de risco, estabelecer políticas e procedimentos, implementar medidas como controle de acesso e backups, e realizar uma auditoria interna para verificar se tudo é realmente executado conforme documentado. Muitas empresas fazem isso com um funcionário dedicado que assume o papel de gerenciador de segurança da informação, complementado por um modelo ou plano de ação.
O desafio é menos o conteúdo do que a integridade. A norma exige um grande número de componentes interconectados, e uma instituição certificadora verifica justamente se nada está faltando. Quem faz isso pela primeira vez frequentemente subestima quanta documentação e evidência são necessárias para demonstrar que uma medida não apenas existe, mas também é implementada.
O que você não pode fazer por conta própria: a instituição certificadora
O certificado em si vem de uma instituição certificadora acreditada para avaliar contra a norma ISO 27001. Esta instituição realiza uma auditoria externa, geralmente em duas fases: primeiro uma avaliação da documentação, depois uma avaliação na prática. Esta etapa você não pode executar internamente, nem mesmo com um funcionário muito experiente: a independência do avaliador é parte do que torna o certificado valioso. Você escolhe qual instituição certificadora acreditada deseja contratar.
O que uma consultoria agrega
Uma consultoria não substitui a instituição certificadora, mas ajuda na etapa anterior: configurar e organizar o ISMS para que a auditoria externa tenha uma maior chance de sucesso. Isso pode envolver estruturar documentação existente, treinar funcionários ou orientar a auditoria interna. Para empresas sem seu próprio departamento de TI ou conformidade, isso economiza principalmente tempo: alguém que já conhece a norma não precisa descobrir cada componente novamente.
Se essa economia de tempo justifica os custos de uma consultoria varia por organização. Uma empresa com uma locação e um panorama de aplicativos simples tem um caminho mais curto do que uma empresa com múltiplas filiais e muitas terceiras partes na cadeia.
A ISO 27001 é sempre necessária, ou há uma alternativa
Nem todo cliente que pede comprovação de segurança da informação exige literalmente um certificado ISO 27001. Alguns clientes aceitam uma autoavaliação, um questionário ou uma declaração sobre as principais medidas, especialmente se a sua empresa é pequena ou tem acesso limitado a dados sensíveis do cliente. Por isso, é prudente verificar primeiro exatamente o que seu cliente pede, antes de iniciar um processo de certificação. a explicação por tema na base de conhecimento mostra quais conceitos geralmente estão por trás de uma pergunta assim e como se relacionam entre si.
Supplia.eu não certifica ou avalia nada e, portanto, não pode determinar se sua organização atende à norma. O que fazemos é reconhecer o questionário do seu cliente e preencher as respostas a partir de um único dossiê da cadeia, para que você não precise explicar repetidamente quais medidas já adotou. Com algumas perguntas você vê onde sua situação se situa aproximadamente, sem que isso diga nada sobre o próprio processo de certificação.
O que pode fazer agora
Comece descobrindo se seu cliente exige um certificado ou se fica satisfeito com uma resposta bem fundamentada ao questionário. Em seguida, veja quanto do ISMS você já tem informalmente em ordem: riscos, controle de acesso, backups e tratamento de incidentes geralmente já estão parcialmente implementados, mesmo sem que alguém o tenha nomeado assim. Somente quando souber o que ainda falta é útil determinar se você mesmo cuida disso ou se traz uma consultoria para a etapa em direção ao organismo certificador.
Na página sobre como as informações em supplia.eu são desenvolvidas você lê de onde vem nossa explicação, para que possa consultá-la junto da norma oficial. Se ainda duvida se sua situação exige um certificado, faça a verificação rápida gratuita ou consulte as perguntas frequentes sobre questionários e documentação de prova para uma primeira orientação.