Módulo de Segurança da Informação da ISA 2027: Uma Análise Controle por Controle

Políticas, Funções e Ativos

1.1.1 – Em que medida as políticas de segurança da informação estão disponíveis? As politicas devem estar disponíveis e serem comunicadas. Dar maior ênfase à comunicação das mudanças de políticas a todas as partes relevantes resolve um desafio comum para muitas organizações: políticas que existem, mas nunca foram efetivamente comunicadas aos níveis hierárquicos inferiores.

1.2.2 – Em que medida as responsabilidades de segurança da informação estão organizadas? Os papéis devem ser definidos e atribuídos, e Empoderado. Isso elimina uma lacuna frequente em que as funções são atribuídas formalmente no papel, mas não possuem a autoridade necessária para serem cumpridas e aplicadas.

1.3.1 – Em que medida os ativos de informação são identificados e registrados? Os ativos devem ser identificados, classificados, e atribuído a uma pessoa responsável, com maior ênfase na classificação e na definição clara de responsabilidades do que antes.

Gestão de Incidentes e Crises

1.6.2 – Em que medida os eventos de segurança relatados são gerenciados? Agora é necessário definir os critérios e prazos para a escalada do problema, esclarecendo o que desencadeia a escalada e dentro de que prazo ela deve ocorrer.

1.6.3 – Em que medida a organização está preparada para lidar com situações de crise? É necessário definir e testar um plano de gestão de crises, dando maior ênfase tanto ao planejamento quanto aos testes práticos de gestão de crises, em vez de se limitar apenas à documentação.

Gestão de Recursos Humanos e Acesso

2.1.4 – Em que medida o trabalho móvel é regulamentado? O termo "teletrabalho" foi substituído por "trabalho móvel", que reflete melhor como as organizações o descrevem atualmente.

4.2.1 – Em que medida os direitos de acesso são atribuídos e gerenciados? Os direitos de acesso devem ser atribuídos, revisados e revogados, uma atualização que reflete melhor a natureza contínua e ligada ao ciclo de vida da gestão de direitos de acesso, em vez de tratá-lo como uma tarefa de configuração única.

TI e Segurança Cibernética

5.2.4 – Em que medida os registros de eventos são gravados e analisados? O registro de atividades agora deve incluir sessões remotas e violações de políticas. Registrar a atividade de sessões remotas é uma medida sensata para rastreabilidade e responsabilização, embora ainda seja uma questão em aberto quais violações de políticas podem ser realisticamente identificadas e registradas de forma tecnicamente confiável.

5.2.6 – Em que medida os sistemas e serviços de TI são verificados tecnicamente (auditoria de sistemas e serviços)? As vulnerabilidades devem ser identificadas e corrigidas dentro de um prazo definido. A simples identificação das vulnerabilidades, sem um compromisso de correção, já não é suficiente, um endurecimento bem-vindo, uma vez que vulnerabilidades conhecidas e não resolvidas são uma das lacunas mais comuns que observamos na prática.

5.2.8 – Em que medida está implementado o planejamento de continuidade para os serviços de TI? Agora, é necessário definir explicitamente cenários específicos, como DDoS, ransomware e similares, para que as estratégias de remediação possam ser adaptadas a cada cenário, em vez de depender de um plano de continuidade genérico.

5.2.9 – Em que medida o backup e a recuperação de dados e serviços de TI são garantidos? É necessário definir backup, recuperação, sequenciamento e isolamento, com maior ênfase na capacidade de restauração, nas interdependências entre os backups e nos aspectos de segurança da informação dos próprios backups (por exemplo, proteger os backups enquanto estiverem em repouso).

Relações com Fornecedores

6.1.1 – Em que medida a segurança da informação é garantida entre os contratados e parceiros de cooperação? Os requisitos devem agora ser definidos, monitorados e auditados. O perfil de risco de um fornecedor pode mudar com o tempo, um fornecedor considerado aceitável no passado pode não atender mais aos critérios de avaliação atuais, de modo que auditorias internas e externas recorrentes desempenham um papel importante na confirmação contínua do status de confidencialidade e disponibilidade.

Em nossas análises de qualidade, frequentemente observamos que as organizações perdem a oportunidade de repassar os requisitos do TISAX® para sua própria base de fornecedores. Se um fornecedor for essencial para a disponibilidade de seus produtos ou serviços, ele deve ser obrigado a demonstrar um nível correspondente de garantia de disponibilidade. A mesma lógica se aplica quando informações confidenciais são compartilhadas com fornecedores, que também devem ser obrigados a demonstrar que atendem aos requisitos necessários de segurança da informação.

6.1.3 (anteriormente 1.2.4) – Em que medida as responsabilidades entre os fornecedores externos de serviços de TI e a organização estão definidas? Esse controle passou a fazer parte do capítulo de gestão de fornecedores, e o termo O termo "Fornecedores de TI" foi ampliado para "Provedores de Serviços de TI". No passado, muitas organizações interpretaram "Fornecedores de TI" de forma muito restrita, associando-o principalmente a serviços de TI terceirizados, embora o controle sempre tenha tido a intenção de abranger todos os serviços de TI/OT fornecidos externamente, incluindo serviços em nuvem e baseados na web.

A redação revisada deixa claro que os fornecedores externos de serviços de TI podem ser contratualmente obrigados a proteger informações confidenciais (por meio de SLAs e uma Declaração de Aplicabilidade do fornecedor), enquanto a própria organização permanece responsável pelas regras internas que regem como seus funcionários lidam com informações confidenciais compartilhadas com fornecedores externos.

Conformidade

7.1.2 – Em que medida a proteção de dados pessoais é considerada na implementação da segurança da informação? O termo mais intuitivo "dados pessoais" agora é usado juntamente com "informações de identificação pessoal", já conhecidas por outros meios de comunicação. Quadros ISO e marcos legais como o RGPD.

Onde ainda vemos espaço para melhorias: a lacuna de escopo entre TI e TO

Uma área que gostaríamos de destacar para atenção especial: muitas organizações não percebem que o termo "sistema de TI" é definido de forma mais abrangente no catálogo da ISA do que imaginam. De acordo com as definições da ISA, um sistema de TI é qualquer tipo de sistema usado para processamento eletrônico de informações – uma definição ampla o suficiente para abranger Tecnologia Operacional (TO), como switches, câmeras e sensores.

Consequentemente, as organizações frequentemente ignoram que os controles referentes a sistemas de TI – especialmente aqueles vinculados à norma IEC 62443-2-1 – se aplicam tanto a ambientes de TI quanto de TO (Tecnologia Operacional), e não apenas ao parque de TI tradicional.

Isso já ocorria na versão ISA 6.0 e, em nossa opinião, a ISA 2027 poderia ter dado mais ênfase à dimensão de Tecnologia Operacional (TO) de forma explícita. Na prática, esperamos que as descrições de autoavaliação abordem TI e TO separadamente sempre que forem gerenciadas por equipes diferentes ou utilizarem medidas distintas para atingir o objetivo pretendido dos controles da ISA.

O que isso significa na prática

Nenhuma dessas mudanças exige que as organizações reconstruam seu SGSI (Sistema de Gestão de Segurança da Informação) do zero. Mas vale a pena verificar algumas delas em relação à sua documentação atual antes da próxima avaliação:

• Comunicação de políticas e empoderamento de funções – não apenas "será que existem?", mas "será que são efetivamente comunicadas e aplicáveis?".
• Cascata de fornecedores – se a sua própria base de fornecedores está sujeita aos padrões de disponibilidade/confidencialidade que a sua organização precisa cumprir para os seus clientes.
• Responsabilidades – se os funcionários recebem orientações sobre o uso seguro e responsável dos serviços web fornecidos.
• Escopo OT – se a sua autoavaliação atualmente considera os sistemas OT (interruptores, sensores, câmeras, sistemas de controle industrial) como estando dentro do escopo, juntamente com a TI clássica.

Se desejar uma visão mais abrangente das mudanças em todo o catálogo da ISA 2027 – incluindo a simplificação da Proteção de Protótipos e o novo ciclo anual de publicação – consulte nosso artigo complementar. "ISA 2027: O que está mudando no novo catálogo TISAX®."

Este artigo reflete as informações publicamente disponíveis sobre a ISA 2027 no momento da sua redação. Como acontece com qualquer novo lançamento de catálogo, alguns detalhes sobre o cronograma e o processo exatos de transição ainda podem ser esclarecidos pela ENX e pela VDA. Atualizaremos este conteúdo à medida que mais informações forem disponibilizadas.