ISO/IEC 27002, 27005 e 27701

A gestão dos riscos de cibersegurança em privacidade de dados é questão vigente nas organizações públicas e privadas, tendo em vista as crescentes ameaças e regulações. De forma a preservar sua continuidade, convém que as organizações minimizem os riscos de incidentes de invasões em redes, serviços em nuvem e vazamento de dados, tanto de propriedade da industrial, quanto os dados pessoais que são tratados e armazenados. Assim, a identificação, análise, avaliação e tratamento de riscos deve ser a tônica para assegurar proteção aos indivíduos (pessoas naturais) e às demais partes interessadas.

Diversos programas surgiram para suportar estas demandas, desde a consagrada norma de Sistemas de Segurança da informação (ISO/IEC 27001), passando também pela Gestão de Continuidade de Negócios (ISO 22301), Compliance (ISO 37301), além de normas mais recentes e focadas na temática da privacidade de dados (ISO/IEC 27002, ISO/IEC 27005 e ISO/IEC 27701)

Paralelamente, esforços regulatórios foram aplicados, como a GPDR (Regulamento Geral sobre a Proteção de Dados 2016/679 da União Europeia), e no Brasil, a LGPD – Lei Geral de Proteção de Dados Pessoais (Lei 13.709/18), que vem sendo aprimorada pela Autoridade Nacional de Proteção de Dados – ANPD.

Entretanto, o atingimento dos resultados gravita em torno da adequada gestão de riscos, por meio de controles propriados (procedimentos, instruções operacionais, cláusulas, métodos, automatização, criptografia, softwares, boas práticas, entre outros), que proporcionem eficácia adequada. A gestão de riscos é a ferramenta central do compliance e da governança privada e pública, da qual deriva boa parte de sua estrutura, e da qual depende seu sucesso.

No entanto,  uma parte significativa dos profissionais ainda aplicam métodos empíricos para detecção e avaliação de riscos, desconsiderando o fato de que a gestão de riscos é uma ciência, com método e ferramentas consagradas. A ausência de método permite que a gestão de riscos trafegue entre a “miopia” (quando o risco não é visto) e o “conflito de interesse” (quando não se quer que o risco seja visto).

Embora ferramentas específicas tenham sido desenvolvidas para alguns setores, a norma internacional ISO 31000 - Gestão de Riscos se consolidou como um referencial reconhecido e universal, ou seja, norteado por um método capaz de ser aplicado em qualquer natureza de organização. Particularmente, para o ambiente de segurança da informação, especialmente ligada à privacidade de dados, outras normas trazem aspectos e controles focados, como a ISO/IEC 27701 - Extensão da ISO/IEC 27001 para privacidade da informação, ISO/IEC 27005 - Gestão de Riscos de Segurança da Informação e a ISO/IEC 27002 – Controles para cibersegurança e privacidade, revisada recentemente.

A formação de profissionais capazes de conduzir de forma eficaz e ampla a gestão de riscos de cibersegurança em privacidade de dados pessoais (desde sua identificação até a definição dos controles e métodos de monitoramento) é fundamental as organizações que deseje gerar resultados de forma segura e atendimento à LGPD.

Este curso prepara profissionais de qualquer formação (Tecnologia da Informação, Analistas de Sistemas, Engenheiros, Administradores, Advogados etc.), já atuantes ou que desejam atuar com Gestão de Riscos de Cibersegurança em Privacidade de Dados (responsáveis por sistemas de gestão, consultores, especialistas, auditores internos e outros afins), seja na sua implementação, gestão, monitoramento, ou ainda, realização de auditorias.

Um melhor aproveitamento do curso, dada a densidade e especificidades dos conhecimentos tratados, requer um conhecimento teórico ou leitura prévia das normas ISO/IEC 27002, ISO/IEC 27005, ISO/IEC 27701, ISO 31000, legislação relacionada (LGPD e documentos ANPD), artigos ou publicações sobre o tema de gestão de riscos de cibersegurança, e aspectos de controles internos em privacidade de dados, já que o curso foca os aspectos de interpretação, implementação e controle dos riscos. Um conhecimento prático nos aspectos acima facilita o aprendizado, embora não seja mandatório.