ISO 27002 Lead Control Manager

O exame cobre os seguintes domínios de competência:

• Domínio 1: Fundamentos ISO/IEC 27002 e articulação com ISO/IEC 27001/SoA
• Domínio 2: Desenho e normalização de controlos (Control Profiles)
• Domínio 3: Operação e evidência (Evidence Map e critérios)
• Domínio 4: Medição e teste de eficácia (KPIs/KRIs e Control Test Plan)
• Domínio 5: Exceções, ações corretivas e melhoria contínua do portefólio de controlos

 

Idioma(s): Português e Inglês (consulte a BEHAVIOUR para a disponibilidade em outros idiomas).
Duração: 3 horas.
Formato: Questões de desenvolvimento, incluindo estudo de caso, orientadas a desenho, operacionalização, evidência, medição e teste de controlos.
Nota de aprovação: 700/1000 pontos.
Resultados: “Pass or Fail”.
Entidade emissora: Behaviour (entidade legal), através do seu serviço de certificação Behaviour Certification Services.
Retake: 1 retake gratuito dentro de um período máximo de 2 meses após a data de disponibilização do resultado do exame.

Após completar com sucesso o exame e aceitar/assinar o acordo e o Código de Ética aplicáveis, o candidato pode candidatar-se a um dos três níveis, de acordo com a experiência:

• Certified Information Security ISO 27002 Associate Control Manager: não é necessária experiência anterior obrigatória
• Certified Information Security ISO 27002 Control Manager: 2 aqnos de experiência profissional relevante
• Certified Information Security ISO 27002 Lead Control Manager: 5 anos experiência avançada e funções de liderança/coordenação

 

Serão emitidos um Certificado e uma Insígnia digital de Certificação (i.e., “badge”) aos participantes que, com sucesso, concluam o exame de certificação e satisfaçam todos os requisitos da certificação a que se candidatam. A certificação é emitida pela Behaviour (entidade legal), através do seu serviço de certificação Behaviour Certification Services.

Certificação profissional Behaviour® (esquema próprio), com reconhecimento internacional no mercado. O esquema é concebido e operado com base em boas práticas de certificação de pessoas, princípios de imparcialidade e qualidade de exame, e referenciais internacionais aplicáveis (incluindo os princípios da ISO/IEC 17024).

Os programas de certificação são válidos apenas para pessoas (não empresas) e a atribuição e manutenção da certificação dependem do resultado do exame, da experiência profissional e do cumprimento do contrato/Código de Ética aplicáveis.

Caso o profissional não cumpra o contrato/Código de Ética, a certificação não é atribuída ou é revogada.

• Transforma a ISO/IEC 27002 em execução consistente: owners, rotinas e evidência sustentável.
• Reduz retrabalho e esforço pré-auditoria através de critérios de aceitação e evidência contínua.
• Reforça consistência e maturidade na gestão de controlos, com métricas e testes de eficácia (design vs operação).
• Desenvolve capacidade interna para governar exceções, compensating controls e melhoria contínua do portefólio de controlos.
• Suporta diretamente um SGSI ISO/IEC 27001 (incluindo SoA e prontidão para auditoria) e pode ser aplicado como disciplina autónoma de controlo.
• O exame de certificação é monitorizado por um administrador oficial da BEHAVIOUR.
• O exame de certificação é realizado após o curso e incide em questões de desenvolvimento, baseadas num estudo de caso.

A ISO/IEC 27001 define requisitos para um Sistema de Gestão de Segurança da Informação (SGSI) e como o gerir (governação, planeamento, operação, avaliação e melhoria). A ISO/IEC 27002 descreve e orienta a implementação de controlos (o “como” operacional), funcionando como catálogo e guia prático para executar segurança no dia-a-dia.

Sim. Pode ser aplicada como disciplina autónoma de controlos, por exemplo para elevar maturidade de segurança, responder a exigências de clientes, preparar auditorias internas, reforçar due diligence de fornecedores ou estruturar um programa de controlos mesmo sem um SGSI formal.

Não. A ISO/IEC 27002 não pressupõe implementação total e indiferenciada. A seleção deve ser orientada por contexto, risco, dependências técnicas e prioridades do negócio. O foco é adequação e eficácia — e não “compliance por checklist”.

A norma aplica-se, mas a implementação muda: muitos controlos tornam-se “partilhados” (shared responsibility) entre organização e fornecedor. O ponto crítico é traduzir controlos para responsabilidades concretas (configuração, logging, gestão de identidades, hardening, retenção, backup, monitorização, gestão de mudanças) e assegurar evidência consistente em ambientes híbridos e multi-cloud.

Aplica-se como um sistema operacional de controlo, não como documentação. Na prática, cada controlo é traduzido para: (1) owner responsável, (2) rotina executável (o que se faz, quando, com que ferramenta), (3) evidência mínima com critérios de aceitação (o que prova que foi feito e que funciona), e (4) métrica/alerta para detetar degradação.

Exemplo típico: “gestão de acessos” deixa de ser uma política e passa a ser um conjunto de rotinas (JML, MFA, revisões periódicas, registos de aprovações, logs e exceções), com evidência consistente e revisão regular — permitindo demonstrar controlo “a funcionar” sem corridas pré-auditoria.