Formação em gestão de risco, continuidade e segurança da informação: como escolher?
Uma equipa pode precisar de formação porque vai iniciar a implementação da ISO 27001. Outra já tem o sistema implementado, mas precisa de rever responsabilidades e registos. O curso pode ser o mesmo, embora o trabalho a realizar depois seja diferente.
⏱️ Leitura estimada: 4 minutos
Ao escolher formação em gestão de risco, continuidade do negócio ou segurança da informação, convém que o pedido de inscrição identifique esse trabalho. Assim, a direção da unidade e os RH podem avaliar o programa, escolher os participantes e prever quando vão aplicar o que aprenderam.
1. Formação em gestão de risco: quando duas áreas apresentam riscos «elevados»
Considere uma reunião de direção em que operações e tecnologia apresentam riscos classificados como «elevados». A classificação parece permitir uma comparação, mas uma área pode ter valorizado sobretudo as consequências financeiras e a outra a interrupção do serviço.
Antes de lhes atribuir uma prioridade, é necessário perceber os critérios usados. Escolha uma decisão recente e consulte o respetivo registo: que consequências foram consideradas, que opções de tratamento foram discutidas e por que razão se escolheu uma delas?
Confirme também quem pode aceitar o risco residual, isto é, o risco que permanece após o tratamento. Quando essa autoridade não está definida, a questão precisa de uma decisão da organização; não se resolve apenas dando formação a quem mantém o registo de riscos.
O Integrated Risk & Resilience Lead Manager aborda estes critérios e decisões, integrando a ISO 31000 e a ISO/IEC 27005. É uma formação a considerar para quem coordena a apreciação e o tratamento do risco ou prepara a informação que a direção utiliza para decidir.
2. ISO 22301: a alternativa ao fornecedor foi exercitada?
Considere um serviço que depende de um fornecedor essencial. O plano de continuidade prevê uma alternativa, mas é preciso confirmar se esta permite manter as atividades prioritárias, com os recursos disponíveis e no tempo necessário.
Peça a quem responde pelo serviço que explique quanto tempo pode durar a interrupção, que nível mínimo de funcionamento é necessário e que recursos o asseguram. Confronte essas respostas com os objetivos de recuperação definidos.
Se já houve exercícios, consulte os resultados: a alternativa funcionou nas condições testadas? Que dificuldades ficaram por corrigir? Se ainda não houve exercícios, escolha o que precisa de ser testado e quem terá de participar.
O ISO 22301 Lead Implementer prepara o profissional que vai organizar este trabalho num Sistema de Gestão da Continuidade do Negócio (SGCN). O programa inclui análise de impacto no negócio, estratégias, planos, comunicação e exercícios, tanto para uma implementação como para a revisão do sistema existente.
Está a escolher formação para responsáveis de risco, continuidade ou segurança?
No pedido à Behaviour, indique o que essas pessoas vão fazer na organização, quantas participarão e o período previsto para a formação.
3. ISO 27001: responder a um cliente que pede evidência
Um cliente pede registos da revisão de acessos à informação. Para responder, a equipa tem de localizar o procedimento, identificar quem o executa e reunir os registos mais recentes.
A política de segurança pode explicar as regras, mas não mostra quando os acessos foram revistos nem por quem. É essa diferença entre a regra definida e a sua execução que o pedido obriga a esclarecer.
Faça a verificação num controlo concreto. Se não há responsável, é preciso atribuir essa responsabilidade; se há um procedimento mas faltam registos, averigue se o trabalho foi realizado e como ficou documentado.
O ISO 27001 Lead Implementer desenvolve competências para implementar e melhorar um Sistema de Gestão da Segurança da Informação (SGSI), segundo a ISO/IEC 27001. Para quem acompanha uma implementação dispersa por várias áreas, permite trabalhar a articulação entre riscos, controlos, responsabilidades, documentação e avaliação do desempenho.
4. Formação em gestão de risco, continuidade e segurança: quem deve participar?
Um pedido como «inscrever o responsável de continuidade» diz quem participa, mas pouco esclarece sobre a escolha. Acrescentar «para rever a análise de impacto e propor o programa de exercícios» permite avaliar melhor a adequação da formação.
Antes de aprovar a inscrição, registe a função do participante, o trabalho previsto e quem o acompanhará. Confirme com a unidade se a pessoa terá disponibilidade para frequentar o curso e, depois, para realizar esse trabalho.
Do lado dos RH, há que compatibilizar participantes e datas com o orçamento anual aprovado. No enquadramento da ação, verifique também a adequação do conteúdo, as horas de formação a considerar por trabalhador e os documentos comprovativos, tendo em conta as obrigações de formação aplicáveis.
Participantes da mesma equipa podem precisar de cursos diferentes. Quem coordena a continuidade de um serviço e quem assume a implementação do SGSI não terá necessariamente as mesmas necessidades de formação.
5. Como acompanhar a aplicação da formação
Antes do curso, combine com o participante e a sua chefia um primeiro trabalho e uma data para o rever. Pode ser a proposta de critérios de risco, a preparação de um exercício de continuidade ou um plano de implementação do SGSI.
Na data acordada, analisem o que foi produzido e o que falta para o utilizar. Se o exercício depende da participação de outra área ou o plano de implementação aguarda aprovação, identifiquem quem deve intervir e quando.
Este acompanhamento também permite distinguir uma dificuldade de aplicação dos conhecimentos de uma decisão que a chefia ainda não tomou. O participante deve saber a quem recorrer em cada caso.
Para pedir uma proposta à Behaviour, indique o trabalho que motivou a formação, as funções dos participantes e o período em que podem frequentá-la.
Data:
Autor: Behaviour
Não é autorizada a cópia ou reprodução deste artigo.