Relacione a solicitação ao serviço que você vende
Um questionário de segurança costuma chegar quando uma oportunidade comercial já tem prazo definido. Antes de responder, identifique qual serviço o cliente está avaliando e quais informações ele confiará à sua empresa. Uma pergunta sobre cópias de segurança precisa de uma resposta vinculada a esse serviço, e não de uma afirmação sobre toda a empresa.
Defina as pessoas, os processos, os sistemas e os fornecedores envolvidos. Esse limite ajuda a construir o escopo do seu sistema de segurança e evita respostas que a equipe não consegue comprovar. Compartilhe o escopo com vendas para manter propostas e contratos coerentes.
Organize os riscos antes de acumular documentos
Identifique o que pode comprometer a confidencialidade, a integridade ou a disponibilidade das informações do serviço. Considere como elas são acessadas, onde são armazenadas, quem as altera e de quais terceiros dependem. Avalie os riscos com critérios que permitam comparar prioridades.
Para cada risco relevante, defina o tratamento, o responsável e a evidência que demonstrará o avanço. A ISO/IEC 27001:2022 exige uma abordagem de gestão de riscos. Sua declaração de aplicabilidade documenta os controles necessários e justifica as inclusões e exclusões em relação aos controles de referência.
Vincule cada resposta a uma prática verificável
Uma política explica o que a empresa pretende fazer; um registro ajuda a demonstrar o que ela fez. Para o controle de acessos, por exemplo, reúna autorizações, revisões e revogações conforme seu processo. Para incidentes, mantenha critérios de notificação, responsáveis e registros de resposta quando aplicável.
Crie uma tabela simples com a pergunta do cliente, a resposta aprovada, seu responsável e a evidência disponível. Se uma prática estiver ausente, registre a lacuna e seu tratamento. Evite afirmar que um controle funciona de forma contínua quando você só tem um documento ou uma atividade isolada.
Mantenha um repositório útil e proteja o que compartilha
Use as ferramentas atuais da sua empresa para gerenciar versões, permissões e responsáveis. Defina quais evidências podem ser compartilhadas e quais exigem confidencialidade ou revisão prévia. Entregar informações sensíveis sem controle para demonstrar segurança pode introduzir um novo risco.
Revise o repositório quando houver mudanças nos serviços, fornecedores ou controles. Um sistema segundo a ISO 27001 organiza essa continuidade e pode preparar a certificação independente dentro do seu escopo. O certificado não garante a ausência de incidentes: o valor está em gerir riscos, responder e melhorar com evidências.
Para levar à sua próxima reunião
Sua lista de preparação.
- Confirme o serviço e as informações que o cliente está avaliando.
- Defina o escopo, os responsáveis e os fornecedores relevantes.
- Relacione os riscos aos controles e às decisões de tratamento.
- Associe evidências verificáveis a cada resposta comercial.
- Revise as permissões e condições antes de compartilhar documentos.
Este guia oferece orientação geral. O texto oficial da norma e o escopo da sua empresa determinam os requisitos aplicáveis.
Consultar a referência oficial na ISO
