Checklist de Implementação ISO 27701

Entendendo a Extensão de Privacidade ISO 27701

Organizações que já alcançaram a certificação ISO 27001 possuem uma base sólida em segurança da informação. No entanto, proteger dados contra hackers é apenas metade da batalha; você também deve proteger os direitos de privacidade dos indivíduos cujos dados você mantém. É aqui que entra a norma ISO 27701. A ISO 27701 é uma extensão de privacidade para a ISO 27001 e a ISO 27002. Ela fornece a estrutura para estabelecer um Sistema de Gestão da Privacidade da Informação (SGIP).

Como se trata de uma extensão, você não pode ser certificado na ISO 27701 de forma independente; ela deve ser auditada juntamente com ou após a sua certificação ISO 27001. A norma exige que você mapeie seu Sistema de Gestão de Segurança da Informação (SGSI) existente para os requisitos de privacidade, garantindo que as duas disciplinas operem em harmonia.

Um primeiro passo crítico em qualquer checklist de implementação ISO 27701 é determinar o seu papel organizacional. A norma fornece requisitos específicos e separados dependendo se você é um Controlador de IPI (Informação Pessoalmente Identificável) — ou seja, você decide por que e como os dados são processados — ou um Operador de IPI (você processa dados em nome de terceiros). Muitas organizações modernas atuam como ambos, o que significa que você precisará implementar controles tanto da Cláusula 7 quanto da Cláusula 8 da norma.

Fase Um Escopo de Contexto e Mapeamento de Dados

A base do seu SGIP começa com a Cláusula 5.1, que exige que você atualize o contexto da sua organização. Enquanto o contexto do seu SGSI focava em ameaças de segurança cibernética e continuidade de negócios, o contexto do seu SGIP deve incorporar a legislação global e local de privacidade, como a LGPD no Brasil, o GDPR na Europa, a CCPA ou outras leis regionais de proteção de dados.

Em seguida, você deve expandir formalmente o escopo do seu sistema de gestão (Cláusula 5.2) para incluir o processamento de IPI. Para fazer isso de forma eficaz, você deve entender exatamente quais dados possui. O mapeamento de dados é indiscutivelmente a parte mais demorada do checklist de implementação ISO 27701, exigindo colaboração de todos os departamentos.

Checklist de Mapeamento de Dados

• Identifique todas as categorias de IPI (dados pessoais) coletadas pela sua organização.
• Documente a fonte da IPI e a base legal (hipótese de tratamento) para coletá-la.
• Mapeie o fluxo de IPI através de seus sistemas internos e fornecedores externos.
• Identifique transferências internacionais de dados e os mecanismos que as protegem.

Pergunta típica de auditor: "Como você garante que o escopo do seu SGIP reflita com precisão todos os departamentos e sistemas que processam IPI?" Certifique-se de que sua declaração de escopo mencione explicitamente a privacidade e esteja alinhada com seu inventário de dados atualizado. Uma não conformidade comum é descobrir um sistema de TI invisível (shadow IT) processando IPI que foi excluído do escopo do SGIP.

Fase Dois Atualizando a Metodologia de Avaliação de Riscos

A Cláusula 5.4 determina que o seu processo de avaliação de riscos deve ser atualizado para abordar os riscos de privacidade. Esta é uma grande mudança de paradigma para as equipes de segurança. Em um SGSI padrão, os riscos são avaliados com base no impacto para a organização (por exemplo, perda financeira, dano à reputação). Em um SGIP, os riscos devem ser avaliados com base no impacto para o titular da IPI — o indivíduo cujos dados estão sendo processados.

Sua metodologia atualizada deve levar em conta a Confidencialidade, Integridade, Disponibilidade e Privacidade (CIA+P) dos dados. Você deve integrar as Avaliações de Impacto à Privacidade (RIPD - Relatório de Impacto à Proteção de Dados Pessoais, no contexto da LGPD) em sua estrutura de gestão de riscos.

Passos da Avaliação de Riscos de Privacidade

• Identifique ameaças à privacidade dos titulares dos dados (por exemplo, coleta excessiva, compartilhamento não autorizado, retenção de dados além do limite legal).
• Avalie a probabilidade e o impacto potencial dessas ameaças sobre os indivíduos.
• Selecione as opções de tratamento de risco apropriadas das Cláusulas 6, 7 e 8 da ISO 27701.

Os auditores examinarão de perto o seu registro de riscos. Uma não conformidade frequente é apresentar um registro de riscos que lista apenas impactos nos negócios. Se a sua avaliação de riscos não mencionar explicitamente os danos potenciais aos titulares dos dados — como roubo de identidade, discriminação ou perda de privacidade — você não passará na auditoria de certificação.

Fase Três Implementando Controles do Controlador de IPI

Se a sua organização determina a finalidade e os meios de processamento de IPI, você é um Controlador de IPI. A Cláusula 7 da ISO 27701 descreve os controles específicos que você deve implementar. Os controladores assumem a responsabilidade primária de garantir que os direitos dos titulares dos dados sejam respeitados e que o processamento seja legal.

Seu checklist de implementação ISO 27701 deve incluir mecanismos robustos para consentimento e transparência. Você deve fornecer avisos de privacidade claros que expliquem quais dados são coletados, por que são coletados e com quem são compartilhados.

Principais Controles do Controlador

• Privacidade desde a Concepção e por Padrão (Privacy by Design and Default): Integre controles de privacidade no ciclo de vida de desenvolvimento de novos produtos e serviços.
• Minimização de Dados: Garanta que você colete apenas a IPI estritamente necessária para a finalidade declarada.
• Direitos dos Titulares dos Dados: Implemente procedimentos documentados para lidar com solicitações de acesso, correção, exclusão e portabilidade de dados dentro dos prazos legalmente exigidos.
• Retenção de Dados: Aplique processos automatizados ou manuais para destruir com segurança a IPI quando ela não for mais necessária.

Não conformidade comum: Ter uma política de retenção de dados por escrito, mas falhar em realmente excluir dados antigos de clientes de bancos de dados legados. Os auditores solicitarão evidências técnicas de que a exclusão de dados está ocorrendo ativamente.

Fase Três Continuação Implementando Controles do Operador de IPI

Se a sua organização processa IPI em nome de um cliente ou parceiro, você é um Operador de IPI, e a Cláusula 8 se aplica a você. Os operadores devem garantir que ajam apenas de acordo com as instruções documentadas do Controlador. Você não pode usar os dados para seus próprios fins, como marketing ou análises não autorizadas.

A gestão de fornecedores é crítica aqui. Se você usa suboperadores (por exemplo, provedores de hospedagem em nuvem, ferramentas de análise de terceiros), você deve repassar as mesmas obrigações de privacidade para eles.

Principais Controles do Operador

• Instruções de Processamento: Mantenha registros das instruções do Controlador e garanta que todo o processamento as siga estritamente.
• Gestão de Suboperadores: Obtenha autorização por escrito do Controlador antes de contratar quaisquer suboperadores.
• Auxílio ao Controlador: Forneça suporte técnico e organizacional para ajudar o Controlador a atender às solicitações de direitos dos titulares dos dados e investigar violações de dados.
• Devolução ou Destruição de Dados: Devolva ou destrua com segurança toda a IPI após o término do contrato de processamento.

Os auditores solicitarão ver seus Acordos de Processamento de Dados (DPAs). Uma pergunta típica de auditor é: "Mostre-me o processo que você segue para notificar um Controlador se você acreditar que as instruções de processamento dele violam uma regulamentação de privacidade."

Fase Quatro Documentação Treinamento e a SoA

Expandir seu SGSI para um SGIP requer atualizações significativas na documentação. Primeiro, você deve atualizar sua Política de Segurança da Informação abrangente para incluir compromissos explícitos com a privacidade e a conformidade com a legislação de IPI (Cláusula 5.2).

Em seguida, você deve revisar sua Declaração de Aplicabilidade (SoA). Sua nova SoA deve listar todos os controles do Anexo A da ISO 27001, mais os controles relevantes do SGIP das Cláusulas 6, 7 e 8 da ISO 27701. Para cada controle, você deve declarar se ele é aplicável, a justificativa para sua inclusão ou exclusão, e como ele é implementado.

Checklist de Documentação e Treinamento

• Atualize o Plano de Resposta a Incidentes para incluir fluxos de trabalho específicos e prazos rigorosos para notificações de violação de privacidade.
• Revise as políticas de RH para incluir acordos de confidencialidade referenciando especificamente a IPI.
• Conduza treinamento de conscientização sobre privacidade baseado em funções para todos os funcionários que lidam com IPI.

Gerenciar esses documentos sobrepostos pode se tornar caótico. Utilizar uma ferramenta de roteiro de conformidade ou modelos estruturados, como os fornecidos pela KaliteGO, pode ajudá-lo a rastrear as versões dos documentos e garantir que nenhuma cláusula obrigatória passe despercebida durante sua jornada de implementação.

Fase Cinco Auditoria Interna e Preparação para Certificação

Antes de convidar um organismo de certificação externo para avaliar seu SGIP, você deve conduzir uma auditoria interna abrangente (Cláusula 5.9). Seus auditores internos devem ser objetivos e, idealmente, ter treinamento específico em regulamentações de privacidade e requisitos da ISO 27701. Eles devem amostrar evidências em ambos os domínios de segurança e privacidade.

Após a auditoria interna, a alta direção deve realizar uma Análise Crítica pela Direção (Cláusula 5.10). A pauta para esta análise deve ser expandida para incluir métricas específicas do SGIP, como o volume de solicitações de titulares de dados processadas, tendências de violação de privacidade e mudanças na legislação global de privacidade.

Preparando-se para a Auditoria Externa

• Garanta que todas as não conformidades encontradas durante a auditoria interna sejam fechadas com ações corretivas documentadas.
• Verifique se os avisos de privacidade, DPAs e registros de consentimento estão facilmente acessíveis para o auditor.
• Esteja preparado para demonstrar como a privacidade é integrada às suas operações diárias, e não apenas escrita em políticas.

Durante a auditoria de Fase 1, o auditor revisará sua estrutura e documentação do SGIP. Na Fase 2, eles entrevistarão a equipe e testarão a eficácia operacional de seus controles. Ao seguir este checklist de implementação ISO 27701, você construirá um sistema resiliente que integra perfeitamente privacidade e segurança, garantindo um caminho tranquilo para a certificação.