ISO 27001 em Transferências: Guia de Implementação
Implemente controlos de segurança ISO 27001 em transferências de ficheiros, incluindo análise de risco, gestão de acessos, encriptação e monitorização contínua.
A certificação ISO/IEC 27001:2022 para um sistema de transferência de ficheiros implica demonstrar um Sistema de Gestão da Segurança da Informação (SGSI) funcional, abrangendo os 93 controlos do Anexo A, com especial ênfase em A.5.14 (transferência de informação), A.8.10 (eliminação de informação), A.8.24 (utilização de criptografia) e A.8.26 (requisitos de segurança de aplicações). A revisão de 2022 consolidou os anteriores 114 controlos em 93 distribuídos por quatro temas (organizacional, pessoas, físico, tecnológico) e acrescentou 11 novos controlos, incluindo inteligência de ameaças (A.5.7), prontidão das TIC para a continuidade de negócio (A.5.30) e programação segura (A.8.28). A primeira certificação demora normalmente 12 a 18 meses e custa entre €30 000 e €100 000, incluindo honorários de auditoria.
Âmbito do SGSI e controlos de transferência de informação
A ISO 27001 exige que se defina o que o SGSI abrange. O âmbito típico de uma plataforma de transferência inclui: os serviços de carregamento e transferência, a camada de armazenamento de objetos, a infraestrutura de gestão de chaves, os sistemas de autenticação e autorização, o pipeline de registo de auditoria, as ferramentas de suporte ao cliente que acedem a dados de utilizadores e o pipeline de compilação e implementação. Documente o âmbito com precisão — a ambiguidade gera constatações durante a certificação. O A.5.14 exige políticas e procedimentos para a transferência de informação: canais de transferência aprovados (a própria plataforma, e-mail assinado e encriptado, SFTP para volume elevado), requisitos de classificação, verificação do destinatário e registo de cada transferência no SIEM. Publique um procedimento interno e forme o pessoal anualmente.
Análise de risco e registo de riscos (Cláusula 6.1.2)
A ISO 27001 é orientada pelo risco. A Cláusula 6.1.2 exige uma metodologia de análise de risco documentada e um registo de riscos. Para sistemas de transferência de ficheiros, os riscos típicos incluem: acesso não autorizado a ficheiros armazenados, criptografia fraca que permite desencriptação, contas de administrador comprometidas, ameaça interna de operadores privilegiados, risco na cadeia de abastecimento por sub-processadores, negação de serviço contra endpoints de carregamento e perda de dados por falha de cópia de segurança. Classifique cada risco por probabilidade e impacto numa escala de 1-5 ou 1-3. A Declaração de Aplicabilidade (SoA) documenta quais dos 93 controlos se aplicam e porquê — ou porque não se aplicam.
A.8.24 criptografia e A.5.15 controlo de acesso
O A.8.24 abrange o uso adequado de criptografia. A orientação correspondente (ISO/IEC 27002:2022) espera: uma política de criptografia, algoritmos e comprimentos de chave alinhados com as melhores práticas e gestão de chaves cobrindo geração, distribuição, armazenamento, rotação, recuperação e destruição. Para um sistema de transferência de ficheiros, documente: AES-256-GCM ou XChaCha20-Poly1305 para conteúdo, RSA-4096 ou Ed25519 para assinaturas, PBKDF2-SHA-256 a 600 000+ iterações ou Argon2id para chaves baseadas em palavra-passe, TLS 1.3 para transporte. Armazenamento de chaves em HSM FIPS 140-2 Nível 2 (AWS CloudHSM, Azure Managed HSM). O A.5.15 exige uma política de controlo de acesso com acesso baseado em funções, MFA FIDO2 para acesso administrativo, revisões trimestrais de acessos e registo de todas as tentativas de acesso.
A.8.10 eliminação de informação e A.5.30 continuidade de negócio
O A.8.10 (novo em 2022) exige que a informação seja eliminada quando já não é necessária, de acordo com a política de retenção. Para plataformas de transferência de ficheiros, isto implica: expiração automática aplicada (7-30 dias é típico), eliminação verificada através de registos, purga de cópias de segurança sincronizada com a eliminação principal e eliminação criptográfica por destruição de chave para suportes encriptados (aceite pelo NIST SP 800-88 Rev. 1). O A.5.30 (novo em 2022) exige: plano de DR testado com RPO e RTO documentados, teste de integridade de cópias de segurança trimestralmente, failover testado anualmente e runbook de resposta a incidentes alinhado com a ISO 22301. Para uma plataforma de transferência, documente o RPO (p. ex., 1 hora) e o RTO (p. ex., 4 horas). Os fornecedores de nuvem (AWS, Azure, OVH) permitem arquiteturas multi-AZ que satisfazem a maioria dos cenários.
Novos controlos de 2022: inteligência de ameaças, serviços na nuvem e programação segura
O A.5.7 (novo) exige a recolha e análise de inteligência de ameaças: subscreva avisos do CERT setorial, alertas da ENISA e boletins de segurança de fornecedores. O A.5.23 (novo) exige políticas para a utilização de serviços na nuvem — para prestadores em AWS, Azure ou OVH, documente critérios de seleção, divisão de responsabilidades, compromissos de localização de dados e estratégia de saída. O A.8.28 (novo) exige programação segura: SAST no CI (Semgrep, SonarQube), DAST antes da versão (OWASP ZAP, Burp Suite), análise de dependências (Snyk, Dependabot), análise de segredos (gitleaks), revisão de pares obrigatória e modelação de ameaças para funcionalidades importantes. Evidências que o auditor pretende: configurações do pipeline CI, relatórios de análise, SLAs de remediação (crítico 7 dias, alto 30 dias) e registos de formação.
Auditoria interna e revisão de gestão
A Cláusula 9.2 exige um programa de auditoria interna. Realize auditorias pelo menos anualmente, cobrindo o SGSI completo ou em âmbito rotativo ao longo de um ciclo de três anos. A Cláusula 9.3 exige uma revisão de gestão — tipicamente trimestral — cobrindo o desempenho do SGSI, tendências de KPI, constatações de auditoria, alterações ao registo de riscos e necessidades de recursos. Documente atas e ações. O organismo de certificação irá rever estes registos como indicadores fortes da maturidade do SGSI — registos fracos geram constatações maiores independentemente dos controlos técnicos.
Auditoria de certificação, vigilância e escolha do organismo
A Fase 1 (1-3 dias) é a revisão documental e avaliação de prontidão. A Fase 2 (3-10 dias) é a amostragem de evidências, entrevistas e verificações técnicas. A certificação é válida por três anos, com auditorias de vigilância anuais e recertificação completa no terceiro ano. Espere que o primeiro ciclo descubra 5-15 constatações menores e 0-2 maiores. As não-conformidades maiores têm de ser encerradas antes da emissão da certificação. Escolha um organismo acreditado (BSI, DNV, TÜV SÜD, DEKRA, LRQA, SGS) — certificações de organismos não acreditados não são reconhecidas pelas equipas de aprovisionamento.
Construir uma arquitetura preparada para ISO 27001
Uma plataforma de transferência de ficheiros que entra na certificação ISO 27001 deve ter: implantação multi-AZ na UE com DR numa região emparelhada, AES-256-GCM do lado do cliente mais AES-256 do lado do servidor em repouso, MFA FIDO2 imposto via IdP para todo o acesso administrativo, eliminação automática de 7 dias com eliminação criptográfica por chave, registo centralizado em armazenamento imutável, revisões trimestrais de acesso via IdP, teste de intrusão anual por empresa CREST, deteção de ameaças baseada em SIEM, DPA documentado e registo de sub-processadores. A arquitetura do HexaTransfer alinha-se com a maioria destas características de base; concorrentes menos estruturados requerem 6-12 meses de remediação antes da certificação.
A ISO 27001 recompensa a disciplina, não o heroísmo. Documente o que faz, faça o que documenta. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.
Envie arquivos grandes com segurança e criptografia de ponta a ponta
Transfira arquivos de até 10 GB gratuitamente com criptografia de ponta a ponta. Sem necessidade de conta. Seus arquivos são criptografados no navegador antes do envio — ninguém mais pode lê-los.
Enviar um arquivo