Gestão de Ativos da Informação ISO 27001

O controle 5.9 da ISO/IEC 27001 estabelece que toda organização deve identificar, inventariar e manter sob controle todos os ativos de informação relevantes à sua operação.

Esse é o primeiro passo de qualquer sistema de segurança eficaz — afinal, não é possível proteger o que não se conhece.

O que são ativos de informação

De acordo com a ISO 27002, ativos de informação são todos os recursos que possuem valor para a organização e que suportam o negócio ou o tratamento de dados.Incluem:

• Informações e registros: planilhas, documentos, bancos de dados, e-mails, contratos;

• Infraestrutura: servidores, computadores, dispositivos móveis, redes, softwares;

• Pessoas: colaboradores, terceiros e prestadores de serviço que tratam dados;

• Serviços e processos: atividades que dependem da informação para existir.

Cada ativo precisa ter um proprietário (owner) responsável por sua manutenção, segurança e atualização no inventário.

Por que o inventário é essencial

O inventário é o mapa do patrimônio informacional da empresa.

Ele possibilita:

• Saber onde as informações estão armazenadas;

• Identificar quem é responsável por cada ativo;

• Determinar níveis de risco e de proteção necessários;

• Facilitar auditorias, revisões e planos de contingência;

• Integrar o controle de ativos à LGPD, RIPD e RoPA.

Sem um inventário estruturado, a organização perde visibilidade sobre seu ecossistema informacional o que aumenta o risco de falhas, vazamentos e não conformidades.

Como montar um inventário de ativos (passo a passo)

Identifique todos os ativos relevantes

Comece listando todos os recursos físicos, digitais e humanos que armazenam, processam ou acessam informações corporativas.

Categorize e agrupe

Agrupe por tipo (informacional, técnico, humano, contratual, físico).

Atribua proprietários

Cada ativo deve ter um responsável direto — preferencialmente um gestor de área ou dono do processo.

Determine criticidade

Avalie cada ativo com base nos três pilares CID — Confidencialidade, Integridade e Disponibilidade.

Atualize periodicamente

O inventário deve ser um documento vivo, atualizado sempre que houver mudanças tecnológicas, contratuais ou organizacionais.

Integração com LGPD

O inventário de ativos da ISO 27001 se conecta diretamente com a LGPD, pois ambos exigem que a empresa saiba onde estão e como são tratados os dados pessoais.

Na prática, o inventário da ISO alimenta e complementa o Registro de Operações de Tratamento (RoPA) exigido pela lei.

Como o DPONOTE e a MainSafe ajudam

DPONOTE – Gestão integrada de ativos e conformidade

• Inventário completo de ativos (pessoas, sistemas, dados, infraestrutura).

MainSafe – Consultoria em Segurança da Informação

• Implementação do controle 5.9 da ISO 27001;

• Diagnóstico e mapeamento de ativos;

• Auditorias internas e capacitação de responsáveis;

• Integração com políticas e planos de tratamento de riscos.