Formação de Colaboradores na ISO 27001 e NIS2: Gestão do Risco Humano

Bahadır Şahin, Fundador da InfoLorePublicado: 1 de novembro de 20264 min de leitura

A ISO 27001, o NIST e o SOC 2 são referenciais que abordam a segurança da informação de ângulos diferentes. Têm em comum o facto de tratarem a sensibilização e a formação dos colaboradores como parte obrigatória da gestão da segurança. A diretiva NIS2 da UE vai mais longe e exige que também os membros dos órgãos de gestão recebam formação em cibersegurança. Neste artigo vemos em que diferem estes referenciais, qual o lugar do risco humano em cada um e quem é afetado pela NIS2.

ISO 27001, NIST e SOC 2: qual escolher e quando?

NIST Cybersecurity Framework
Um modelo abrangente de gestão de risco, muito usado na energia, finanças, saúde, setor público e infraestruturas críticas. Os seus pontos fortes são a avaliação de risco, a medição da maturidade e o mapeamento dos controlos técnicos.

ISO 27001
A norma internacionalmente reconhecida para sistemas de gestão da segurança da informação. É usada em muitos setores, como tecnologia, finanças, saúde e indústria. Procura criar um sistema de gestão transversal à organização e garantir a coerência de políticas e processos. Como é certificável, dá uma prova forte de confiança nas relações com fornecedores e clientes.

SOC 2
Preferido sobretudo por empresas que oferecem serviços SaaS e baseados na cloud. Destaca-se nas auditorias de clientes, na criação de confiança durante as vendas e na verificação dos controlos operacionais.

Em resumo:

Referencial	Foco	Para quem
NIST	Quadro de risco	Infraestruturas críticas, setor público, setores regulados
ISO 27001	Sistema de gestão	Organizações de qualquer dimensão e setor
SOC 2	Garantia operacional e de confiança	Fornecedores de serviços SaaS e cloud

A formação dos colaboradores é obrigatória na ISO 27001?

Sim. Nos requisitos de competência e sensibilização, a ISO/IEC 27001:2022 exige que os colaboradores conheçam a política de segurança da informação, o seu próprio contributo e as consequências de não conformidade. Entre os controlos do Anexo A, a sensibilização, educação e formação em segurança da informação surge também como um controlo próprio.

Perguntas habituais nas auditorias:

Tem um programa de sensibilização e com que frequência é aplicado?
O conteúdo está adaptado às funções e aos riscos dos colaboradores?
Como mede a eficácia do programa?
Onde estão os registos?

As simulações de phishing dão uma resposta concreta, em particular, à pergunta "como mede a eficácia?".

NIS2: os órgãos de gestão também têm de receber formação

No artigo 20.º, a diretiva NIS2 atribui responsabilidade direta aos órgãos de gestão:

Os órgãos de gestão devem aprovar as medidas de gestão dos riscos de cibersegurança e supervisionar a sua aplicação.
Os membros dos órgãos de gestão devem receber formação para conseguirem identificar riscos e avaliar práticas.
Os órgãos de gestão podem ser responsabilizados pela violação destas obrigações.

Os pormenores dependem da legislação nacional de transposição de cada país da UE, incluindo Portugal. A direção é clara: a cibersegurança está agora na agenda da administração.

Quem é afetado pela NIS2?

A NIS2 aplica-se diretamente às organizações de determinada dimensão nos setores enumerados na diretiva que operam na UE. O seu efeito indireto vai muito mais longe:

Fornecedores de entidades abrangidas: as organizações abrangidas pela NIS2 têm de gerir os riscos da sua cadeia de abastecimento, por isso vão esperar medidas de segurança semelhantes dos seus fornecedores, incluindo PME.
Questionários a fornecedores: as perguntas sobre sensibilização dos colaboradores e formação ao nível da gestão vão surgir cada vez mais nos contratos e nos formulários de avaliação de fornecedores.
Grupos empresariais: os grupos que aplicam políticas comuns às suas empresas podem deparar-se diretamente com esta expectativa.

Porque é crítico o risco humano na conformidade?

Nos três referenciais e na NIS2, o comportamento humano importa tanto como os controlos técnicos, porque uma grande parte das violações começa com um colaborador que clica, partilha ou salta um passo de um processo. Uma formação pontual feita para obter a certificação pode ajudar a passar na auditoria. Não garante que os colaboradores ajam corretamente durante um ataque real.

Uma abordagem eficaz combina:

Conteúdos de sensibilização por função
Simulações de phishing regulares
Sessões próprias para gestores e administração
Registos e relatórios de tendência que se possam apresentar numa auditoria

Perguntas frequentes

Com que frequência deve ser dada formação em sensibilização para a ISO 27001?

A norma não fixa uma frequência. Mas espera-se que a formação seja regular e planeada, e repetida na entrada na empresa e nas mudanças de função. Uma única sessão anual não é, em geral, considerada suficiente.

Que empresas são abrangidas pela NIS2?

Organizações de determinada dimensão nos setores enumerados na diretiva que operam na UE. As restantes empresas são afetadas sobretudo de forma indireta, como fornecedores.

A formação em sensibilização também é necessária para o SOC 2?

Sim. A formação em sensibilização para a segurança e os respetivos registos estão entre os controlos mais analisados nas auditorias SOC 2.

---
A InfoLore oferece programas de sensibilização documentados para a ISO 27001, o SOC 2 e a NIS2, bem como formação em cibersegurança para órgãos de gestão. Contacte-nos para falarmos da sua preparação para a conformidade.

ISO 27001, NIST, SOC 2 e NIS2: Gestão do Risco Humano na Conformidade