A ISO 27001 É A BÍBLIA?

Recentemente venho refletindo sobre algo que observo com frequência na área de Segurança Cibernética, não só em rodas de conversas como também em redes sociais: a forma como as pessoas tratam a ISO 27001.

Antes de qualquer coisa, a ISO 27001 é uma referência para gestão de Segurança da Informação, que ajuda tanto estudantes quanto organizações a estabelecer controles, processos e boas práticas que reduzem riscos e aumentam a maturidade de segurança. O problema é que as vezes algumas pessoas passam e enxergar:

Conformidade = Segurança

Quando na verdade são coisas relacionadas, porém diferentes.

O ponto que eu quero trazer é quando uma referência passa a ser tratada como uma verdade absoluta ficando acima de qualquer outra coisa... incluindo o próprio raciocínio crítico.

Conhecer a ISO 27001 é importante, tal como entender seus controles, objetivos e aplicações. Entretanto, Segurança da Informação vai além da conformidade. Eu por exemplo ja conheci diversos estudantes que pensam assim: "A ISO manda fazer [x], logo [x] é sempre correto". Quando na verdade um pensamento saudável seria: "A ISO manda fazer [x], mas por que? Isso faz sentido para esse ambiente?".

E isso vale para qualquer norma ou framework: ISO 27001, 27002, NIST, CIS control, COBIT, ITIL etc etc. Todos são ferramentas, contudo NENHUM deles substitui o pensamento crítico.

Por isso, eu acredito que a ISO deve ser vista como um mapa e não como o território inteiro. Porque no fim das contas o invasor não vai olhar para a certificação e dizer:

"opa, essa empresa tem ISO 27001 certificada, vou embora".

Uma organização certificada ainda pode sofrer incidentes. Da mesma forma, um profissional pode conhecer todos os controles da norma e ainda encontrar dificuldades diante de um problema novo que exija criatividade e capacidade analítica.

Boas práticas são funcamentais. Normas são importantes. Mas Segurança Cibernética não é apenas seguir um conjunto de requisitos, é compreender os motivos por trás deles.

Conhecer a ISO é um diferencial, mas ser capaz de pensar além dela é mais ainda.