Segurança física segundo a ISO 27001: escritório, casa e data center
Na era da cloud, a segurança física foi dada como resolvida — e mal: um portátil roubado sem cifragem ou um visitante que fotografa o quadro com passwords anulam qualquer firewall. O que da «física» importa mesmo hoje.
Se tem escritório
- Zonamento: zona de visitas, zona de trabalho, sala técnica — com direitos de acesso diferentes;
- controlo de visitantes: acompanhamento nas zonas de trabalho; registo onde os riscos o justifiquem;
- secretárias e ecrãs limpos: bloqueio do computador, documentos com dados confidenciais não dormem em cima das mesas;
- equipamento: inventário e destruição segura de suportes (impressoras com disco incluídas).
Se não há escritório
A segurança física não desaparece — muda-se para casa de cada colaborador: cifragem de discos a compensar a falta de portas trancadas, regras para locais públicos, guarda e devolução seguras do equipamento. Detalhes no artigo sobre certificação de equipas remotas.
Data centers e cloud
A segurança física dos servidores delega-a ao fornecedor — mas registe-o conscientemente: certificados do data center/cloud (ISO 27001, SOC 2) como prova; a sua parte são acessos, configurações e chaves. Faz parte da gestão de fornecedores.
O que olha o auditor
Não o número de câmaras, mas a adequação aos riscos: se os locais onde vivem dados sensíveis estão protegidos e se as pessoas conhecem as regras. Um escritório pequeno com disciplina fica melhor na auditoria do que uma fortaleza com cartões «para todos».
Leia também
Autor — Kyrylo Proskurnya, Auditor Principal ISO e especialista internacional em sistemas de gestão. Realizo auditorias de certificação e auditorias internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas em Portugal, na Europa e nos EUA. Sobre mim · Pedir uma consulta