Implementar a gestão de segurança de dados alinhada com VGYS e ISO 27001
Um sistema de gestão da segurança dos dados (VGYS) protege os ativos de informação de uma organização, assegura os acessos e uniformiza o tratamento de dados pessoais. Baseado nas normas ISO…
O que contém este artigo?
Segurança de dados & Normas ISO; 2025
Implementar a gestão de segurança de dados alinhada com VGYS e ISO 27001
Um sistema de gestão da segurança dos dados (VGYS) protege os ativos de informação de uma organização, assegura os acessos e uniformiza o tratamento de dados pessoais. Baseado nas normas ISO 27001 e ISO 27701, combina medidas técnicas com uma abordagem de gestão.
Resumo: Um VGYS robusto abrange a infraestrutura de TI, os processos, as pessoas e o direito.1. Bases do VGYS: ISO 27001 e ISO 27701
Estas duas normas criam quadros internacionalmente aceites para a segurança da informação e gestão da privacidade:
| Padrão | Foco | Área de aplicação |
|---|---|---|
| ISO 27001 | Gestão da segurança da informação | Sistema, acesso, encriptação, registo |
| ISO 27701 | Privacidade e gestão de dados pessoais | KVKK, RGPD e processos de protecção de dados |
"ISO 27001 constrói segurança, ISO 27701 gerencia privacidade."
2. Implementar o VGYS passo a passo
- Criar um inventário de ativos: Liste todos os ativos de informação digitais e físicos, como servidores, serviços na nuvem e contratos.
- Avaliação de riscos: Analise os riscos de confidencialidade, integridade e disponibilidade de cada ativo.
- Políticas e procedimentos: Prepare políticas de palavras-passe, protocolos de partilha de dados e documentos de autorização de acesso.
- Controlo de acesso: Implemente controlo de acesso baseado em funções (RBAC). Cada utilizador deve aceder apenas aos recursos autorizados.
- Registo e monitorização: Registe diariamente os acessos aos sistemas, as transferências de dados e as ações dos administradores.
- Ciclo de testes de intrusão: Realize testes de intrusão pelo menos duas vezes por ano e documente os resultados.
- Gestão de violações de dados: Prepare um procedimento de notificação de violações de dados baseado na regra das 72 horas.
- Segurança física: Controle o acesso às salas de servidores, aos arquivos e aos dispositivos.
- Formação: Todo o pessoal deve receber formação de sensibilização para a segurança da informação pelo menos uma vez por ano.
- Auditoria: Assegure a melhoria contínua através de auditorias internas e revisões pela gestão.
3. Criar um conselho interno de proteção de dados
Para assegurar a continuidade da segurança dos dados da organização, deve ser criado um conselho de proteção de dados (Data Protection Board). O seu objetivo é tomar decisões de segurança ao nível da gestão e assegurar a supervisão regular.
- Presidência: Responsável pela segurança da informação (CISO ou direção de TI)
- Membros: Representantes dos serviços jurídico, RH, operações e marketing, e do responsável pelo tratamento
- Funções:
- Definir a estratégia anual de segurança.
- Examinar os relatórios de análise de riscos.
- Auditar os registos de violações de dados e os logs.
- Aprovar os resultados das auditorias internas e externas.
- Avaliar o impacto das novas tecnologias na segurança.
«A segurança dos dados não é apenas uma questão de TI; é uma responsabilidade da gestão.»
4. Recomendação da B10 Digital Agency: abordagem VGYS integrada
A B10 adota uma abordagem de três camadas na configuração de um VGYS adaptado a cada organização:
- Camada técnica: Infraestrutura ISO 27001 + testes de intrusão + sistemas de monitorização de logs
- Camada de gestão: Políticas de proteção de dados, definições de funções e circuitos de aprovação
- Camada de conformidade: Integração da KVKK e do RGPD, registos de transferências e DPA
Você está pronto para instalar VGYS?
A B10 Digital Agency presta serviços de configuração do VGYS, gestão de logs, políticas de acesso e consultoria em testes de intrusão segundo ISO 27001 e ISO 27701.
Fontes e documentos relacionados
Estes documentos servem de referência para os métodos e regras abordados neste artigo.