ISO 27001 e Segurança da Informação na Qive: Como Protegemos os Dados das Empresas

Os casos de vazamento de dados têm ganhado cada vez mais espaço na mídia, causando prejuízos financeiros e impactando negativamente a imagem das empresas. No segundo trimestre de 2024, houve um aumento de 30% nos ataques cibernéticos globais em comparação com o mesmo período de 2023, representando o maior crescimento nos últimos dois anos. No Brasil, esse cenário é ainda mais alarmante: no terceiro trimestre de 2024, o país registrou um aumento de 95% nos ataques contra organizações, com uma média de 2.766 tentativas semanais.

Além disso, os vazamentos de dados continuam em alta. Em 2024, bilhões de registros de empresas foram comprometidos, e o custo médio global de um vazamento de dados atingiu US$ 4,5 milhões em 2023, um aumento de 15% nos últimos três anos.

Muito além do preço e da qualidade do serviço, clientes e fornecedores buscam organizações que possuam procedimentos e controles eficientes para a proteção de dados devido ao crescimento global de ataques. Empresas certificadas geram mais confiança, pois garantem que as informações serão geridas de forma segura e adequada.

O que é a ISO 27001?

A ISO 27001 é a principal norma internacional de gestão da segurança da informação. Ela auxilia na criação de um Sistema de Gestão de Segurança da Informação (SGSI), garantindo que a organização certificada cumpre diretrizes rigorosas e adota as melhores práticas de segurança da informação em seus processos.

Para obter a certificação, a empresa precisa demonstrar a existência de controles e processos em quatro áreas principais:

• Controles organizacionais
• Controles de pessoas
• Controles físicos
• Controles tecnológicos

Controles organizacionais

Os controles organizacionais envolvem essencialmente aspectos legais e de gestão relacionados à privacidade e à segurança da informação, como:

• Implementação de políticas
• Documentação de processos internos
• Gestão de terceiros
• Conformidade com a legislação vigente

Controles de pessoas

Os controles de pessoas compreendem aspectos de recursos humanos relacionados aos indivíduos que compõem a organização, seja nos cuidados durante o momento pré e pós-contratação ou no estabelecimento de um processo eficaz de conscientização dos colaboradores em segurança da informação.

Controles físicos

Os controles físicos envolvem a segurança física dos ativos da organização, incluindo:

• Implementação de controles e monitoramento de acesso físico
• Diretrizes de mesa limpa e tela limpa
• Manutenção de equipamentos
• Armazenamento e descarte seguro de dados
• Proteção de cabos contra eventual interceptação, interferência ou dano

Controles tecnológicos

Os controles tecnológicos são voltados para a segurança da informação mediada por tecnologia, incluindo:

• Restrição de acessos aos sistemas
• Gerenciamento de acesso privilegiado
• Uso de autenticação segura e criptografia
• Gestão de vulnerabilidades
• Prevenção contra incidentes
• Desenvolvimento seguro

Como a Qive aplica a ISO 27001 na prática

A certificação não é apenas um processo burocrático. Ela exige um trabalho contínuo para garantir que a segurança da informação seja uma prioridade em todos os níveis da empresa. Aqui estão algumas das iniciativas que adotamos:

• Autenticação de dois fatores (2FA): Todos os acessos internos e de clientes utilizam MFA (Multi-Factor Authentication), reduzindo os riscos de invasão.
  
• Integração com SSO (Single Sign-On), permitindo login único e seguro para usuários.
  
• Gestão de usuários e permissões: a plataforma Qive é multiusuário, com logins e senhas individuais. Possui níveis de permissão configuráveis, dessa forma, cada usuário acessa apenas as informações necessárias para sua função, fortalecendo o controle e a segurança da informação.
  
• Cuidados pré e pós-contratação de candidatos com processos de verificação e conscientização sobre Segurança da Informação.
  
• Treinamento e conscientização: utilizamos uma plataforma especifica para gerenciar os treinamentos obrigatórios, com cursos e testes sobre segurança da informação, cobrindo desde autenticação segura até práticas contra ataques cibernéticos.
  
• Compliance e governança: respondemos a RFIs (Request for Information) de clientes que exigem altos padrões de segurança.
  
• Logs de acesso ativados para rastreamento de ações, responsabilidades e histórico com data e hora.
  
• Monitoramento constante dos indicadores para mensurar a saúde da segurança da informação na Qive.
  
• Backup regular de arquivos críticos para garantir recuperação de dados quando necessário.
  
• Pentests externos anuais, com foco na identificação e correções de vulnerabilidades.
  
• Análise e monitoramento contínuo de riscos e vulnerabilidades de segurança dos nossos domínios com a plataforma Security Score Card.
  
• Hospedagem na Google Cloud Platform (GCP), com infraestrutura dedicada à proteção da plataforma 24h por dia.
  
• Criptografia de ponta a ponta (TLS) para segurança no tráfego de dados.
  
• Web Application Firewall para filtragem e bloqueio de tráfego suspeito.
  
• Política de acesso e monitoramento: implementamos diretrizes rigorosas para controle e auditoria de acessos, garantindo que apenas pessoas autorizadas tenham acesso a informações sensíveis.
  
• Atualizações contínuas: nossa equipe de SRE (Site Reliability Engineering) trabalha para aprimorar constantemente nossas políticas de segurança, incluindo atualizações na criptografia SSL para garantir um ambiente mais seguro.
  
• Políticas obrigatórias com atualizações e acompanhamento constante do time jurídico e de infosec. 

O impacto da certificação para nossos clientes

Para empresas que lidam com grandes volumes de documentos fiscais e transações financeiras, a segurança não é opcional, é um requisito fundamental. A ISO 27001 proporciona benefícios diretos aos nossos clientes:

• Redução de riscos: minimiza vulnerabilidades e incidentes de segurança.
• Facilidade em auditorias: empresas que exigem conformidade encontram na Qive um parceiro confiável.

 Retorno das RFIS mais ágil e prático, uma vez que a certificação garante que a Qive segue os padrões internacionais de Segurança da Informação.

Segurança da informação como pilar estratégico

O Sistema de Gestão de Segurança da Informação (SGSI) em uma organização depende das suas necessidades, objetivos, requisitos de segurança, processos e até da sua estrutura. Por isso, apesar de partir da mesma norma, cada organização deve possuir seu próprio sistema personalizado conforme suas características, que podem evoluir ao longo do tempo.

Para obter a certificação ISO 27001, além de demonstrar o cumprimento dos requisitos, a alta direção deve demonstrar liderança e comprometimento com o SGSI. Isso inclui considerar fatores internos e externos relevantes e garantir que os objetivos e a política de segurança da informação sejam compatíveis com a organização.

Mesmo após obter a certificação, ela precisará ser renovada regularmente. É essencial que o sistema passe por auditorias internas periódicas e tenha um processo de melhoria contínua. O SGSI deve ser constantemente avaliado, revisado e atualizado para garantir sua eficácia ao longo do tempo.

Ataques e riscos que vão além do vazamento de dados 

A ACFE (The Association of Certified Fraud Examiners) estima que as empresas perdem, em média, 5% de sua receita anual em fraudes.

Isto sinaliza a importância do olhar atento para os fluxos de pagamento, que continua sendo alvo frequente de fraudadores, levando empresas de todos os portes a buscarem abordagens proativas para se protegerem. 58% das empresas afirmam que a preocupação com golpes aumentou entre 2022 e 2024 (Fonte: SERASA). A alta foi ainda maior na visão por portes: com as grandes empresas, essa preocupação sobe para 68%.

Qive, agora certificada ISO 27001, tem o compromisso com a segurança e confiança dos nossos parceiros. São mais de 160.000 empresas que confiaram seus fluxos fiscais e de pagamentos a Qive. Se sua empresa valoriza a proteção de dados e a conformidade com padrões internacionais, a Qive está preparada para ser sua parceira estratégica. Acesse o link e fale com um especialista da Qive: