Segregação de Funções (SoD)

A Segregação de Funções (SoD) reduz o risco de erros, conflitos de interesse e decisões não supervisionadas, garantindo que atividades críticas do SGSI não sejam de responsabilidade e aprovadas pela mesma pessoa.

Por que a SoD é importante em um SGSI

A ISO 27001 espera papéis definidos, responsabilização e supervisão independente para atividades-chave do SGSI. Quando as responsabilidades se sobrepõem, a organização deve reconhecer o risco de governança e demonstrar como ele é gerenciado.

Nossa situação atual

Como uma organização pequena, a pessoa que implementa o SGSI também faz parte da alta administração e realiza a revisão pela direção. Isso cria um risco de segregação de funções, pois o projeto, a execução e a revisão não são totalmente independentes.

Abordagem de tratamento de risco

Tratamos isso como um risco documentado e aceito em nosso registro de riscos. Dada nossa atual dimensão e recursos, aceitamos essa limitação enquanto implementamos controles compensatórios e planejamos mitigações futuras conforme crescemos.

Controles compensatórios

• Processo formal de revisão pela direção com pauta estruturada e resultados documentados
• Documentação explícita do conflito e da justificativa para aceitação

Mitigações planejadas

• Contratação e expansão da equipe para separar funções de governança e execução
• Delegação de propriedade de controles quando viável
• Contribuição externa ou revisão independente periódica para reduzir vieses

Quando a SoD é limitada, a transparência é importante: o risco, a justificativa e o plano de mitigação devem ser explicitamente documentados.

Evidências que mantemos

• Entrada no registro de riscos para o risco de SoD (status, responsável, plano de tratamento, justificativa de aceitação)
• Registros da revisão pela direção mostrando reconhecimento e ações de acompanhamento
• Documentação de qualquer contribuição externa ou verificações independentes realizadas