O que é um Ativo na ISO 27001?

Visão geral

Um ativo na ISO 27001 é qualquer coisa de valor para a sua organização que requer proteção. Ativos incluem informações, sistemas, equipamentos físicos, serviços, pessoas e reputação organizacional que suportam as operações comerciais e requerem salvaguardas de confidencialidade, integridade ou disponibilidade.

O que significa na prática

Ativos são o que você está protegendo com o seu SGSI. A sua avaliação de riscos começa pela identificação de ativos, depois determina quais ameaças podem prejudicá-los e quais controles são necessários para proteção.

Tipos de ativos

Ativos de informação

• Dados estruturados: Bancos de dados, planilhas, registros
• Documentos: Contratos, políticas, procedimentos, relatórios
• Propriedade intelectual: Código-fonte, patentes, segredos comerciais, designs
• Dados pessoais: Informações de clientes, registros de funcionários (regulados pelo GDPR)
• Dados financeiros: Registros de transações, detalhes bancários, demonstrações financeiras
• Comunicações: E-mails, mensagens de chat, chamadas gravadas

Ativos físicos

• Hardware: Servidores, estações de trabalho, laptops, dispositivos móveis
• Mídias de armazenamento: Discos rígidos, pen drives, fitas de backup
• Infraestrutura: Equipamentos de rede, cabos, sistemas de energia
• Instalações: Data centers, escritórios, salas de servidores
• Documentos em papel: Registros impressos, contratos, arquivos confidenciais

Ativos de software

• Aplicações: Software empresarial, CRM, sistemas ERP
• Sistemas operacionais: SO de servidores e estações de trabalho
• Ferramentas de desenvolvimento: IDEs, compiladores, sistemas de build
• Software personalizado: Aplicações desenvolvidas internamente
• Licenças: Direitos e permissões de software

Serviços

• Serviços de TI: Plataformas em nuvem, aplicações SaaS, serviços gerenciados
• Utilidades: Energia, refrigeração, telecomunicações
• Serviços de suporte: Contratos de manutenção, monitoramento de segurança
• Fornecedores terceirizados: Funções terceirizadas, consultores

Pessoas

• Conhecimento especializado: Habilidades difíceis de substituir
• Pessoal-chave: Indivíduos críticos para as operações
• Conhecimento institucional: Processos não documentados conhecidos por pessoas específicas

Ativos intangíveis

• Reputação: Valor da marca, confiança do cliente
• Goodwill: Relacionamentos comerciais, posição no mercado
• Conformidade regulatória: Licenças, certificações

Inventário de ativos (A.5.9)

Por que o inventário é obrigatório

O controle A.5.9 da ISO 27001 exige "inventário de informações e outros ativos associados". Você não pode proteger o que não sabe que possui. O inventário de ativos é a base da avaliação de riscos.

O que incluir no inventário

Para cada ativo, documente:

• ID do ativo: Identificador único
• Nome/descrição do ativo: Identificação clara
• Tipo de ativo: Informação, físico, software, serviço, etc.
• Proprietário: Pessoa responsável pelo ativo
• Localização: Localização física ou lógica
• Classificação: Nível de sensibilidade (Público, Interno, Confidencial, etc.)
• Valor: Importância para o negócio (opcional, mas útil)
• Dependências: Outros ativos dos quais depende ou que suporta

Formatos de inventário

• Planilha: Simples, funciona para pequenas organizações
• Banco de dados: Melhor para organizações médias/grandes com muitos ativos
• Ferramenta GRC: Integrada com avaliação de riscos e gestão de controles
• Banco de dados de gerenciamento de configuração (CMDB): Ativos técnicos rastreados em sistemas de TI

Propriedade de ativos

O que significa propriedade de ativos

O proprietário do ativo é responsável por:

• Definir classificação e requisitos de proteção
• Aprovar acesso ao ativo
• Garantir que controles apropriados sejam aplicados
• Revisar regularmente a segurança do ativo
• Autorizar o descarte ou desativação do ativo

Proprietário vs. custodiante

• Proprietário: Função de negócio responsável pelo ativo (geralmente gerente ou executivo)
• Custodiante: Função técnica que gerencia a segurança do ativo no dia a dia (frequentemente a equipe de TI)

Exemplo: O VP de Vendas pode ser o proprietário do banco de dados de clientes (responsabilidade de negócio), enquanto o administrador de banco de dados é o custodiante (gestão técnica).

Classificação de ativos (A.5.12)

Por que classificar ativos

A classificação garante que os ativos recebam proteção adequada com base em sua sensibilidade e valor. Nem todos os dados precisam da mesma segurança - a classificação permite a seleção proporcional de controles.

Esquemas comuns de classificação

Básico (3 níveis)

• Público: Pode ser divulgado livremente
• Interno: Para uso interno, não público
• Confidencial: Sensível, acesso restrito

Padrão (4 níveis)

• Público: Nenhum impacto de confidencialidade se divulgado
• Interno: Baixo impacto com a divulgação
• Confidencial: Impacto médio-alto com a divulgação
• Secreto/Restrito: Impacto grave com a divulgação

Detalhado (5+ níveis)

Algumas organizações adicionam níveis como "Propriedade", "Sensível" ou classificações específicas regulatórias (DPI, PHI, PCI).

Critérios de classificação

Determine a classificação com base no impacto para a CIA se comprometida:

• Confidencialidade: Impacto da divulgação não autorizada
• Integridade: Impacto da modificação não autorizada
• Disponibilidade: Impacto da perda ou indisponibilidade

Considere também:

• Requisitos legais/regulatórios (GDPR, HIPAA, PCI DSS)
• Obrigações contratuais (NDAs de clientes, acordos com fornecedores)
• Valor comercial e sensibilidade competitiva

Valoração de ativos

Por que valorar ativos

O valor do ativo ajuda a priorizar os esforços de proteção e justificar investimentos em controles. Ativos de alto valor justificam controles mais fortes (e mais caros).

Abordagens de valoração

Quantitativa (financeira)

• Custo de reposição (hardware, licenças de software)
• Impacto na receita se indisponível
• Multa ou penalidade potencial se comprometido
• Valor de mercado ou de propriedade intelectual

Qualitativa (impacto no negócio)

• Crítico: Essencial para a sobrevivência do negócio
• Alto: Impacto significativo no negócio
• Médio: Impacto notável, mas existem alternativas
• Baixo: Impacto mínimo se perdido ou comprometido

Fatores que afetam o valor do ativo

• Custo e esforço de reposição
• Tempo para restaurar ou recriar
• Dependência de receita
• Importância regulatória
• Vantagem competitiva proporcionada
• Impacto reputacional se comprometido

Gestão do ciclo de vida dos ativos

Aquisição

• Adicionar ao inventário de ativos quando adquirido
• Atribuir proprietário e classificar
• Aplicar controles apropriados com base na classificação

Uso

• Operar dentro das políticas de uso aceitável (A.5.10)
• Manter controles ao longo do ciclo de vida
• Revisar permissões de acesso periodicamente

Modificação

• Atualizar inventário quando os ativos mudam
• Reavaliar classificação se o uso ou sensibilidade mudar
• Seguir processos de gestão de mudanças (A.8.32)

Transferência

• Manter confidencialidade durante a transferência (A.5.14)
• Atualizar propriedade no inventário
• Garantir que os controles permaneçam em vigor

Descarte

• Excluir informações com segurança (A.8.10)
• Destruição física, se necessário
• Remover do inventário
• Devolver ativos alugados/licenciados (A.5.11)

Ativos e avaliação de riscos

Avaliação de riscos centrada em ativos

Abordagem comum de avaliação de riscos:

1. Identificar ativos
2. Determinar valor/classificação do ativo
3. Identificar ameaças a cada ativo
4. Identificar vulnerabilidades que as ameaças poderiam explorar
5. Avaliar impacto se a ameaça explorar a vulnerabilidade
6. Avaliar probabilidade de ocorrência
7. Calcular nível de risco (impacto × probabilidade)
8. Selecionar controles para reduzir o risco

Dependências de ativos

Considere dependências na avaliação de riscos. Se o Ativo A depende do Ativo B, ameaças ao Ativo B também ameaçam o Ativo A.

Exemplo: Sua aplicação web voltada para o cliente depende do servidor de banco de dados. Riscos ao banco de dados indiretamente se tornam riscos à aplicação.

Conceitos relacionados

• Risk Assessment - Avaliação de ameaças a ativos
• Information Classification - Categorização de ativos por sensibilidade
• CIA Triad - Objetivos de proteção para ativos
• Control - Medidas que protegem ativos
• How to conduct ISO 27001 risk assessment using AI

Obtendo ajuda

Use o ISMS Copilot para gerar modelos de inventário de ativos, criar esquemas de classificação apropriados para o seu negócio e vincular ativos a avaliações de riscos de forma eficiente.