Vortal: Certificação ISO/IEC 27001:2005. Para Proteger a Informação das Transacções Comerciais Electrónicas

A Vortal, SA (www.vortal.biz) é uma empresa de capital totalmente português, com accionistas como a PT (Portugal Telecom) e várias empresas de construção. A empresa iniciou a sua actividade em 2000 com o objectivo de desenvolver e implementar um mercado electrónico para o mercado da construção, através da plataforma www.econstroi.com. Posteriormente, a empresa foi desenvolvendo a sua plataforma para outros sectores de actividade, diversificando a sua actividade para distintos mercados. No passado dia 12 de Outubro, a Vortal obteve a certificação ISO/IEC 27001:2005 referente à gestão de segurança da informação.

Actualmente, a Vortal disponibiliza mercados electrónicos para sectores como a construção (mercado original), energia e utilitários, sector governamental, escritório (economato, escritório e informática), e indústria. Além desta diversificação em termos de sectores de actividade, a Vortal também expandiu a sua intervenção a outros países, nomeadamente Espanha, e alguns países africanos de língua oficial Portuguesa (Angola e Cabo Verde).

A certificação ISO/IEC 27001:2005 foi atribuída pela British Standard Institution (BSI) e reconhece que o sistema de gestão de segurança da informação existente na Vortal - que possui como âmbito a protecção das informações das transacções comerciais efectuadas através das plataformas de comércio electrónico que a empresa gere - está conforme com os requisitos da norma de gestão de segurança da informação ISO/IEC 27001:2005.

A Necessidade

O processo de certificação ISO/IEC 27001:2005, segundo Paulo Barbosa, chief security officer na Vortal, teve um objectivo triplo:

1. Por um lado, garantir a segurança da própria plataforma e, consequentemente, do serviço prestado aos clientes. Desta forma, pretendeu-se conseguir uma diferenciação de mercado face à concorrência, dado que se trata de uma certificação ainda rara (só existem em Portugal mais duas empresas certificadas de acordo com esta norma, sendo a Vortal a primeira do sector de mercados electrónicos). Como se trata de portais que envolvem transacções financeiras, a segurança assume uma importância vital.

2. O segundo objectivo da certificação teve a ver com o marketing. Com a obtenção da certificação, a Vortal passou a poder garantir aos mercados onde actua que cumpre com o requisitos de segurança preconizados pela norma internacional ISO/IEC 27001:2005, representando uma mais valia para o negócio como um todo.

3. Quanto ao terceiro objectivo, teve a ver com a conformidade legal. As legislações portuguesa e europeia impõem determinados requisitos de segurança da informação, nomeadamente relacionados com a protecção e a privacidade de dados.

O Processo de Certificação

O processo de certificação ISO/IEC 27001:2005 começou em Maio de 2006 e terminou com sucesso em meados de Outubro de 2007. Nestes 18 meses, a Vortal realizou um investimento de aproximadamente 375 mil euros. Este investimento envolveu alterações a nível da tecnologia, dos processos internos da empresa (incluindo os parceiros com que a Vortal mantém contratos de outsourcing e prestação de serviços), e da cultura das próprias pessoas que trabalham na Vortal.

Paulo Barbosa sublinhou que esta certificação colocou desafios sobretudo ao nível das pessoas, uma vez que é essencialmente um processo de mudança cultural. "As pessoas tiveram que mudar as suas formas de trabalhar. Mais do que uma simples preocupação com a segurança, esta certificação exigiu que a própria forma de trabalhar fosse alterada, considerando permanentemente questões como a utilização da Internet, do correio electrónico, e a classificação e a utilização segura de informações. Tudo isto é validado através de auditorias internas e externas regulares à actividade da empresa".

No decorrer do processo de certificação foram implementadas diversas melhorias no sentido de aumentar a confidencialidade, a integridade e a disponibilidade da informações e dos serviços da Vortal. Entre essas melhorias, podemos destacar as que se seguem:

a) Gestão de riscos. Identificação pró-activa das ameaças e vulnerabilidades a que a empresa está sujeita.

b) Continuidade do negócio. Graças a uma infra-estrutura de alta disponibilidade e redundância, a qual garante que os serviços não sofrerão interrupções superiores a 99,8 por cento durante o horário laboral.

c) Recuperação de desastres. Implementação de um Plano de Recuperação de Desastres que considera diversos procedimentos para a reactivação de serviços e infra-estruturas críticas. O centro de dados onde estão alojados os serviços da Vortal está replicado em outro datacenter, geograficamente separado, de forma a reduzir a possibilidade de qualquer desastre natural que afecte ambas as estruturas. Além disso, este datacenter está organizado no modelo warm site recovery, permitindo uma rápida reactivação de serviços, em tempo útil para com o negócio.

d) Desenvolvimento Seguro. A Vortal adopta uma Política de Desenvolvimento Seguro, alinhada com os melhores padrões mundiais (como o Common Criteria) - garantia de protecção dos sistemas em todo o ciclo de desenvolvimento, desde o desenho das aplicações, validação dos dados, controlo de acesso, criptografia, protecção de bases de dados e gestão de mudanças. As mudanças passam por verificações exaustivas em dois ambientes de teste, sendo um deles orientado às questões técnicas de funcionamento e segurança dos sistemas, e o outro dedicado à qualidade do mesmo, considerando as expectativas do cliente final.

e) Elevada confidencialidade e integridade da informação. A informação acedida pela equipa de desenvolvimento da Vortal é protegida através da aplicação de uma máscara sobre as bases de dados, ocultando as informações confidenciais dos clientes e protegendo qualquer informação (incluindo a informação das suas transacções). A transmissão de informação entre cada cliente e a Vortal ocorre sob a protecção de controlos criptográficos, de forma a garantir a máxima protecção e confidencialidade. Todas as transacções são registadas, recorrendo-se à utilização do mecanismo de timestamping, sincronizado com o Observatório Astronómico de Lisboa para obter a hora legal. Este facto garante o não repúdio da operação, cumprindo a legislação para aquisições públicas. Por outro lado, a equipa de atendimento ao cliente só acede às informações dos clientes após autorização formal destes e, mesmo assim, não tem acesso às informações confidenciais.

f) Formação em segurança. A preocupação da Vortal com as questões de segurança está também patente na formação dos seus colaboradores, preocupando-se com a criação de uma cultura de segurança, através da divulgação de políticas e de linhas de orientação. As acções de formação em segurança promovidas pela empresa ocorrem periodicamente e pressupõem uma avaliação rigorosa da aprendizagem.

g) Monitorização permanente. A infra-estrutura tecnológica que suporta os sistemas da Vortal é monitorizada permanentemente, através da utilização das melhores tecnologias do mercado e de uma equipe altamente especializada que passa por acções de formação periódicas em segurança, permitindo identificar problemas em tempo real e resolvê-los prontamente.

h) Auditorias. Os controlos de segurança da informação são adequadamente auditados por uma equipa da Vortal e por uma empresa externa especializada que realiza anualmente uma auditoria independente - a British Standard Institution - assegurando a análise imparcial sobre cada controlo de segurança utilizado.

A Colaboração com a Sinfic

A Sinfic esteve envolvida em duas das três certificações ISO/IEC 27001:2005 existentes em Portugal à data da redacção deste artigo. No caso da Vortal, os responsáveis da empresa começaram por efectuar uma pesquisa de mercado, considerando praticamente a totalidade das empresas existentes em Portugal com serviços nesta área, segundo Paulo Barbosa. Neste processo de auscultação do mercado, o chief security officer da Vortal sublinhou que a Sinfic se destacou pela qualidade da informação que ofereceu. Esta qualidade foi depois confirmada ao longo dos trabalhos conducentes à certificação.

Paulo Barbosa referiu ainda que a Sinfic foi escolhida como o parceiro externo desta certificação por ter um nome consolidado no mercado português da segurança da informação. Por outro lado, reconhece que "a BSI é a empresa mais reconhecida no mundo em termos de auditorias de certificação". Na realidade, as normas originais (antes de evoluírem para a ISO/IEC 27001:2005) foram escritas pela própria BSI.

O processo de certificação da Vortal foi desenvolvido assim entre uma parceria a três: a Sinfic como fornecedor, socorrendo-se para tal da parceria que mantém com a BSI, e a Vortal enquanto cliente.

Para alcançar a certificação, a Vortal foi submetida a um processo de auditoria que consistiu em duas iterações, distanciadas entre si por um período de três semanas, para assegurar uma rigorosa análise das condições da Vortal para ser certificada. Posteriormente serão realizadas auditorias semestralmente, garantindo que, mesmo após a certificação, o nível de segurança da empresa continuará a ser elevado.

A Sinfic, no âmbito da parceira desta empresa com a BSI, participou com um dos seus colaboradores, registado como Auditor Internacional da BSI, na equipa de auditoria que avaliou a conformidade do Sistema de Gestão de Segurança da Informação existente na Vortal com os requisitos da norma internacional de gestão de segurança da informação ISO 27001:2005.

Impactos da certificação ISO 27001

• 18 meses de implementação e melhoria;
• Criação de um departamento de Segurança da Informação e de um Comité de Segurança (com directores e representantes dos departamentos);
• Intervenções nos escritórios da Vortal em Lisboa e Porto;
• Desenvolvimento de um ambiente de alta disponibilidade e recuperação de desastres;
• 2648 horas de desenvolvimento em softwares mais seguros
• 2300 horas de formação de colaboradores e campanhas de sensibilização;
• Investimento de aproximadamente 375 mil euros;
• Mudanças significativas em tecnologias, processos e infra-estruturas físicas.