Documento de segurança tem duas mortes possíveis. A primeira é nunca ter existido. A segunda, muito mais comum, é existir aprovado, guardado em pasta compartilhada, com revisão vencida há dois anos e nenhum registro de que alguém na empresa o tenha lido.
A ISO 27001 chama isso de informação documentada e dedica uma cláusula inteira ao tema, a 7.5. O que ela exige não é o documento em si, é o controle sobre ele: versão vigente identificada, aprovação registrada, distribuição para quem precisa e revisão em intervalo definido. A LGPD pede coisa parecida no artigo 50, ao falar de programa de governança em privacidade. Auditor não avalia a beleza da sua política. Avalia se você controla o ciclo de vida dela.
O Imara Trust trata cada documento como um objeto com estado, não como arquivo. Rascunho, em revisão, aprovado, publicado, em revisão periódica, substituído, obsoleto. A transição entre estados exige alguém nomeado e fica registrada com data.
Isso muda a pergunta que você consegue responder. Em vez de “onde está a política de acesso”, você responde “qual versão estava vigente em março do ano passado, quem aprovou, e o que mudou em relação à anterior”. A segunda pergunta é a que o auditor faz.
Prometemos que não enviaremos spam.
