Cloudflare obtém certificação ISMS da Coreia do Sul após auditoria de 80 controles
Após auditoria da KISA sobre 80 controles, a Cloudflare conquista o ISMS sul-coreano e adapta consentimento e cadastro social na borda.
Foto: Nothing Ahead (Pexels)
A Cloudflare obteve a certificação sul-coreana de Sistema de Gestão de Segurança da Informação (ISMS, na sigla em inglês), no âmbito do marco ISMS-P, após auditoria que percorreu 80 controles. Por dez dias, auditores indicados pela Agência de Internet e Segurança da Coreia (KISA) trabalharam com a empresa sediada nos Estados Unidos, que opera uma rede global com usuários na Coreia do Sul.
Para clientes no país, o selo vai além de um carimbo de conformidade. Segundo o blog da companhia, a avaliação verificou não só a existência dos controles, mas como eles operam sob a lei sul-coreana, no idioma local e diante das expectativas dos reguladores.
O que aconteceu
O resultado mais visível está na página de criação de conta. Em grande parte do mundo, um único texto agrupa termos de uso, privacidade e cookies. Na experiência sul-coreana — acionada pelo país escolhido no cadastro e pela geolocalização por endereço IP a partir da Coreia do Sul — o consentimento se divide em quatro itens rotulados, cada um com link para o texto completo e marcação de obrigatório ou opcional, além da opção de aceitar todos de uma vez.
Três itens são obrigatórios e bloqueiam o cadastro até serem marcados. O quarto, opcional, cobre apenas marketing e não impede a abertura da conta se ficar desmarcado. O desafio maior estava nos caminhos com Google, Apple ou GitHub, que autenticam fora do formulário da Cloudflare e nunca exibem esses consentimentos.
A empresa optou por não oferecer cadastro social na Coreia do Sul, para que toda conta local passe pelo formulário próprio. A geolocalização por IP define o formulário padrão, mas a seleção de país no cadastro prevalece — distinção destacada para não presumir residência só pelo endereço de rede.
O ISMS cobre política de segurança, controle de acesso, autenticação, criptografia, resposta a incidentes, gestão de risco e recuperação de desastres, à luz da Lei de Proteção de Informações Pessoais da Coreia. A certificação exige auditoria por profissional indicado pela KISA, órgão ligado ao Ministério da Ciência e das TIC, e revisão de comitê especial. Vale por três anos, com auditoria anual. A Cloudflare já possui certificados como ISO/IEC 27001 e 27701; o ISMS não os substitui, mas localiza os mesmos princípios às exigências sul-coreanas.
Os auditores pediram diagramas de fluxo de dados — e não apenas narrativas — sobre acesso a informações pessoais, e examinaram a redação do consentimento no cadastro. A preparação durou cerca de um ano e meio, em parte porque o ciclo cobre um período anual e a evidência precisou ser refeita ao atravessar dois anos de auditoria. O certificado, detido pela Cloudflare, Inc., descreve um perímetro de serviço (organização, infraestrutura e ativos/fluxos de dados), sem lista nominada de produtos: a cobertura segue o caminho de entrega pela plataforma certificada.
O que isso pode mudar
Para organizações que operam na Coreia do Sul, o selo pode reforçar revisões de risco de terceiros e avaliações próprias de conformidade, ao lado de padrões globais como ISO/IEC 27001 e SOC 2. Em tese, times jurídicos, de segurança e de compras passam a ter um referencial local verificável no registro público da KISA.
A lógica de cobertura por perímetro, e não por catálogo de produtos, pode exigir adaptação nas perguntas habituais de procurement — a dúvida sobre se um produto está no escopo tenderia a ser respondida pelo caminho de entrega. Em escala multinacional, a certificação também pode sinalizar que programas globais de segurança precisam incorporar idioma, consentimento e proteção de dados locais no comportamento do produto, e não só em documentos de política.
Fontes: Cloudflare Blog — Localizing compliance at scale: achieving South Korea’s ISMS certification
Leia mais em: mundodosnegocio.com.br