Cloudflare obtém certificação ISMS-P da Coreia do Sul e adapta o cadastro de contas no país

A certificação ISMS sul-coreana, no framework ISMS-P, exige auditoria independente feita por auditor indicado pela KISA, órgão ligado ao Ministério da Ciência e TIC (MSIT), seguida de revisão por um comitê especial. A validade é de três anos, com auditoria anual para manter o selo. A base legal está no Artigo 47 da lei coreana de promoção do uso de redes de informação e comunicação e proteção da informação, com critérios e procedimento no decreto de execução e em notificação pública do MSIT.

A Cloudflare já tem ISO/IEC 27001, 27701, 27017 e 27018, e o ISMS não substitui nenhuma delas. É uma localização dos mesmos princípios com requisitos regulatórios coreanos. Na prática, os auditores não aceitaram descrição narrativa do fluxo de dados: pediram diagramas que pudessem ler e questionar, cobrindo cada camada de controle de acesso, do primeiro contato do usuário até a destruição dos dados. Também analisaram o texto e a estrutura do consentimento no cadastro. Segundo a empresa, o processo levou cerca de um ano e meio, porque o ciclo de auditoria cobre um único período anual e a preparação atravessou dois ciclos, o que exigiu retraduzir políticas, recoletar evidências e republicar a política de privacidade.

Um ponto útil para revisões de fornecedor: o certificado define escopo por fronteira de serviço, não por lista de produtos. Um produto está coberto se for entregue pelo serviço certificado, na mesma plataforma e pelas mesmas equipes. Quem usa SOC 2 ou ISO 27001 está acostumado a achar o produto numa lista, e aqui isso não existe. A empresa indica a consulta ao registro público da KISA como confirmação independente.

Para quem faz gestão de risco de terceiros com operação na Coreia, isso muda o roteiro de verificação: em vez de procurar o produto numa lista, é preciso validar se ele passa pelo serviço certificado. A decisão de cortar o cadastro social no país também mostra o custo real de aderir a requisitos de consentimento granulares: às vezes a solução é remover um caminho, não remendá-lo. É uma leitura editorial, e a cobertura da empresa se baseia no próprio blog.