Revisado em por Roberto Lima
Neste artigo
O que e ISO 27001
A ISO/IEC 27001 e a norma internacional que específica requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação (SGSI). A versão atual e a ISO 27001:2022, que substituiu a versão de 2013.
A norma adota uma abordagem baseada em risco, onde a organização identifica ameaças, avalia impactos e implementa controles proporcionais. Diferente de checklists rígidos, permite flexibilidade na escolha de controles conforme o contexto de cada organização. Consulte nosso glossário de acrônimos de TI e SI para referência rápida das siglas utilizadas neste artigo.
Benefícios da Certificação
- Diferencial competitivo: Exigência frequente em licitacoes e contratos
- Redução de riscos: Framework estruturado para gestão de segurança
- Conformidade: Facilita atendimento a LGPD, PCI DSS e outras regulamentações
- Confiança: Demonstra compromisso com segurança para clientes e parceiros
- Melhoria continua: Ciclo PDCA incorporado na norma
- Redução de custos: Menos incidentes = menos perdas financeiras
Requisitos da Norma (Cláusulas 4-10)
A ISO 27001 e dividida em cláusulas obrigatorias (4-10) que definem o SGSI:
Cláusula 4: Contexto da Organização
Entender o contexto interno/externo, necessidades das partes interessadas e definir o escopo do SGSI.
Cláusula 5: Liderança
Comprometimento da alta direção, política de segurança da informação e atribuição de papéis e responsabilidades.
Cláusula 6: Planejamento
Avaliação de riscos, tratamento de riscos, objetivos de segurança e planejamento de mudanças.
Cláusula 7: Apoio
Recursos, competência, conscientização, comunicação e informação documentada.
Cláusula 8: Operação
Planejamento e controle operacional, avaliação de riscos e tratamento de riscos.
Cláusula 9: Avaliação de Desempenho
Monitoramento, auditoria interna e análise crítica pela direção.
Cláusula 10: Melhoria
Não conformidades, ações corretivas e melhoria continua.
Controles do Anexo A (ISO 27001:2022)
O Anexo A contém 93 controles organizados em 4 temas (versão 2022):
Controles Organizacionais (A.5)
Políticas, papéis, segregação de funções, contato com autoridades, gestão de projetos, inventário de ativos, classificação da informação, gestão de identidades, controle de acesso, gestão de fornecedores.
Controles de Pessoas (A.6)
Seleção, termos de contratação, conscientização e treinamento, processo disciplinar, responsabilidades pós-emprego, trabalho remoto.
Controles Físicos (A.7)
Perimetros de segurança, controle de entrada, segurança de escritorios, monitoramento físico, proteção contra ameaças ambientais, trabalho em áreas seguras.
Controles Tecnológicos (A.8)
Dispositivos endpoint, privilégios de acesso, restrição de acesso a informação, código-fonte, autenticação segura, gestão de capacidade, proteção contra malware, gestão de vulnerabilidades (use nossa calculadora CVSS para avaliar severidade), backup, logging, monitoramento, segurança de redes, criptografia.
Passo a Passo da Implementação
Gap Analysis (1-2 meses)
- Avaliar situação atual vs requisitos da norma
- Identificar lacunas em controles existentes
- Definir escopo preliminar do SGSI
- Estimar esforço e recursos necessários
- Obter patrocinio da alta direção
Planejamento (1-2 meses)
- Definir escopo oficial do SGSI
- Estabelecer política de segurança da informação
- Definir metodologia de avaliação de riscos
- Identificar partes interessadas
- Criar cronograma de implementação
Avaliação de Riscos (1-2 meses)
- Inventariar ativos de informação
- Identificar ameaças e vulnerabilidades
- Avaliar probabilidade e impacto
- Calcular nível de risco
- Definir critérios de aceitacao de risco
- Elaborar plano de tratamento de riscos
Implementação de Controles (3-6 meses)
- Elaborar Statement of Applicability (SoA)
- Implementar controles selecionados
- Desenvolver políticas e procedimentos
- Realizar treinamentos e conscientização
- Implementar monitoramento e métricas
Operação e Auditoria Interna (1-2 meses)
- Operar o SGSI por período mínimo
- Coletar evidências de conformidade
- Realizar auditoria interna completa
- Tratar não conformidades identificadas
- Realizar análise crítica pela direção
Certificação (1-2 meses)
- Selecionar organismo certificador acreditado
- Auditoria Stage 1: revisão documental
- Tratar observacoes do Stage 1
- Auditoria Stage 2: verificação de implementação
- Tratar não conformidades (se houver)
- Obtenção do certificado
Processo de Certificação
Escolha do Organismo Certificador
Selecione um organismo acreditado pelo INMETRO (Brasil) ou por membro do IAF. Exemplos: BSI, Bureau Veritas, DNV, SGS, LRQA. Compare preços, experiência no setor e disponibilidade.
Auditoria Stage 1
Revisão documental do SGSI: políticas, procedimentos, avaliação de riscos, SoA. O auditor verifica se a documentação atende aos requisitos. Resultado: relatório com observacoes a tratar antes do Stage 2.
Auditoria Stage 2
Verificação in-loco da implementação efetiva. Entrevistas com colaboradores, verificação de evidências, observação de processos. Pode resultar em: certificação direta, não conformidades menores (prazo para tratar) ou maiores (reauditoria necessária).
Manutenção da Certificação
Certificado tem validade de 3 anos com auditorias de supervisão anuais (anos 1 e 2) e auditoria de recertificacao no ano 3.
Precisa de Ajuda com ISO 27001?
Oferecemos gap analysis, consultoria de implementação e preparação para auditoria.
Solicitar PropostaPerguntas Frequentes
Sim. O escopo do SGSI pode ser limitado a unidades de negócio, processos ou localidades específicas. Exemplo: "Serviços de data center na unidade São Paulo". Isso reduz complexidade e custo, mas o certificado deixa claro o escopo limitado.
Não. A ISO 27001 permite excluir controles não aplicáveis, desde que justificado no Statement of Applicability (SoA). Por exemplo, se não ha desenvolvimento de software, controles relacionados podem ser excluídos. O importante e justificar cada exclusão.
ISO 27001 e a norma certificável com requisitos do SGSI. ISO 27002 e um guia de boas práticas que detalha os controles do Anexo A - não e certificável por si só. Use 27002 como referência para implementar os controles da 27001.
