O que é ISO 27001

O que é ISO 27001? É a norma internacional que define os requisitos de um sistema de gestão de segurança da informação (SGSI): a forma organizada como uma empresa decide quais informações precisa proteger, avalia os riscos que elas correm, escolhe controles proporcionais a esses riscos e prova, com registros, que o sistema funciona. O nome completo é ISO/IEC 27001, porque a norma é publicada em conjunto pela ISO e pela IEC, e a edição em vigor é a de 2022. Ela não manda comprar nenhum software nem fixa uma tecnologia; diz o que a empresa precisa ter sob controle e como demonstrar isso a um auditor.

Na Qualimaster, consultoria de Curitiba que trabalha com sistemas de gestão desde 1998, a ISO 27001 chega quase sempre por um cliente: um banco que exige o certificado do fornecedor de software, um hospital que quer garantias sobre o prontuário eletrônico, uma licitação que pede o certificado no edital. Neste texto explicamos a norma por dentro, cláusula por cláusula e controle por controle. O caminho até o certificado, com etapas, documentos e o que pesa no prazo, está na nossa página de certificação ISO 27001.

Consultoria ISO em Curitiba desde 1998, para empresas do Paraná, de Santa Catarina e do Rio Grande do Sul. Fale com a Qualimaster pelo WhatsApp.

O que é a norma ISO 27001?

A ISO 27001 é uma norma voluntária de requisitos, o que significa que qualquer organização pode implantá-la e, se quiser, ser auditada e certificada por um organismo independente. A edição vigente é a ISO/IEC 27001:2022, publicada em outubro de 2022, com a emenda de fevereiro de 2024 sobre mudança do clima (ISO). No Brasil, ela circula como ABNT NBR ISO/IEC 27001, com o mesmo conteúdo traduzido.

ISO 27001 significado: o que quer dizer o nome

ISO é a International Organization for Standardization e IEC é a International Electrotechnical Commission, as duas organizações que mantêm juntas a família de normas de segurança da informação. O número 27001 identifica a norma de requisitos dessa família, e o ano depois dos dois pontos indica a edição. Quando alguém fala “ISO 27001” e outra pessoa fala “ISO/IEC 27001”, estão falando da mesma norma.

Origem e edições da ISO 27001

A origem da ISO 27001 está na norma britânica BS 7799, publicada pelo BSI nos anos 1990 como um código de boas práticas de segurança da informação. A parte de requisitos dessa norma virou a ISO/IEC 27001 em 2005, que foi revisada em 2013 e depois em 2022. Cada edição aproximou a norma da estrutura comum às normas de sistema de gestão, a mesma da ISO 9001 e da ISO 14001.

O que é um SGSI?

O SGSI é o conjunto de políticas, processos, responsabilidades e controles que a empresa usa para gerir a segurança da informação dentro de um escopo definido. Ele não é um departamento de TI nem uma ferramenta: inclui contratos com fornecedores, regras de acesso ao prédio, treinamento das pessoas, cópias de segurança, resposta a incidentes e a análise crítica que a direção faz do conjunto. Toda decisão do SGSI parte de três perguntas sobre a informação: quem pode ver (confidencialidade), se ela está correta (integridade) e se está disponível quando o negócio precisa (disponibilidade).

Para que serve a ISO 27001?

A ISO 27001 serve para a empresa tratar segurança da informação como gestão de risco, com método e evidência, em vez de uma soma de ferramentas compradas sem critério. Na prática, ela resolve quatro problemas que vemos com frequência:

• Responder a clientes: o certificado substitui boa parte dos questionários de segurança que cada cliente manda e dá uma resposta reconhecida em qualquer país.
• Saber onde estão os riscos: a análise de riscos obriga a empresa a mapear ativos, ameaças e vulnerabilidades e a dar um dono e um prazo a cada tratamento.
• Não depender de uma pessoa: procedimentos, responsabilidades e registros fazem o controle continuar quando alguém da TI sai de férias ou deixa a empresa.
• Reagir melhor a incidentes: a norma exige que a resposta a incidentes seja planejada e testada, e que o aprendizado volte para o sistema.

Para quem é a ISO 27001?

A ISO 27001 é para qualquer organização que trate informação de valor, de qualquer porte e setor, mas na prática quem mais procura a certificação são empresas cujos clientes exigem o certificado. Os perfis mais comuns nos nossos projetos são:

• empresas de software, SaaS e desenvolvimento sob encomenda;
• data centers, provedores de nuvem e de hospedagem;
• empresas de suporte, outsourcing de TI e serviços gerenciados;
• fintechs e prestadores de serviço de instituições financeiras;
• empresas de saúde, laboratórios e clínicas com prontuário eletrônico;
• call centers, birôs de cobrança e empresas que tratam dados pessoais em grande volume.

A ISO 27001 não é obrigatória por lei no Brasil. Quem obriga, quando obriga, é o contrato, o edital ou a política de compras do cliente.

Quais são os requisitos da ISO 27001?

Os requisitos da ISO 27001 estão nas cláusulas 4 a 10, que descrevem o que o sistema de gestão precisa ter, e no Anexo A, que lista os controles de referência. As cláusulas 1 a 3 tratam de escopo, referências e termos e não contêm requisitos. A tabela resume o que cada cláusula pede e qual evidência o auditor costuma procurar.

Avaliação de riscos e Declaração de Aplicabilidade

A avaliação de riscos é o coração da ISO 27001: é ela que decide quais controles a empresa aplica e com que rigor. A norma não impõe um método, mas exige que ele seja definido, repetível e que produza resultados comparáveis ao longo do tempo. Em geral, a empresa inventaria os ativos de informação, identifica ameaças e vulnerabilidades, estima probabilidade e impacto e decide o tratamento: reduzir, evitar, transferir ou aceitar o risco, com aprovação do dono do risco.

A Declaração de Aplicabilidade, conhecida pela sigla em inglês SoA, é o documento que compara os controles escolhidos com todos os controles do Anexo A. Para cada controle, a empresa diz se ele se aplica, por quê, e se já está implementado. É um dos primeiros documentos que o auditor pede, porque mostra se a análise de riscos foi levada a sério.

Quais são os controles do Anexo A?

O Anexo A da ISO 27001:2022 tem 93 controles organizados em quatro temas, e a empresa decide quais aplica a partir da sua análise de riscos (ISO). A orientação de como implementar cada controle está numa norma separada, a ISO/IEC 27002, que não é certificável.

Excluir um controle é permitido, desde que a exclusão tenha justificativa na SoA. Uma empresa que não desenvolve software, por exemplo, pode justificar a exclusão dos controles de codificação segura; uma que trabalha só em nuvem pode tratar a segurança física do data center pelos contratos com o provedor.

O que mudou na versão 2022 da ISO 27001?

A versão 2022 manteve a lógica do sistema de gestão, mas reorganizou o Anexo A: os controles caíram de 114 em 14 domínios na edição de 2013 para 93 em quatro temas, com fusões e 11 controles novos. Nas cláusulas, as mudanças foram menores e alinharam o texto à estrutura harmonizada das normas ISO de sistema de gestão.

Os 11 controles novos da edição de 2022 são estes:

1. 5.7 Inteligência de ameaças
2. 5.23 Segurança da informação para uso de serviços em nuvem
3. 5.30 Prontidão de TIC para continuidade de negócios
4. 7.4 Monitoramento da segurança física
5. 8.9 Gestão de configuração
6. 8.10 Exclusão de informação
7. 8.11 Mascaramento de dados
8. 8.12 Prevenção de vazamento de dados
9. 8.16 Atividades de monitoramento
10. 8.23 Filtragem da web
11. 8.28 Codificação segura

Nas cláusulas, entraram o planejamento de mudanças do SGSI (6.3), a exigência de definir os processos necessários e suas interações (4.4) e critérios mais claros para os processos operacionais (8.1). A análise crítica pela direção foi dividida em subitens. Em fevereiro de 2024, a emenda 1 acrescentou à cláusula 4 a pergunta sobre se a mudança do clima é uma questão relevante para a organização, como aconteceu em todas as normas ISO de sistema de gestão.

A transição da versão 2013 já terminou?

Sim. A transição da ISO 27001:2013 para a 2022 terminou em 31 de outubro de 2025, prazo fixado no documento obrigatório IAF MD 26 (IAF), e certificados acreditados pela edição de 2013 deixaram de valer depois dessa data. Uma empresa que perdeu o prazo volta a ser tratada como cliente novo pelo organismo certificador, com auditoria inicial completa. Se o seu contrato ou edital ainda cita a ISO 27001:2013, vale pedir ao cliente a atualização da exigência.

ISO 27001, ISO 27002 e ISO 27701: qual a diferença?

A diferença é que a ISO 27001 traz os requisitos certificáveis do SGSI, a ISO 27002 é o guia de implementação dos controles e a ISO 27701 estende o sistema para a privacidade de dados pessoais. Muita confusão nas propostas comerciais vem daí.

ISO 27001 e LGPD: qual a relação?

A relação é que a LGPD exige medidas de segurança para proteger dados pessoais, e a ISO 27001 é um jeito organizado e auditável de definir e manter essas medidas. O artigo 46 da Lei 13.709/2018 determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.

A ISO 27001 não é exigida pela LGPD e não garante, sozinha, a conformidade com a lei. Ela cobre a segurança; a LGPD também trata de base legal, direitos dos titulares, encarregado e transparência, que estão fora do escopo do SGSI. O que vemos nos projetos é que a empresa com SGSI implantado responde muito mais rápido às exigências de segurança da lei, porque o inventário de ativos, o controle de acesso e a resposta a incidentes já existem.

Quais os benefícios da ISO 27001?

Os benefícios da ISO 27001 aparecem em duas frentes: a comercial, com o certificado, e a interna, com o sistema funcionando.

• Acesso a contratos: clientes do setor financeiro, de saúde e do governo pedem o certificado na seleção de fornecedores.
• Fornecedores sob controle: contratos de nuvem e de terceiros passam a ter cláusulas de segurança e avaliação periódica.
• Integração com outras normas: a estrutura é a mesma da ISO 9001 e da ISO 14001, e o sistema de gestão integrada aproveita auditoria interna, análise crítica e controle de documentos.

Como implementar a ISO 27001?

Implementar a ISO 27001 é definir o escopo, analisar os riscos, implantar os controles escolhidos, usar o sistema por um período com registros e verificá-lo com auditoria interna e análise crítica pela direção antes da auditoria do organismo certificador. Em resumo, o roteiro que seguimos:

1. Diagnóstico de lacunas frente às cláusulas e ao Anexo A.
2. Definição do escopo: produtos, unidades, sistemas, equipes e fornecedores.
3. Metodologia e avaliação de riscos, plano de tratamento e Declaração de Aplicabilidade.
4. Políticas, procedimentos e implantação dos controles.
5. Treinamento e conscientização das pessoas.
6. Operação do sistema com registros e indicadores.
7. Auditoria interna e análise crítica pela direção.
8. Auditoria de certificação em dois estágios pelo organismo acreditado.

O prazo depende do escopo, do número de sistemas e do quanto a empresa já tem implantado, por isso ele sai do diagnóstico, não de uma tabela.

Perguntas frequentes sobre a ISO 27001

O que significa ser certificado na ISO 27001?

Ser certificado na ISO 27001 significa que um organismo de certificação independente auditou o SGSI e encontrou evidências de que ele atende à norma dentro do escopo declarado no certificado. Não significa que a empresa nunca terá um incidente; significa que ela tem método para controlar riscos, responder e corrigir. Por isso o escopo importa: um certificado que cobre só o data center não diz nada sobre o desenvolvimento de software da mesma empresa.

Quem emite o certificado ISO 27001?

Quem emite o certificado é um organismo de certificação acreditado, que audita o sistema de forma independente. A Qualimaster é consultoria e não certifica: preparamos a empresa, fazemos a auditoria interna e acompanhamos a auditoria de certificação.

Qual a validade do certificado ISO 27001?

O certificado ISO 27001 vale por três anos, com auditorias de manutenção nos anos intermediários e uma auditoria de recertificação ao fim do ciclo, que é a regra das certificações acreditadas de sistemas de gestão.

A ISO 27001 é só para empresas de tecnologia?

Não. Toda empresa que depende de informação pode usar a ISO 27001, e muitos dos controles são de pessoas, processos e instalações, não de tecnologia. Indústrias com projetos de engenharia sigilosos, escritórios que guardam documentos de clientes e hospitais estão entre os usuários da norma.

Se a sua empresa recebeu uma exigência de ISO 27001 de um cliente ou de um edital, conte o escopo, o número de pessoas e a cidade pelo WhatsApp e respondemos com o caminho até a certificação, em Curitiba, no Paraná, em Santa Catarina ou no Rio Grande do Sul.