ISO 27001.
Crie um sistema de gestão da segurança da informação, gira riscos e escolha a demonstração adequada para clientes e parceiros contratuais.
- ISO/IEC 27001:2022 + Amd 1:2024
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 9 min.
Resposta breve.
A ISO 27001 é a norma internacional para sistemas de gestão da segurança da informação, ou SGSI. Descreve como organizar, operar e melhorar a segurança da informação com base nos riscos. A ISO/IEC 27001:2022 aplica-se a organizações de diferentes dimensões e setores. Um organismo independente pode certificar a conformidade no âmbito definido; a ISO não emite certificados.
ISO 27001 e SGSI.
A ISO 27001 descreve requisitos para a gestão da segurança da informação. Um SGSI relaciona as decisões da direção com a gestão da informação, das pessoas, dos processos e da tecnologia. Protege a confidencialidade, a integridade e a disponibilidade: quem pode consultar a informação, como mantê-la fiável e quando deve estar utilizável? A descrição pública da ISO/IEC 27001:2022 coloca uma abordagem baseada nos riscos no centro deste trabalho.
A edição de base publicada é a ISO/IEC 27001:2022, complementada pela Amd 1:2024. A alteração acrescenta a consideração de questões climáticas no contexto do sistema de gestão. Segundo o comunicado conjunto ISO/IAF de fevereiro de 2024, trata-se de verificar a sua relevância para cada sistema de gestão. Daqui não resulta um programa de medidas idêntico para todas as organizações.
O SGSI é o trabalho contínuo da organização; a certificação é uma possível demonstração externa desse trabalho. Uma ferramenta implementada, um questionário preenchido ou um certificado de formação não substituem o funcionamento do sistema de gestão nem a sua avaliação independente.
A quem se adequa a ISO 27001.
Segundo a descrição pública da ISO, a ISO 27001 adequa-se a organizações de diferentes dimensões e setores. São determinantes a informação e as dependências no âmbito escolhido. Assim, um pequeno prestador de serviços pode precisar de responsabilidades e processos diferentes dos de uma empresa com vários estabelecimentos, mantendo-se a tarefa fundamental da gestão da segurança.
Os requisitos dos clientes determinam frequentemente o âmbito de certificação necessário. Esclareça se o parceiro contratual pretende avaliar um serviço específico, um estabelecimento ou uma pessoa coletiva. Um âmbito deliberadamente delimitado deve considerar as interfaces relevantes. Uma atividade subcontratada não deixa de fazer parte da análise de segurança apenas por ser executada por um fornecedor.
Os requisitos da ISO 27001.
Os requisitos da ISO 27001 combinam a governação do SGSI com a operação de medidas de segurança adequadas. As seis áreas de trabalho seguintes resumem, por palavras próprias e para orientação, os capítulos 4 a 10 da ISO/IEC 27001:2022.
Definir o contexto e o âmbito.
A organização delimita as atividades e a informação abrangidas pelo seu SGSI. Inclui os requisitos relevantes das partes interessadas e as dependências de outras áreas. Para implementar, recomenda-se uma descrição compreensível tanto para os responsáveis funcionais como para leitores externos: o nome de um serviço, por si só, não explica os sistemas e interfaces que o suportam.
Estabelecer a liderança e a responsabilidade.
A direção dá orientação, autoridade e recursos ao trabalho de segurança. Os responsáveis devem poder tomar decisões adequadas às suas tarefas. Uma pessoa com funções de coordenação central pode manter a visão global; isso não significa que assuma automaticamente todas as tarefas dos recursos humanos, das compras, da informática ou do desenvolvimento.
Avaliar e tratar os riscos.
A apreciação e o tratamento de riscos determinam que problemas são tratados primeiro. Os critérios de avaliação, os responsáveis e as decisões rastreáveis ligam a análise ao trabalho concreto. A declaração de aplicabilidade, também designada Statement of Applicability ou SoA, regista a seleção das medidas e a sua justificação. O Anexo A serve de referência para as medidas de segurança.
Organizar os recursos e a documentação.
As competências, a comunicação e a informação documentada atualizada sustentam a operação. Defina na prática quem aprova um requisito, quem o aplica e onde se encontra a versão válida. Uma coleção extensa de documentos pouco ajuda se as suas afirmações diferirem do trabalho real ou se os responsáveis desconhecerem as suas tarefas.
Operar as medidas no dia a dia.
As medidas de segurança têm de funcionar efetivamente no âmbito escolhido. As disposições organizativas, humanas, físicas e técnicas articulam-se entre si. Como apoio prático, os responsáveis podem registar, para cada medida selecionada, o processo protegido e os registos que demonstram a operação. O artigo sobre o Anexo A aprofunda a seleção e a operação das medidas.
Avaliar e melhorar.
As auditorias internas, as revisões pela gestão e o tratamento de desvios mantêm o SGSI em evolução. A organização verifica se a sua forma de trabalhar cumpre os requisitos e apoia os resultados pretendidos. Na prática, é útil definir, logo ao corrigir um problema, como será reconhecido mais tarde o efeito da correção.
O percurso para a certificação ISO 27001.
Acordar o objetivo e o âmbito.
Como ponto de partida prático, esclareça que demonstração é necessária para que atividade e descreva o âmbito, incluindo as suas dependências relevantes.
Definir responsabilidades e capacidade.
Identifique a direção com poderes de decisão, a coordenação e os responsáveis pelos processos e reserve tempo para a introdução e a manutenção contínua.
Trabalhar os riscos e as medidas.
Aplique um procedimento de avaliação rastreável, decida sobre o tratamento e documente a seleção das medidas na declaração de aplicabilidade.
Reunir a operação e as evidências.
Implemente as medidas selecionadas e conserve registos adequados da operação real, em vez de se limitar a preencher modelos de documentos.
Avaliar internamente e corrigir.
Utilize a auditoria interna e a revisão pela gestão para tratar decisões pendentes, desvios e necessidades de recursos antes de uma avaliação externa.
Planear a avaliação externa e a continuidade da operação.
Acorde o âmbito e o programa de auditoria com um organismo de certificação adequado e continue a operar o SGSI após a decisão de certificação, com as verificações necessárias.
O que demonstra o certificado ISO 27001.
O certificado ISO 27001 confirma a conformidade avaliada do sistema de gestão no âmbito indicado. Por isso, verifique em conjunto o âmbito, a edição da norma, a entidade emitente, a data de validade e o estado atual. O certificado não garante que todas as áreas da empresa foram abrangidas nem que não ocorrerão incidentes de segurança no futuro.
A certificação é efetuada por organismos de certificação externos; a ISO não emite certificados. A ISO/IEC 27006-1:2024 complementa os requisitos aplicáveis a esses organismos para certificações de SGSI. A acreditação diz respeito à competência dos organismos e distingue-se do certificado da organização avaliada. A página pública da ISO sobre certificação explica como verificar o estado da certificação e da acreditação.
O planeamento não termina com a primeira emissão. Peça ao seu organismo de certificação que explique o programa de auditoria, as condições de manutenção e o procedimento de renovação. Para decidir o orçamento, contam estes serviços recorrentes em conjunto com a operação interna, e não apenas a proposta inicial.
Saiba mais no blogue.
- O que é um SGSI?Associe o trabalho de segurança às decisões da organização.
- Preparar a certificação ISO 27001Planeie em detalhe a preparação, o esforço e as avaliações.
- Anexo A da ISO 27001Integre as medidas selecionadas na operação.
- Auditoria interna ISO 27001Organize os critérios de auditoria, as evidências e as correções.
- Lista de verificação ISO 27001Organize previamente as áreas de trabalho e os apoios iniciais existentes.
Enquadrar outros referenciais.
A ISO 27002 complementa a ISO 27001 com orientações para implementar medidas de segurança da informação. O IT-Grundschutz descreve uma metodologia do BSI para o trabalho de segurança e um percurso próprio de certificação. A NIS2 cria obrigações legais autónomas para as entidades abrangidas; um certificado ISO 27001 não substitui a sua verificação. O TISAX utiliza um procedimento próprio de avaliação e partilha para a cadeia de fornecimento automóvel.
No Secani.
O Secani disponibiliza um catálogo editorial próprio de avaliação da ISO/IEC 27001:2022 com a Alteração 1:2024. No espaço de trabalho, é possível tratar medidas, evidências e tarefas de forma relacionada. O catálogo contém orientações de implementação próprias e não substitui o texto licenciado da norma; a avaliação técnica e a decisão de certificação continuam a ser tarefas separadas.
Começar com um âmbito concreto.
Escolha um serviço para o qual seja necessária uma demonstração de segurança rastreável. Registe a informação, as equipas envolvidas e os fornecedores que lhe pertencem e quem pode decidir sobre os riscos. Com esta base, pode discutir a extensão da implementação e as expectativas relativas a um certificado.
Peça depois uma proposta de auditoria com a mesma base de âmbito. Distinga o esforço interno, as melhorias necessárias e os custos da avaliação externa. Assim, as propostas tornam-se mais comparáveis sem prometer desde logo uma data de certificação ou um resultado.
Fontes.
- ENX: manual do participante TISAX
- ISO/IEC 27001:2022 — página pública da norma
- ISO/IEC 27001:2022/Amd 1:2024
- Comunicado ISO/IAF sobre alterações relativas ao clima, fevereiro de 2024
- ISO — certificação e acreditação
- ISO/IEC 27006-1:2024 — requisitos para organismos de certificação
- ISO/IEC 27002:2022 — orientações complementares de implementação
Perguntas frequentes.
Não existe uma obrigação geral de certificação ISO 27001 para todas as empresas. A exigência de uma demonstração concreta depende dos requisitos legais, contratuais ou setoriais aplicáveis.
Não é possível indicar um preço único fiável sem conhecer o âmbito e a situação inicial. Planeie separadamente o esforço interno, as melhorias necessárias, os custos de auditoria externa e a manutenção contínua.
A seleção depende dos riscos e dos requisitos relevantes. A declaração de aplicabilidade documenta as medidas necessárias, o seu estado de implementação e as exclusões fundamentadas de medidas de referência.
Sim. Implementar um SGSI e certificá-lo através de uma entidade externa são decisões diferentes; a ISO descreve a certificação como uma forma opcional de demonstração.
Não. Os organismos de certificação externos emitem os certificados; a ISO desenvolve e publica as normas.
Esclareça o âmbito.
Fale connosco sobre como trabalhar os requisitos, as medidas e as evidências no Secani.
Esta página enquadra a ISO 27001 por palavras próprias e não substitui o texto licenciado da norma nem uma avaliação técnica. Prevalecem as publicações originais e o procedimento de certificação aplicável.