ISO 27002.
As orientações para medidas de segurança da informação: o que organiza a ISO 27002, como aplicá-la e que evidências daí resultam.
- ISO/IEC 27002:2022
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 8 min.
Resposta breve.
A ISO 27002 é a orientação internacional para implementar medidas de segurança da informação. A ISO/IEC 27002:2022 organiza os controlos em temas organizativos, humanos, físicos e tecnológicos e explica a sua aplicação. As organizações utilizam as orientações segundo os seus riscos e operação. Não existe certificação ISO 27002 autónoma; a ISO 27001 contém os requisitos certificáveis de um SGSI.
ISO 27002:2022 como apoio à implementação.
A ISO 27002 explica medidas de segurança, enquanto a ISO 27001 descreve requisitos de um sistema de gestão da segurança da informação, ou SGSI. O termo inglês Controls designa medidas para influenciar os riscos de segurança. Inclui processos organizativos e disposições técnicas ou físicas. Um catálogo de medidas não descreve, por isso, uma simples lista de produtos nem apenas o trabalho de um departamento de informática.
A página pública do editor apresenta a ISO/IEC 27002:2022 como terceira edição, de fevereiro de 2022, e menciona uma versão inglesa corrigida de março de 2022. O artigo das editoras no SC-27-Journal, edição de dezembro de 2022, explica nas páginas 13 a 15 a estrutura de 93 medidas em quatro temas e os atributos complementares. Esta orientação não substitui o trabalho com a norma adquirida legitimamente.
As orientações são aplicadas no contexto da própria organização. A descrição do produto da IEC menciona tanto a utilização num SGSI como o desenvolvimento de diretrizes de segurança específicas da organização. Um catálogo adotado, por si só, não define que ambiente é protegido, quem opera uma medida ou se esta funciona efetivamente.
A quem se adequa a ISO 27002.
Segundo a descrição pública da ISO, a ISO 27002 destina-se a organizações de diferentes dimensões e setores. Pode apoiar o trabalho com medidas de um SGSI existente ou orientar o trabalho de segurança. Não é necessário pretender uma certificação. Antes da introdução, deve estar claro se é necessária uma linguagem técnica comum, uma melhor implementação ou uma demonstração perante um destinatário específico.
A aplicação envolve habitualmente várias funções. Como repartição prática do trabalho, os responsáveis pela segurança podem coordenar a seleção, os responsáveis pelos serviços podem explicar o ambiente afetado e as áreas funcionais podem assumir a implementação. Compras, recursos humanos, gestão de instalações e desenvolvimento são envolvidos quando a medida concreta afeta os seus processos. Esta repartição é uma recomendação para organizar o trabalho, não uma atribuição universal de papéis prevista na norma.
Os controlos ISO 27002 como base de trabalho.
Quatro temas estruturam as medidas; a seleção e os atributos ajudam na sua aplicação. As seis áreas seguintes ligam esta estrutura a decisões práticas, sem representarem seis capítulos oficiais da norma nem uma lista completa de medidas.
Responsabilidade organizativa.
As medidas organizativas constituem um tema próprio. Para a implementação prática, esclareça onde uma decisão é tomada, aprovada e verificada. Uma disposição compreensível relaciona o serviço protegido com a função responsável; a simples existência de um documento de política não explica essa ligação.
Pessoas e processos de trabalho.
As medidas relativas às pessoas consideram a segurança em relação às pessoas e ao seu trabalho. Na aplicação, verifique que eventos do dia a dia desencadeiam uma ação e quem a assume. Uma formação e uma mudança de função exigem implementações diferentes, mesmo quando acompanhadas pela mesma área funcional.
Ambiente físico.
As medidas físicas dizem respeito ao ambiente onde a informação e os meios de apoio são utilizados. Na delimitação prática, distinga os estabelecimentos próprios dos serviços dos prestadores. Por exemplo, uma evidência sobre o centro de dados não responde automaticamente às questões de utilização de equipamentos no próprio escritório.
Implementação tecnológica.
As medidas tecnológicas constituem o quarto tema. Para aplicar, descreva primeiro os sistemas e a informação que uma disposição técnica deve abranger. Depois, pode verificar se a configuração, o processo operacional e a monitorização se articulam. Uma função ativada é um ponto de partida para a verificação, não uma conclusão completa sobre a eficácia.
Relacionar a seleção com o risco.
A aplicação deve partir das necessidades de proteção e dos riscos da operação considerada. Como recomendação prática, registe a decisão que fundamenta uma medida e as dependências consideradas. Assim, mantém-se rastreável a razão pela qual dois serviços podem precisar de implementações diferentes, embora a mesma orientação sirva de referência.
Utilizar atributos para perspetivas compreensíveis.
Segundo o artigo das editoras, os atributos permitem diferentes perspetivas sobre o conjunto de medidas. Utilize-as, por exemplo, na coordenação entre a organização da segurança e os responsáveis operacionais. A ordenação facilita a navegação; não substitui a decisão de aplicação nem a evidência de que uma medida foi implementada ou é eficaz.
Aplicar a ISO 27002 na operação.
Escolher um âmbito viável.
Como ponto de partida prático, delimite um serviço com a sua informação, sistemas e intervenientes, para que a implementação posterior tenha limites verificáveis.
Registar a base da decisão.
Descreva os riscos relevantes e os requisitos de negócio, legais ou contratuais antes de recorrer às orientações adequadas para o trabalho com medidas.
Ler as orientações no seu contexto.
Verifique na norma adquirida legitimamente que orientações se adequam ao seu ambiente e não trate uma descrição breve como uma instrução completa de implementação.
Definir a implementação e a responsabilidade.
Acorde o que deve acontecer na operação considerada, quem é responsável e a que processo existente o trabalho se liga.
Verificar as afirmações com evidências.
Escolha registos ou testes que abranjam efetivamente o âmbito descrito e registe o resultado, a data da verificação e as ações de seguimento necessárias.
Reavaliar as alterações.
Defina motivos adequados para revisão, como uma alteração do serviço ou um incidente, e atualize a decisão de implementação com os responsáveis afetados.
Demonstração sem certificado ISO 27002.
Segundo as perguntas frequentes do produto da ISO, não está prevista certificação autónoma ISO 27002. Quem precisa de uma demonstração certificada de SGSI deve considerar a ISO 27001 e o âmbito concreto da certificação. A ISO não realiza essas certificações; segundo a sua página sobre certificação, esta cabe a entidades externas. Por isso, também não existe uma validade geral de certificado para estas orientações de implementação.
Para o trabalho de demonstração próprio, recomenda-se uma afirmação clara: que implementação deve ser comprovada e em que ambiente? Um procedimento pode descrever a forma de trabalhar prevista, enquanto um registo mostra a sua execução. Um teste, por sua vez, verifica uma expectativa concreta. Estes tipos de evidências podem complementar-se, mas respondem a perguntas diferentes.
Antes de partilhar uma evidência, verifique a sua origem, período e âmbito. Uma configuração atual não comprova uma operação passada; uma amostra não explica automaticamente todas as exceções. Documente a cobertura limitada e o trabalho daí resultante, em vez de deduzir de um único documento uma garantia completa de segurança ou conformidade.
Enquadrar outros referenciais.
A ISO 27001 descreve requisitos do SGSI; a ISO 27002 apoia o trabalho com medidas nesse sistema. O IT-Grundschutz fornece uma metodologia própria do BSI com normas e compêndio. As obrigações legais das entidades abrangidas pelo BSIG devem continuar a ser analisadas separadamente; utilizar orientações de implementação não confirma conformidade com a NIS2.
No Secani.
O Secani contém um catálogo editorial de trabalho relativo à ISO/IEC 27002:2022 com dados de perfil, entre outros, sobre serviços na nuvem, desenvolvimento de software e trabalho móvel. O catálogo permite um trabalho estruturado e não é um texto oficial da norma. As decisões de aplicabilidade precisam de fundamentação; este apoio editorial não substitui uma avaliação técnica autónoma.
Começar por uma implementação rastreável.
Escolha um serviço cujos responsáveis e dependências sejam conhecidos. Registe uma decisão concreta de segurança com o seu motivo, a implementação prevista e uma forma adequada de verificação. Esclareça depois com os intervenientes se a descrição corresponde ao trabalho efetivamente realizado. Só então faz sentido alargar a abordagem a outros serviços.
Fontes.
- ISO/IEC 27002:2022: página pública da norma e perguntas frequentes
- ISO/IEC 27001:2022: requisitos de SGSI e certificação
- ISO/IEC SC 27 Journal, Vol. 2, Issue 2: artigo das editoras, pp. 13–15
- IEC: ISO/IEC 27002:2022, edição e finalidade de aplicação
- ISO: certificação e organismos de certificação externos
Perguntas frequentes.
Não. A ISO 27002 é uma orientação de implementação; para uma demonstração certificada do sistema de gestão da segurança da informação, a ISO 27001 é a norma de requisitos pertinente.
Não. A implementação concreta depende do contexto e dos riscos do ambiente considerado; uma referência comum não significa um modelo operacional idêntico para todas as organizações.
Não. Os atributos permitem diferentes perspetivas sobre as medidas e ajudam a organizá-las; não substituem uma decisão de aplicabilidade nem uma evidência de implementação.
Não. Uma política compreensível ou um processo operacional pode apoiar várias medidas, desde que a implementação e a responsabilidade de cada uma continuem rastreáveis.
Trabalhe as medidas de forma rastreável.
Organize os riscos, as responsabilidades e as evidências no Secani.
Esta página enquadra as orientações de implementação. Prevalecem as normas adquiridas legitimamente e o contexto concreto de aplicação.