ISO 27001: O Que É e Como Se Certificar em 6 Etapas

A ISO 27001 é a norma internacional que estabelece requisitos para criar, operar, manter e melhorar continuamente um Sistema de Gestão da Segurança da Informação (SGSI). A certificação demonstra que a organização adota um processo estruturado para proteger a confidencialidade, a integridade e a disponibilidade das informações com base em riscos.

O nome oficial é ISO/IEC 27001. A edição vigente é a ISO/IEC 27001:2022, complementada pela Emenda 1:2024 sobre mudanças climáticas. A versão 2013 foi retirada, e o prazo internacional de transição das certificações terminou em 31 de outubro de 2025.

Para se certificar, não basta instalar ferramentas de cibersegurança ou reunir políticas. A empresa precisa definir o escopo do SGSI, avaliar riscos, selecionar controles, manter evidências, medir resultados e passar por auditorias independentes.

O que é ISO 27001 e para que serve

A ISO 27001 pode ser aplicada por organizações de qualquer porte ou setor. Seu foco não se limita à área de tecnologia: pessoas, processos, instalações, fornecedores, contratos e serviços em nuvem também podem afetar a segurança da informação.

Na prática, um SGSI ajuda a responder perguntas como:

• Quais informações são críticas para a operação?
• Quem pode acessá-las e com qual autorização?
• Quais ameaças e vulnerabilidades podem comprometer o negócio?
• Que controles reduzem os riscos a um nível aceitável?
• Como comprovar que esses controles funcionam?
• O que deve mudar quando surgem novos sistemas, fornecedores ou requisitos legais?

A implementação é voluntária, salvo quando a certificação ou determinado controle for exigido por contrato, edital ou outra obrigação aplicável. Também é possível implementar o SGSI sem buscar um certificado.

Qual é a versão atual da ISO 27001

Os 93 controles estão distribuídos em quatro grupos: 37 organizacionais, 8 de pessoas, 14 físicos e 34 tecnológicos. A redução em relação aos 114 controles da edição anterior decorre de uma reorganização que consolidou, atualizou e acrescentou temas. Ela não representa, por si só, redução do rigor.

Esse prazo e as regras que os organismos certificadores deveriam seguir para migrar certificados vieram do documento normativo do IAF (International Accreditation Forum) sobre transição para a ISO/IEC 27001:2022. Se uma organização não concluiu a transição até 31 de outubro de 2025, seu certificado baseado na edição 2013 não permanece válido. O caminho para obter um certificado vigente deve ser definido com o organismo certificador, conforme a situação do ciclo anterior e as regras aplicáveis. Portanto, não é correto afirmar que toda empresa precisa, necessariamente, descartar todas as evidências e recomeçar a implementação do zero.

Quais requisitos precisam ser atendidos

As cláusulas 4 a 10 contêm os requisitos auditáveis do sistema de gestão:

Os requisitos da ISO 27001 devem funcionar como um sistema. Uma política bem escrita perde valor se os riscos não forem atualizados, se os responsáveis desconhecerem os controles ou se não houver evidência de monitoramento.

O que a Emenda 1:2024 mudou

A Emenda 1:2024 acrescentou a necessidade de a organização determinar se as mudanças climáticas são uma questão relevante em sua análise de contexto. Também registra que partes interessadas pertinentes podem ter requisitos relacionados ao clima.

Isso não torna o tema automaticamente um risco material para todo SGSI. Uma empresa deve analisar, por exemplo, se eventos climáticos podem afetar datacenters, energia, telecomunicações, locais de trabalho, fornecedores críticos ou a continuidade dos serviços. A conclusão precisa ser demonstrável por evidências coerentes com o processo de análise de contexto, mas a emenda não determina um documento único nem exige que o registro esteja obrigatoriamente em ata de análise crítica.

Como funcionam os 93 controles do Anexo A

O Anexo A apresenta controles de referência para o tratamento dos riscos. Os 93 controles não formam um checklist obrigatório que toda empresa deva implementar integralmente.

A organização compara os controles necessários com o Anexo A para verificar se deixou de considerar alguma medida relevante. Depois, registra na Declaração de Aplicabilidade, conhecida como SoA, os controles necessários, a justificativa para sua inclusão, o status de implementação e a justificativa para excluir controles do Anexo A.

Também podem ser necessários controles que não apareçam no anexo. A seleção deve considerar os riscos avaliados e os requisitos legais, regulatórios, contratuais e de partes interessadas aplicáveis.

Entre os temas enfatizados na estrutura de 2022 estão:

• inteligência de ameaças;
• segurança no uso de serviços em nuvem;
• continuidade de negócios com prontidão de tecnologia da informação;
• monitoramento de segurança física;
• gestão de configuração;
• exclusão e mascaramento de dados;
• prevenção de vazamento de dados;
• monitoramento de atividades;
• filtragem da web;
• codificação segura.

ISO 27001, ISO 27002 e ISO 27701 são a mesma coisa?

A ISO/IEC 27701:2025 passou a ser uma norma de sistema de gestão independente, embora continue alinhada à ISO/IEC 27001. Ela pode apoiar a governança de privacidade, mas nenhuma dessas certificações comprova, isoladamente, conformidade integral com a LGPD.

Como se certificar na ISO 27001 em 6 etapas

O roteiro abaixo organiza o trabalho, mas a duração e a profundidade de cada etapa dependem do porte, da complexidade, do escopo e da maturidade da empresa.

1. Defina o contexto e o escopo do SGSI

Identifique processos, unidades, tecnologias, locais e partes interessadas relevantes. O escopo pode abranger toda a organização ou uma parte bem delimitada, desde que os limites e as interfaces sejam coerentes e não excluam dependências essenciais.

Uma empresa de software, por exemplo, pode incluir desenvolvimento, infraestrutura em nuvem, suporte e gestão de fornecedores ligados ao produto certificado. Deixar uma função crítica fora do escopo sem analisar sua interface cria uma fragilidade que tende a aparecer na auditoria.

2. Faça o diagnóstico de lacunas

Compare a situação atual com as cláusulas 4 a 10 e com as necessidades de controle identificadas. Registre o que já existe, o que precisa ser ajustado, os responsáveis, os prazos e as evidências esperadas.

O diagnóstico serve para planejar o projeto. Ele não substitui a avaliação de riscos nem garante conformidade.

3. Avalie os riscos de segurança da informação

Defina critérios consistentes para identificar, analisar, avaliar e aceitar riscos. A ISO 27001 não impõe uma única metodologia nem exige que toda avaliação seja exclusivamente baseada em um inventário de ativos. A abordagem escolhida, porém, deve produzir resultados comparáveis, válidos e repetíveis.

Para uma operação SaaS, riscos frequentes envolvem credenciais privilegiadas, indisponibilidade de serviços críticos, erros de configuração, vulnerabilidades no código, dependência de provedores, vazamento de dados e falhas na resposta a incidentes.

4. Trate os riscos e construa a SoA

Defina as opções de tratamento, os controles necessários, os responsáveis e os prazos. Compare esses controles com o Anexo A e consolide as decisões na Declaração de Aplicabilidade.

Uma SoA consistente liga cada decisão ao risco ou requisito que a originou. Copiar justificativas genéricas ou marcar controles como implementados sem evidência verificável costuma gerar inconsistências entre documento e operação.

5. Implemente, opere e monitore o sistema

Coloque os controles em funcionamento, capacite as pessoas e produza evidências. Isso pode envolver revisões de acesso, testes de restauração de backup, registros de incidentes, avaliação de fornecedores, gestão de vulnerabilidades, aprovação de mudanças e acompanhamento de indicadores.

Antes da auditoria externa, execute a auditoria interna e a análise crítica pela direção. Trate as não conformidades encontradas e verifique a eficácia das ações corretivas.

6. Contrate a auditoria de certificação

Escolha um organismo certificador competente e verifique sua acreditação para o escopo de segurança da informação. A auditoria inicial costuma ocorrer em duas fases:

• Fase 1: avalia a preparação, o escopo, informações documentadas relevantes e as condições para avançar.
• Fase 2: verifica a implementação e a eficácia do SGSI por meio de entrevistas, amostragem de registros e observação dos controles em operação.

Questões identificadas na Fase 1 podem indicar áreas de preocupação a resolver antes da Fase 2. Na segunda fase, os achados podem serificados conforme os critérios do organismo certificador. Nem toda não conformidade é maior, e a decisão de certificação ocorre após a análise independente das evidências e das correções exigidas.

Quais documentos e evidências precisam estar disponíveis

A norma exige informação documentada em pontos específicos, mas o auditor também pode solicitar outras evidências necessárias para avaliar a eficácia do sistema.

O nome e o formato dos registros podem variar. O ponto decisivo é conseguir demonstrar o que foi decidido, executado, monitorado e corrigido.

Erros que prejudicam a certificação ISO 27001

• Escopo artificialmente estreito: exclui processos ou fornecedores essenciais sem tratar as interfaces.
• Avaliação de riscos genérica: repete ameaças prontas e não representa a operação real.
• SoA sem rastreabilidade: seleciona controles sem conexão clara com riscos ou requisitos aplicáveis.
• Políticas diferentes da prática: descrevem rotinas que as equipes não conhecem ou não executam.
• Evidências produzidas na véspera: mostram atividade pontual, mas não um sistema operando ao longo do tempo.
• Auditoria interna superficial: deixa de testar processos críticos ou é conduzida sem independência adequada.
• Direção distante do SGSI: segurança fica restrita à TI, sem decisões, recursos e acompanhamento executivo.

Checklist antes da auditoria

• ☐ O escopo e suas interfaces estão claros e atualizados?
• ☐ Os critérios e resultados da avaliação de riscos podem ser reproduzidos?
• ☐ A SoA está alinhada ao tratamento de riscos e à implementação real?
• ☐ Requisitos legais, regulatórios e contratuais aplicáveis foram identificados?
• ☐ Há evidências recentes de operação e monitoramento dos controles?
• ☐ A competência das pessoas em funções relevantes está demonstrada?
• ☐ A auditoria interna cobriu todo o escopo planejado?
• ☐ A direção analisou resultados, mudanças, recursos e oportunidades de melhoria?
• ☐ As não conformidades tiveram causa, correção e eficácia avaliadas?
• ☐ A relevância das mudanças climáticas foi considerada no contexto do SGSI?

O que acontece depois da certificação

A certificação faz parte de um ciclo contínuo. Em programas acreditados, o organismo realiza auditorias de supervisão após a decisão inicial e uma auditoria de recertificação antes do fim do ciclo, normalmente de três anos. O calendário exato deve ser confirmado no programa do organismo contratado.

Novos sistemas, mudanças de infraestrutura, aquisições, incidentes, alterações legais e fornecedores críticos podem exigir nova avaliação de riscos e revisão de controles. O certificado não substitui essa rotina.

No Brasil, a Cgcre do Inmetro acredita organismos de certificação de SGSI no escopo OTS. Como também pode haver certificação acreditada por organismos estrangeiros reconhecidos em arranjos internacionais, a empresa deve verificar a acreditação, o escopo e a situação atual do organismo escolhido. A própria Cgcre recomenda consultar suas bases, pois escopos podem ser alterados ou cancelados.

ISO 27001 ajuda a cumprir a LGPD?

Sim, a estrutura de gestão de riscos e vários controles de segurança podem apoiar medidas técnicas e administrativas relacionadas à proteção de dados pessoais. Isso não significa que a certificação ateste conformidade integral com a LGPD.

A lei contém obrigações que vão além do SGSI, como hipóteses legais de tratamento, direitos dos titulares e responsabilidades dos agentes. A análise deve considerar a legislação, os regulamentos da ANPD e o papel da organização em cada atividade de tratamento.

Perguntas frequentes sobre ISO 27001

A ISO 27001 é obrigatória?

Em regra, não. A certificação é voluntária, mas pode ser exigida em contrato, edital ou política de qualificação de fornecedores. Obrigações legais e regulatórias de segurança continuam aplicáveis mesmo sem certificação.

É preciso implementar os 93 controles do Anexo A?

Não automaticamente. A organização seleciona os controles necessários a partir dos riscos e dos requisitos aplicáveis, compara essa seleção com o Anexo A e justifica suas decisões na SoA.

Quanto tempo leva para obter a certificação?

Não existe prazo universal. Escopo, maturidade, recursos, complexidade tecnológica e lacunas encontradas influenciam o cronograma. A estimativa deve ser feita após um diagnóstico realista.

O certificado ISO/IEC 27001:2013 ainda é válido?

Não. O período internacional de transição terminou em 31 de outubro de 2025. A organização deve consultar um organismo certificador para definir o processo aplicável à certificação na edição 2022.

A certificação elimina o risco de incidentes?

Não. Ela demonstra a existência de um sistema de gestão avaliado por terceira parte, não a ausência de riscos ou a garantia de que nenhum incidente ocorrerá.

Centralizar requisitos, responsáveis, prazos e evidências reduz a dispersão que costuma dificultar a preparação e a manutenção do SGSI. Para conhecer como o EASY pode apoiar essa rotina, agende uma demonstração do EASY.

Fontes oficiais consultadas

• ISO: ISO/IEC 27001:2022, requisitos para sistemas de gestão da segurança da informação
• ISO: ISO/IEC 27001:2022/Amd 1:2024, mudanças relativas à ação climática
• ISO: ISO/IEC 27002:2022, controles de segurança da informação
• ISO: ISO/IEC 27701:2025, sistema de gestão de informações de privacidade
• IAF: IAF MD 26:2023, requisitos de transição para a ISO/IEC 27001:2022
• Inmetro: acreditação de organismos de certificação de sistemas de gestão
• Inmetro: consulta a organismos acreditados
• Planalto: Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais

Este conteúdo tem caráter informativo e não substitui a análise técnica ou jurídica das obrigações aplicáveis a uma organização específica.