De Acordo Com A Norma Abnt Nbr Iso Iec 27001

Implementando a ISO 27001 na prática: o que ninguém conta

A norma abnt nbr iso iec 27001 é frequentemente mal compreendida nas empresas brasileiras. Muitos executivos chegam achando que se trata de um checklist burocrático com trinta itens para marcar como "conforme". O resultado costuma ser um sistema de gestão de segurança da informação (SGSI) que passa na auditoria e depois vira pastinha na gaveta. O problema raiz não está na norma — está na forma como as organizações encaram a análise de riscos. Recentemente, trabalhei com uma empresa de saúde que tentava obter certificação há doze meses. Eles tinham um documento de política de segurança de cinquenta páginas que ninguém lia. O que faltava era algo simples: um escopo bem delimitado e uma metodologia de análise de riscos que fizesse sentido para a operação real, não para o consultor que escreveu o relatório. A gente cortou o escopo de trezentos ativos para quarenta, mapeou os riscos com critérios reais de impacto financeiro e operacional, e em oito semanas tinham um SGSI funcionando de verdade. A certificação veio no terceiro mês seguinte.

de acordo com a norma abnt nbr iso iec 27001, os passos práticos

O padrão segue a estrutura de alto nível (HLS) com dez capítulos, mas na prática você vai gastar 70% do tempo nos capítulos seis, sete e oito. Aqui está o que funciona: Capítulo 4 — Contexto da organização. Defina o escopo com precisão cirúrgica. Eu vejo muita gente incluíndo tudo ("todos os processos, todos os departamentos, todas as filiais"). Isso gera um escopo irrelevante. Escolha os processos críticos e delimite claramente o que está fora. Documente as partes interessadas e seus requisitos, mas não perca horas nisso. Duas reuniões bem feitas valem mais que um documento de dez páginas. Capítulo 6 — Planejamento de riscos. Este é o coração. A norma exige que você realize uma análise de riscos de segurança da informação de forma sistemática. O método mais adotado no Brasil é o baseado em cenários com avaliação qualitativa, usando matrizes de probabilidade e impacto. Mas aqui vai um insight que pouca gente compartilha: a maioria das organizações erra na etapa de identificação de ativos. Se você não sabe o que tem, não consegue proteger. Comece listando ativos de informação, não ativos físicos. Um servidor é um ativo. Os dados que ele armazena são outro ativo. São independentes.

Um caso específico que encontro frequentemente: empresas que tratam dados pessoais (LGPD) e dados da empresa como a mesma coisa na análise de riscos. Não são. O risco de vazamento de dados de clientes tem implicações legais e reputacionais diferentes do risco de perda de propriedade intelectual. Separe essas categorias na sua avaliação. No meu último projeto, fizemos uma matriz dupla — uma para riscos regulatórios e outra para riscos operacionais — e isso reduziu em cerca de 40% o tempo de auditoria porque o auditores conseguiam navegar pelas evidências sem confusão. Capítulo 8 — Operações. A maior armadilha aqui é tratar o tratamento de riscos como evento único. A norma exige revisão periódica. Na prática, eu recomendo um ciclo trimestral de reavaliação para ambientes dinâmicos e semestral para ambientes estáveis. Documente cada reavaliação com datas, responsáveis e mudanças nos riscos residuais. Isso vira evidência direta para o capítulo 9 (análise pela direção).

Anejo A — as medidas de controle que realmente importam

O Anexo A da norma abnt nbr iso iec 27001 contém 93 controles organizados em quatro temas: organizacionais, pessoas, físicos e tecnológicos. A tentação é implementar todos. Não faça isso. A norma é clara: os controles devem ser selecionados com base na análise de riscos do capítulo seis. Se um controle não endereça um risco identificado, não há motivo para incluí-lo. Dos 93 controles, estes são os que mais causam problemas durante auditorias no Brasil: A.5.7 — Atribuição de responsabilidades de segurança da informação. Quase nenhuma empresa documenta isso de forma formal. Um simples tabela com cargo, responsabilidade e nível de acesso resolve.

A.6.3 — Remuneração e benefícios relacionados à segurança. Sim, a norma pede que você trate segurança como critério de avaliação de desempenho. Na prática, isso significa incluir uma métrica de segurança no PDI dos colaboradores. Eu costumo sugerir algo concreto como "participação em treinamentos obrigatórios e reporte de incidentes" como indicador mensurável. A.8.9 — Configuração segura. Esta é a mais negligenciada. Empresas têm servidores, aplicativos e dispositivos com configurações padrão de fábrica. A norma exige configurações hardenidas documentadas. Um playbook de configuração para cada tipo de ativo custa cerca de duas horas de trabalho inicial e economiza semanas de retrabalho na auditoria.

O que a norma não diz — mas deveria

A ISO 27001 não especifica metodologia de análise de riscos. Isso é deliberado. Ela deixa aberto para você escolher. O problema é que muitas organizações copiam metodologias de outros setores (como NIST RMF ou ISAO) sem adaptar ao contexto brasileiro. A Norma ABNT NBR ISO/IEC 27001:2022 (a versão atual, que substituiu a de 2013) traz mudanças significativas: os controles do Anexo A foramdos de 114 para 93 itens, agrupados em quatro temas em vez de treze domínios, e há maior ênfase em governança de terceiros e segurança de nuvem. Uma limitação importante que preciso mencionar: a norma não aborda compliance com a LGPD de forma explícita. Muitos auditores confundem isso e acabam exigindo evidências que estão fora do escopo da certificação ISO 27001. A minha recomendação é manter um mapeamento paralelo entre os controles da norma e os artigos da LGPD, mas deixe claro para a equipe de auditoria que são estruturas distintas. Isso evita discussões improdutivas durante a auditoria.

Documentação essencial

Você não precisa de um manual de cem páginas. A norma exige apenas: A Declaração de Aplicabilidade merece atenção especial. Ela é o documento que lista os controles do Anexo A que você selecionou e os que excluiu, com justificativa. Uma SoA bem feita corta quinze minutos da entrevista inicial com o auditor. Uma SoA mal feita gera duas horas de questionamento desnecessário. Para uma organização de médio porte (duzentas a quinhentas pessoas) com processos digitais consolidados, o prazo realista é de seis a nove meses para a primeira certificação, partindo do zero. Se já existe alguma governança de TI e políticas formais, esse tempo cai para quatro a seis meses. Organizações menores podem fazer em três a cinco meses, mas o custo fixo de consultoria e auditoria tende a tornar o custo por funcionário mais alto.

O erro mais comum que acelera o processo de forma negativa: começar a implementar controles antes de finalizar a análise de riscos. Isso gera retrabalho porque os controles implementados podem não endereçar os riscos reais identificados depois. A sequência correta — escopo, análise de riscos, tratamento de riscos, seleção de controles, implementação, auditoria interna, certificação — parece óbvia mas é frequentemente ignorada sob pressão de prazos. Para acessar o documento oficial da norma abnt nbr iso iec 27001, a norma está disponível para compra diretamente pela ABNT (Associação Brasileira de Normas Técnicas) no site abnt.org.br. O preço varia conforme o formato e a edição. A versão em inglês (ISO/IEC 27001:2022) também pode ser adquirida pelo site da ISO (iso.org) caso precise consultar termos técnicos em inglês durante a implementação. Se quiser um guia prático gratuito para começar, a própria ABNT disponibiliza materiais de apoio no portal deles, e a NIST conta com frameworks comparativos que ajudam a mapear controles entre normas. Mas o material oficial da ISO/IEC 27001:2022 é indispensável — nenhuma adaptação caseira substitui o texto normativo para fins de certificação.