Olá, querido(a) aluno(a)! A informação sustenta serviços públicos, operações financeiras, plataformas digitais, decisões gerenciais e a própria continuidade das organizações. Quando ela é exposta, alterada indevidamente ou se torna indisponível, os impactos podem alcançar contratos, reputação, obrigações legais e prestação de serviços essenciais. A ISO/IEC 27001:2022 oferece uma resposta estruturada a esse problema ao estabelecer os requisitos para um Sistema de Gestão da Segurança da Informação, conhecido pela sigla SGSI ou, em inglês, ISMS.

A norma não se limita à instalação de ferramentas de segurança. Seu foco é organizar responsabilidades, processos, critérios de risco, controles, monitoramento e melhoria contínua. Por isso, aparece tanto em projetos de certificação e governança quanto em editais e provas para cargos de Tecnologia da Informação, auditoria, controle e segurança da informação.

VISÃO RÁPIDA  |  A ISO/IEC 27001: 2022 define requisitos para criar, implementar, manter e melhorar continuamente um SGSI. A organização avalia riscos, seleciona controles adequados, documenta suas escolhas na Declaração de Aplicabilidade e mede a eficácia do sistema. A certificação é voluntária e pode demonstrar, dentro de um escopo definido, que o SGSI foi auditado por um organismo independente.

1. O que é a ISO 27001?

A denominação tecnicamente correta é ISO/IEC 27001, pois a norma foi publicada conjuntamente pela International Organization for Standardization (ISO) e pela International Electrotechnical Commission (IEC). A edição vigente tratada neste artigo é a ISO/IEC 27001:2022, publicada em outubro de 2022. No Brasil, sua adoção corresponde à ABNT NBR ISO/IEC 27001:2022.

Trata-se de uma norma de requisitos para sistemas de gestão. Isso significa que ela determina o que um SGSI deve contemplar para ser consistente e auditável, sem impor uma arquitetura tecnológica única. Uma empresa pode usar serviços em nuvem, infraestrutura própria ou um ambiente híbrido; o ponto central é demonstrar que compreende seu contexto, avalia os riscos e mantém controles proporcionais às suas necessidades.

O propósito do SGSI é preservar a confidencialidade, a integridade e a disponibilidade da informação por meio de um processo de gestão de riscos. A confidencialidade restringe o acesso a pessoas, processos ou entidades autorizadas. A integridade protege a exatidão e a completude. A disponibilidade assegura que a informação e os recursos relacionados possam ser acessados quando necessários.

2. Como funciona um SGSI na prática

Um SGSI transforma a segurança da informação em um processo organizacional permanente. Primeiro, a organização identifica seu contexto, as partes interessadas e o escopo. Em seguida, define responsabilidades, política, objetivos e critérios para avaliar riscos. Com base nessa avaliação, decide como tratar os riscos, implementa controles, acompanha resultados, realiza auditorias internas, promove análise crítica pela direção e corrige falhas.

Essa lógica é compatível com o ciclo PDCA, composto por planejar, executar, verificar e agir. A melhoria contínua é importante porque ameaças, tecnologias, fornecedores, requisitos legais e processos de negócio mudam. Um controle adequado hoje pode se tornar insuficiente após uma migração para a nuvem, a contratação de um novo operador ou a descoberta de uma vulnerabilidade crítica.

3. Principais requisitos da ISO/IEC 27001:2022

As cláusulas 1 a 3 apresentam escopo, referências normativas, termos e definições. Os requisitos auditáveis do SGSI concentram-se nas cláusulas 4 a 10:

Em 2024, a ISO publicou a Emenda 1 sobre mudanças climáticas para normas de sistemas de gestão. Na ISO/IEC 27001, a organização passou a precisar determinar se a mudança climática é uma questão relevante para seu contexto, enquanto a nota relacionada às partes interessadas reconhece que elas podem apresentar requisitos associados ao tema. O acréscimo não cria uma categoria autônoma de controles de segurança, mas deve ser considerado quando tiver relação com o SGSI, como em riscos de indisponibilidade de instalações, energia, telecomunicações ou fornecedores críticos.

4. Gestão de riscos e Declaração de Aplicabilidade

A abordagem baseada em riscos é o núcleo da norma. A organização estabelece critérios, identifica riscos associados à perda de confidencialidade, integridade ou disponibilidade, analisa probabilidade e consequência, avalia prioridades e escolhe opções de tratamento. Entre essas opções estão evitar o risco, modificar sua probabilidade ou consequência, compartilhar o risco e retê-lo de forma consciente.

Após definir os controles necessários, a organização deve compará-los com o Anexo A para verificar se nenhum controle relevante foi omitido. O resultado é registrado na Declaração de Aplicabilidade, conhecida como SoA. Esse documento reúne os controles necessários, as justificativas para sua inclusão, o estado de implementação e a justificativa para a exclusão de controles de referência do Anexo A.

PEGADINHA DE PROVA  |  Os 93 controles do Anexo A não são automaticamente obrigatórios para todas as organizações. A seleção decorre do tratamento de riscos e de requisitos aplicáveis. Entretanto, toda exclusão precisa ser tecnicamente justificada, e os controles necessários não ficam limitados ao Anexo A.

5. O que mudou nos controles do Anexo A

A edição de 2022 alinhou o Anexo A à ISO/IEC 27002:2022. O conjunto passou a ter 93 controles distribuídos em quatro temas, substituindo a estrutura de 14 domínios utilizada na edição de 2013:

A ISO/IEC 27002 detalha a finalidade e fornece orientações de implementação para esses controles. Na edição de 2022, ela também passou a usar atributos que permitem diferentes formas de classificação, como tipo de controle, propriedades de segurança da informação, conceitos de cibersegurança, capacidades operacionais e domínios de segurança. Esses atributos apoiam análise e organização, mas não substituem a avaliação de riscos.

6. Como funciona a certificação ISO 27001

A organização pode implementar a norma sem buscar certificação. Quando decide certificar-se, contrata um organismo certificador independente, preferencialmente acreditado, que avalia a conformidade do SGSI dentro de um escopo definido. A ISO desenvolve normas, mas não certifica organizações.

1. Definição do escopo, diagnóstico de lacunas e planejamento da implementação.
2. Estruturação do SGSI, avaliação de riscos, plano de tratamento, controles e Declaração de Aplicabilidade.
3. Operação do sistema, produção de evidências, auditoria interna e análise crítica pela direção.
4. Auditoria inicial do organismo certificador, normalmente dividida em análise de prontidão e avaliação da implementação e eficácia.
5. Tratamento de eventuais não conformidades e decisão de certificação.
6. Auditorias de supervisão durante o ciclo e recertificação periódica.

A certificação não declara que a organização nunca sofrerá incidentes. Ela indica que existe um sistema de gestão submetido a avaliação independente para tratar riscos de forma estruturada. Também é incorreto dizer que toda a empresa está certificada quando o certificado abrange apenas uma unidade, serviço, processo ou localidade. O escopo deve ser consultado no próprio certificado.

7. Benefícios práticos e aplicação em pequenas empresas

A ISO/IEC 27001 pode ser aplicada por organizações de qualquer porte ou setor. Para uma pequena empresa, a implementação não precisa reproduzir a estrutura documental de uma corporação multinacional. O SGSI deve ser proporcional ao contexto, aos riscos, aos recursos e às obrigações aplicáveis.

Imagine uma empresa de software com vinte profissionais que armazena dados de clientes em nuvem. Seu escopo pode concentrar-se no desenvolvimento e na operação da plataforma. A análise de riscos identifica, por exemplo, comprometimento de contas administrativas, falhas de backup, vazamento de código-fonte e indisponibilidade do provedor. O tratamento pode combinar autenticação multifator, segregação de privilégios, revisão de acessos, cópias de segurança testadas, gestão de vulnerabilidades, cláusulas de segurança com fornecedores e plano de resposta a incidentes.

Na prática, os principais ganhos incluem maior clareza de responsabilidades, redução de controles improvisados, melhor gestão de terceiros, evidências para clientes e auditorias, priorização de investimentos e maior capacidade de aprender com falhas. A norma também pode facilitar requisitos contratuais em cadeias de fornecimento. Esses benefícios dependem da eficácia do SGSI; a existência de documentos sem execução e monitoramento não produz segurança real.

8. ISO 27001, ISO 27002, LGPD e SOC 2: qual é a diferença?

Esses instrumentos podem coexistir. Uma empresa sujeita à LGPD pode usar o SGSI para organizar riscos e controles; uma prestadora de serviços pode manter certificação ISO/IEC 27001 e, ao mesmo tempo, fornecer um relatório SOC 2 a clientes que exigem asseguração sobre controles específicos.

9. ISO 27001, concursos públicos e carreira

A ISO/IEC 27001 é recorrente em concursos para analistas de TI, auditores, profissionais de infraestrutura, segurança da informação e governança. Editais recentes da FGV e do Cebraspe incluem a edição de 2022 ou fazem referência à versão vigente. As questões costumam explorar a finalidade do SGSI, as cláusulas 4 a 10, a abordagem de riscos, a Declaração de Aplicabilidade, a diferença entre as normas 27001 e 27002 e a organização dos controles do Anexo A.

Para estudar com eficiência, comece pela estrutura e pela finalidade de cada cláusula. Depois, aprofunde o processo de avaliação e tratamento de riscos, a SoA e as quatro categorias do Anexo A. Compare as edições de 2013 e 2022 para evitar confundir 14 domínios e 114 controles com a estrutura atual de quatro temas e 93 controles. Por fim, resolva questões da banca do concurso e registre as pegadinhas de literalidade.

No mercado, o conhecimento da norma é útil para funções de governança, riscos e conformidade, auditoria, consultoria, gestão de segurança, privacidade e continuidade. Certificações profissionais de fundamentos, implementação ou auditoria podem fortalecer a carreira, mas não devem ser confundidas com a certificação do SGSI de uma organização.

10. ISO 21001 não é ISO 27001

A expressão “O que é ISO 21001” aparece como palavra-chave secundária no briefing, mas identifica outra norma. A ISO 21001:2025 estabelece requisitos com orientação para sistemas de gestão de organizações educacionais, como escolas, universidades e centros de treinamento. Ela não substitui a ISO/IEC 27001 e não tem como objeto principal a segurança da informação. A aproximação entre os números pode causar confusão, razão pela qual a referência deve ser usada apenas para esclarecer a diferença.

Conclusão

A ISO/IEC 27001:2022 oferece uma estrutura reconhecida internacionalmente para transformar a segurança da informação em um sistema de gestão orientado por riscos, responsabilidades, evidências e melhoria contínua. Seus requisitos podem ser aplicados por organizações pequenas ou grandes, com ou sem certificação, desde que o escopo e os controles sejam coerentes com o contexto.

Para concursos, os pontos mais importantes são a distinção entre requisito e orientação, a estrutura das cláusulas 4 a 10, o papel da avaliação de riscos, a Declaração de Aplicabilidade e a nova organização dos 93 controles. Para organizações e profissionais, o valor está em construir segurança verificável e sustentável, em vez de depender de medidas isoladas.

FAQ sobre ISO 27001

1. O que é a ISO 27001 e para que ela serve?

É a norma internacional que define requisitos para um SGSI. Ela serve para organizar a gestão de riscos e proteger a confidencialidade, a integridade e a disponibilidade da informação.

2. Quais são os principais requisitos da ISO 27001:2022?

Os requisitos auditáveis estão nas cláusulas 4 a 10: contexto, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria.

3. Qual é a diferença entre ISO 27001, ISO 27002, LGPD e SOC 2?

A ISO 27001 contém requisitos certificáveis para o SGSI; a ISO 27002 orienta controles; a LGPD é uma lei sobre dados pessoais; e SOC 2 é um exame de asseguração sobre controles de organizações de serviços.

4. A ISO 27001 cai em concursos públicos?

Sim. A norma aparece com frequência em editais de TI, auditoria, governança e segurança da informação, especialmente em provas da FGV e do Cebraspe.

5. Como estudar ISO 27001 para concursos públicos de tecnologia e segurança da informação?

Estude a finalidade das cláusulas 4 a 10, gestão de riscos, SoA e Anexo A; compare as edições de 2013 e 2022; depois resolva questões da banca do concurso.

Referências

ABNT. ABNT NBR ISO/IEC 27001:2022: Segurança da informação, segurança cibernética e proteção à privacidade: Sistemas de gestão da segurança da informação: Requisitos. Rio de Janeiro: ABNT, 2022.

ABNT. ABNT NBR ISO/IEC 27002:2022: Segurança da informação, segurança cibernética e proteção da privacidade: Controles de segurança da informação. Rio de Janeiro: ABNT, 2022.

AICPA. Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy. Durham: AICPA, 2022. Disponível em: https://www.aicpa-cima.com/. Acesso em: 27 ago. 2026.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília, DF: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 27 ago. 2026.

ISO. ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection: Information security management systems: Requirements. Geneva: ISO, 2022.

ISO. ISO/IEC 27001:2022/Amd 1:2024: Climate action changes. Geneva: ISO, 2024.

ISO. ISO/IEC 27002:2022: Information security, cybersecurity and privacy protection: Information security controls. Geneva: ISO, 2022.

ISO. ISO 21001:2025: Educational organizations: Management systems for educational organizations: Requirements with guidance for use. Geneva: ISO, 2025.

Prof. Jósis Alves

Analista de TI no Supremo Tribunal Federal

Instagram: @josisalvesprof @aprovati