ISO 27001: o que é e como se preparar para a certificação
A ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação (SGSI). Ela não diz qual ferramenta usar: estabelece como a empresa identifica riscos, escolhe controles, acompanha resultados e melhora continuamente. A versão atual é a de 2022, que também tem edição brasileira publicada pela ABNT.
ISO 27001 e ISO 27002: qual a diferença
A 27001 traz os requisitos que podem ser auditados e certificados (cláusulas 4 a 10: contexto, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria). A 27002 é um guia de boas práticas que explica, controle por controle, como implementar as medidas listadas no Anexo A da 27001. Não existe certificação ISO 27002: ela serve de apoio para atender à 27001.
Os 93 controles do Anexo A
Na revisão de 2022, os controles foram reorganizados de 114 em 14 domínios para 93 controles em 4 temas:
- Organizacionais (37): políticas, papéis, gestão de ativos, fornecedores, incidentes, continuidade e conformidade legal;
- Pessoas (8): seleção, conscientização, trabalho remoto, termos de confidencialidade;
- Físicos (14): perímetros, controle de entrada, proteção de equipamentos;
- Tecnológicos (34): controle de acesso, criptografia, backup, registro de eventos, desenvolvimento seguro.
Entre as novidades estão controles de inteligência de ameaças, segurança em serviços de nuvem, prontidão de TIC para continuidade, prevenção de vazamento de dados e monitoramento de atividades. O prazo de transição terminou em outubro de 2025: certificados emitidos pela versão de 2013 não são mais válidos.
Quem deve buscar a certificação
A certificação não é obrigatória por lei, mas tem se tornado requisito comercial. Faz sentido especialmente para:
- empresas de tecnologia e SaaS que atendem bancos, seguradoras e grandes corporações;
- prestadores que tratam dados de clientes em grande volume, como centrais de atendimento, folha de pagamento e saúde;
- empresas que querem vender para o exterior ou participar de licitações que pontuam certificações;
- organizações que recebem muitos questionários de segurança e querem uma resposta única e reconhecida.
Etapas até a certificação
- Escopo: definir quais unidades, processos e sistemas entram no SGSI. Um escopo bem delimitado reduz custo e prazo.
- Análise de riscos: identificar ativos, ameaças e vulnerabilidades e decidir o tratamento de cada risco.
- Declaração de Aplicabilidade: documento que lista os 93 controles, indica quais se aplicam e justifica as exclusões.
- Implementação: políticas, procedimentos e controles técnicos, com responsáveis definidos.
- Operação e evidências: o sistema precisa funcionar por algum tempo, gerando registros que comprovem os controles.
- Auditoria interna e análise crítica: exigidas pela norma antes da auditoria de certificação.
Como funciona a auditoria
A certificação é feita por um organismo certificador acreditado (no Brasil, a acreditação é concedida pelo Inmetro). A auditoria inicial tem duas fases: a fase 1 avalia a documentação e a prontidão; a fase 2 verifica se os controles funcionam na prática. O certificado vale por três anos, com auditorias de manutenção anuais e recertificação ao fim do ciclo.
O que mais pesa na auditoria são as evidências: registros de revisões de acesso, testes de backup, treinamentos, tratamento de incidentes e avaliação de fornecedores. Organizar tudo isso ao longo do ano evita a correria antes de cada visita.
A Comply360 ajuda a acompanhar requisitos, controles e evidências da norma. Conheça a solução para ISO 27001 e 27002.
Fontes
Links oficiais conferidos em 31 de outubro de 2026.
Quer organizar a conformidade da sua empresa?
Converse com a Comply360 sobre normas, riscos, fornecedores e auditorias.
Leia também
Adequação à LGPD: passo a passo para empresas
Um roteiro prático de adequação à LGPD: mapeamento de dados, bases legais, encarregado, direitos dos titulares, incidentes, contratos e evidências.
Avaliação de fornecedores: como montar um processo com questionário de segurança
Como avaliar fornecedores e parceiros com base em risco: classificação, questionários de segurança e LGPD, evidências, aprovação e monitoramento.
Por que as empresas precisam de gestão de conformidade
Entenda o que é gestão de conformidade e por que ela reduz riscos legais, protege a reputação, abre portas em contratos B2B e fortalece a governança.