Compreender a norma ISO/IEC 27001:2022
O que éISO 27001 ? Como funciona um SGSI, a abordagem baseada no risco e o ciclo de melhoria contínua? Uma explicação clara e direta para decisores e CISO.
O que é a ISO/IEC 27001?
A ISO/IEC 27001:2022 é a norma internacional que define os requisitos para implementar um SGSI e, a única da família ISO 27000, permite uma certificação por um organismo acreditado.
ISO/IEC 27001:2022 é a norma internacional de referência para a gestão da segurança da informação. Publicada conjuntamente pela ISO e pela IEC, define os requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão da Segurança da Informação (SGSI). A sua versão atual foi publicada pelaISO em 25 de outubro de 2022; a transição da edição de 2013 terminou em 31 de outubro de 2025, e só os certificados de 2022 são agora válidos. O certificado é emitido por 3 anos, com uma auditoria de acompanhamento a cada 12 meses; para uma PME, conte com cerca de 8 meses entre o início do projeto e a certificação.
Ao contrário de um simples referencial técnico, aISO 27001 adota uma lógica de gestão: não impõe uma lista fixa de medidas a aplicar, mas exige uma metodologia estruturada para proteger a confidencialidade, integridade e disponibilidade da informação, qualquer que seja a sua forma (digital, em papel, conhecimento especializado). É também a única norma da família ISO 27000 segundo a qual uma organização pode ser certificada por um organismo acreditado. Para consultar a apresentação oficial do referencial de certificação, veja a página ISO/IEC 27001 da PECB, organismo de certificação parceiro da BCIT.
Quais são os pilares da norma?
O SGSI
Um quadro de governação que alinha a segurança da informação com os objetivos e o contexto da organização, sob a liderança da gestão.
A abordagem baseada no risco
Identificar, analisar e tratar os riscos para a informação, em vez de aplicar medidas ao acaso.
Anexo A / ISO 27002
Um catálogo de 93 controlos de segurança de referência, selecionados em função dos riscos reais.
O ciclo PDCA
Planear, Executar, Verificar, Atuar: a segurança torna-se um processo vivo, nunca estático.
Como funciona a abordagem baseada no risco?
A organização identifica os seus riscos, decide reduzi-los, aceitá-los, evitá-los ou partilhá-los e justifica cada decisão na Declaração de Aplicabilidade (SoA).
O núcleo daISO 27001 é a avaliação dos riscos. A organização identifica as ameaças e vulnerabilidades que afetam os seus ativos de informação, avalia a sua probabilidade e impacto e decide como as tratar:
- Reduzir o risco, implementando uma ou mais medidas de segurança do Anexo A.
- Aceitar o risco, quando o seu nível é considerado tolerável face ao contexto.
- Evitar o risco, renunciando à atividade ou ao tratamento que o expõe.
- Partilhar o risco, por exemplo, através de um seguro ou de um terceiro contratual.
Esta lógica garante que os esforços e os orçamentos se concentram onde realmente fazem diferença. O resultado desta abordagem traduz-se, nomeadamente, na Declaração de Aplicabilidade (SoA), que justifica a inclusão ou exclusão de cada controlo do Anexo A.
Qual é a relação com a ISO/IEC 27002?
O Anexo A enumera 93 medidas em 4 temas; aISO/IEC 27002 é a norma complementar que explica como as implementar.
O Anexo A daISO 27001:2022 enumera 93 medidas de segurança agrupadas em 4 temas:
- Organizacionais: políticas, funções, gestão de ativos e fornecedores, gestão de incidentes.
- Relacionadas com as pessoas: sensibilização, formação, verificações, teletrabalho.
- Físicas: segurança das instalações, zonas seguras, proteção do equipamento.
- Tecnológicas: controlo de acesso, encriptação, registo de eventos, segurança de rede.
| Tema | Número de medidas |
|---|---|
| Organizacionais | 37 |
| Relacionadas com as pessoas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
Este anexo é apenas um resumo: a norma complementar ISO/IEC 27002:2022 detalha, para cada controlo, o seu objetivo e as boas práticas de implementação. Seleciona os controlos relevantes com base nos resultados da avaliação de riscos. Nada é imposto sem critério.
A versão de 2022 simplificou significativamente o Anexo A: a versão 2013 incluía 114 medidas distribuídas por 14 categorias; a revisão 2022 agrupou-as em apenas 93 medidas e 4 temas, para uma estrutura mais clara.
Como funciona o ciclo de melhoria contínua (PDCA)?
Plan: Planear
Definir o âmbito, a política, os objetivos e avaliar os riscos de segurança da informação.
Do: Executar
Implementar o plano de tratamento dos riscos e os controlos de segurança selecionados.
Check: Verificar
Monitorizar, medir e realizar auditorias internas e a revisão pela gestão para avaliar a eficácia.
Durante quanto tempo é válido o certificado?
Uma vez obtido, o certificado é válido por 3 anos, sujeito a auditorias de acompanhamento anuais realizadas pelo organismo de certificação; no final dos 3 anos, uma auditoria de recertificação reinicia o ciclo.
A ISO 27001 não substitui os textos regulamentares, mas cobre os seus requisitos fundamentais. A diretiva NIS 2 impõe assim 10 categorias de medidas (artigo 21.º), cujo incumprimento pode dar origem a coimas até 10 000 000 € ou 2 % do volume de negócios mundial para uma entidade essencial, e 7 000 000 € ou 1,4 % para uma entidade importante:
«Os Estados-Membros asseguram que as entidades essenciais e importantes tomam medidas técnicas, operacionais e organizativas adequadas e proporcionais para gerir os riscos que ameaçam a segurança das redes e dos sistemas de informação que essas entidades utilizam no âmbito das suas atividades ou da prestação dos seus serviços» (Diretiva (UE) 2022/2555, artigo 21.º, n.º 1).
- Políticas de análise dos riscos e de segurança dos sistemas de informação
- Gestão de incidentes
- Continuidade das atividades, cópias de segurança, recuperação e gestão de crises
- Segurança da cadeia de abastecimento
- Segurança da aquisição, do desenvolvimento e da manutenção dos sistemas, tratamento das vulnerabilidades
- Avaliação da eficácia das medidas
- Ciber-higiene básica e formação em cibersegurança
- Criptografia e cifragem
- Segurança dos recursos humanos, controlo de acesso e gestão de ativos
- Autenticação multifator e comunicações seguras
As 93 medidas do Anexo A abrangem estas 10 categorias, tal como as 42 medidas do guia de ciber-higiene informática da ANSSI (publicado em 23 de janeiro de 2017), que a ANSSI apresenta como «um roteiro que corresponde aos interesses de qualquer entidade consciente do valor dos seus dados».
Quais são as vantagens de uma certificação ISO 27001?
Confiança & negócios
Prova reconhecida internacionalmente que transmite confiança a clientes, parceiros e entidades adjudicantes, e abre oportunidades em concursos.
Conformidade regulamentar
Uma base sólida para cumprir os requisitos RGPD, NIS2, DORA ou HDS e reduzir a sua exposição jurídica.
Gestão dos riscos
Menos incidentes, impactos mais bem contidos e maior resiliência face às ciberameaças.
Quer saber mais sobre a ISO 27001?
A BCIT Formation acompanha-o para compreender a norma e construir o seu SGSI e obter a certificação — com classificação 4,7/5 no Trustpilot. Vamos conversar durante 15 minutos sobre o seu contexto e os seus objetivos.
Compreender a norma ISO/IEC 27001:2022
O que éISO 27001 ? Como funciona um SGSI, a abordagem baseada no risco e o ciclo de melhoria contínua? Uma explicação clara e direta para decisores e CISO.
O que é a ISO/IEC 27001?
A ISO/IEC 27001:2022 é a norma internacional que define os requisitos para implementar um SGSI e, a única da família ISO 27000, permite uma certificação por um organismo acreditado.
ISO/IEC 27001:2022 é a norma internacional de referência para a gestão da segurança da informação. Publicada conjuntamente pela ISO e pela IEC, define os requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão da Segurança da Informação (SGSI). A sua versão atual foi publicada pelaISO em 25 de outubro de 2022; a transição da edição de 2013 terminou em 31 de outubro de 2025, e só os certificados de 2022 são agora válidos. O certificado é emitido por 3 anos, com uma auditoria de acompanhamento a cada 12 meses; para uma PME, conte com cerca de 8 meses entre o início do projeto e a certificação.
Ao contrário de um simples referencial técnico, aISO 27001 adota uma lógica de gestão: não impõe uma lista fixa de medidas a aplicar, mas exige uma metodologia estruturada para proteger a confidencialidade, integridade e disponibilidade da informação, qualquer que seja a sua forma (digital, em papel, conhecimento especializado). É também a única norma da família ISO 27000 segundo a qual uma organização pode ser certificada por um organismo acreditado. Para consultar a apresentação oficial do referencial de certificação, veja a página ISO/IEC 27001 da PECB, organismo de certificação parceiro da BCIT.
Quais são os pilares da norma?
O SGSI
Um quadro de governação que alinha a segurança da informação com os objetivos e o contexto da organização, sob a liderança da gestão.
A abordagem baseada no risco
Identificar, analisar e tratar os riscos para a informação, em vez de aplicar medidas ao acaso.
Anexo A / ISO 27002
Um catálogo de 93 controlos de segurança de referência, selecionados em função dos riscos reais.
O ciclo PDCA
Planear, Executar, Verificar, Atuar: a segurança torna-se um processo vivo, nunca estático.
Como funciona a abordagem baseada no risco?
A organização identifica os seus riscos, decide reduzi-los, aceitá-los, evitá-los ou partilhá-los e justifica cada decisão na Declaração de Aplicabilidade (SoA).
O núcleo daISO 27001 é a avaliação dos riscos. A organização identifica as ameaças e vulnerabilidades que afetam os seus ativos de informação, avalia a sua probabilidade e impacto e decide como as tratar:
- Reduzir o risco, implementando uma ou mais medidas de segurança do Anexo A.
- Aceitar o risco, quando o seu nível é considerado tolerável face ao contexto.
- Evitar o risco, renunciando à atividade ou ao tratamento que o expõe.
- Partilhar o risco, por exemplo, através de um seguro ou de um terceiro contratual.
Esta lógica garante que os esforços e os orçamentos se concentram onde realmente fazem diferença. O resultado desta abordagem traduz-se, nomeadamente, na Declaração de Aplicabilidade (SoA), que justifica a inclusão ou exclusão de cada controlo do Anexo A.
Qual é a relação com a ISO/IEC 27002?
O Anexo A enumera 93 medidas em 4 temas; aISO/IEC 27002 é a norma complementar que explica como as implementar.
O Anexo A daISO 27001:2022 enumera 93 medidas de segurança agrupadas em 4 temas:
- Organizacionais: políticas, funções, gestão de ativos e fornecedores, gestão de incidentes.
- Relacionadas com as pessoas: sensibilização, formação, verificações, teletrabalho.
- Físicas: segurança das instalações, zonas seguras, proteção do equipamento.
- Tecnológicas: controlo de acesso, encriptação, registo de eventos, segurança de rede.
| Tema | Número de medidas |
|---|---|
| Organizacionais | 37 |
| Relacionadas com as pessoas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
Este anexo é apenas um resumo: a norma complementar ISO/IEC 27002:2022 detalha, para cada controlo, o seu objetivo e as boas práticas de implementação. Seleciona os controlos relevantes com base nos resultados da avaliação de riscos. Nada é imposto sem critério.
A versão de 2022 simplificou significativamente o Anexo A: a versão 2013 incluía 114 medidas distribuídas por 14 categorias; a revisão 2022 agrupou-as em apenas 93 medidas e 4 temas, para uma estrutura mais clara.
Como funciona o ciclo de melhoria contínua (PDCA)?
Plan: Planear
Definir o âmbito, a política, os objetivos e avaliar os riscos de segurança da informação.
Do: Executar
Implementar o plano de tratamento dos riscos e os controlos de segurança selecionados.
Check: Verificar
Monitorizar, medir e realizar auditorias internas e a revisão pela gestão para avaliar a eficácia.
Durante quanto tempo é válido o certificado?
Uma vez obtido, o certificado é válido por 3 anos, sujeito a auditorias de acompanhamento anuais realizadas pelo organismo de certificação; no final dos 3 anos, uma auditoria de recertificação reinicia o ciclo.
A ISO 27001 não substitui os textos regulamentares, mas cobre os seus requisitos fundamentais. A diretiva NIS 2 impõe assim 10 categorias de medidas (artigo 21.º), cujo incumprimento pode dar origem a coimas até 10 000 000 € ou 2 % do volume de negócios mundial para uma entidade essencial, e 7 000 000 € ou 1,4 % para uma entidade importante:
«Os Estados-Membros asseguram que as entidades essenciais e importantes tomam medidas técnicas, operacionais e organizativas adequadas e proporcionais para gerir os riscos que ameaçam a segurança das redes e dos sistemas de informação que essas entidades utilizam no âmbito das suas atividades ou da prestação dos seus serviços» (Diretiva (UE) 2022/2555, artigo 21.º, n.º 1).
- Políticas de análise dos riscos e de segurança dos sistemas de informação
- Gestão de incidentes
- Continuidade das atividades, cópias de segurança, recuperação e gestão de crises
- Segurança da cadeia de abastecimento
- Segurança da aquisição, do desenvolvimento e da manutenção dos sistemas, tratamento das vulnerabilidades
- Avaliação da eficácia das medidas
- Ciber-higiene básica e formação em cibersegurança
- Criptografia e cifragem
- Segurança dos recursos humanos, controlo de acesso e gestão de ativos
- Autenticação multifator e comunicações seguras
As 93 medidas do Anexo A abrangem estas 10 categorias, tal como as 42 medidas do guia de ciber-higiene informática da ANSSI (publicado em 23 de janeiro de 2017), que a ANSSI apresenta como «um roteiro que corresponde aos interesses de qualquer entidade consciente do valor dos seus dados».
Quais são as vantagens de uma certificação ISO 27001?
Confiança & negócios
Prova reconhecida internacionalmente que transmite confiança a clientes, parceiros e entidades adjudicantes, e abre oportunidades em concursos.
Conformidade regulamentar
Uma base sólida para cumprir os requisitos RGPD, NIS2, DORA ou HDS e reduzir a sua exposição jurídica.
Gestão dos riscos
Menos incidentes, impactos mais bem contidos e maior resiliência face às ciberameaças.
Quer saber mais sobre a ISO 27001?
A BCIT Formation acompanha-o para compreender a norma e construir o seu SGSI e obter a certificação — com classificação 4,7/5 no Trustpilot. Vamos conversar durante 15 minutos sobre o seu contexto e os seus objetivos.