Compreender a norma ISO/IEC 27002:2022
A ISO 27002 é o código de boas práticas que detalha as medidas de segurança do Anexo A daISO 27001. 4 temas, 93 medidas, 5 atributos: saiba como se orientar e implementá-los corretamente.
O que é a ISO/IEC 27002?
ISO/IEC 27002:2022 é o código de boas práticas que explica como implementar as 93 medidas do Anexo A daISO 27001 — não é certificável por si só.
ISO/IEC 27002:2022 é um código de boas práticas: um guia que descreve em detalhe as medidas de segurança da informação. Enquanto a ISO 27001 define os requisitos do SGSI, a ISO 27002 explica o como: para cada medida, especifica o objetivo, as recomendações de implementação e conselhos práticos. Para a apresentação oficial da norma, consulte a página da ISO/IEC 27002 da PECB, organismo de certificação parceiro da BCIT.
Publicada pelaISO em fevereiro de 2022, 8 meses antes da ISO 27001:2022, a edição atual descreve 93 medidas em 4 temas: 37 organizacionais, 8 relacionadas com pessoas, 14 físicas e 34 tecnológicas, ou seja, 37 % de medidas técnicas. A edição de 2013 incluía 114 em 14 domínios. 11 medidas são novas:
- 5.7 Inteligência sobre ameaças
- 5.23 Segurança da informação na utilização de serviços de computação em nuvem
- 5.30 Preparação das TIC para a continuidade das atividades
- 7.4 Monitorização da segurança física
- 8.9 Gestão de configurações
- 8.10 Eliminação de informações
- 8.11 Mascaramento de dados
- 8.12 Prevenção da fuga de dados
- 8.16 Atividades de monitorização
- 8.23 Filtragem da Web
- 8.28 Codificação segura
Estas medidas respondem à exigência de uma abordagem global que a diretiva NIS 2 formula da seguinte forma: «As medidas referidas no n.º 1 baseiam-se numa abordagem “todos os riscos”, destinada a proteger as redes e os sistemas de informação, bem como o seu ambiente físico, contra incidentes» (Diretiva (UE) 2022/2555, artigo 21.º, n.º 2). Para uma leitura francesa e operacional, as 42 medidas do guia de higiene informática da ANSSI constituem um bom ponto de partida antes de abranger todo o Anexo A.
Ponto essencial: a ISO 27002 não é certificável. É uma norma de apoio. Não se obtém a certificação «ISO 27002», mas utiliza-se esta norma para implementar corretamente as medidas selecionadas no âmbito de um SGSI em conformidade com ISO 27001.
Quais são os 4 temas de medidas?
Organizacionais (37)
Políticas, funções e responsabilidades, gestão de ativos, relações com fornecedores, gestão de incidentes e continuidade.
Relacionadas com pessoas (8)
Sensibilização, formação, verificação de antecedentes, teletrabalho, processo disciplinar e gestão de saídas.
Físicas (14)
Segurança das instalações, zonas seguras, proteção do equipamento, suportes de armazenamento e manutenção.
Tecnológicas (34)
Controlo de acesso, encriptação, registo de eventos, proteção contra malware, segurança do desenvolvimento e da rede.
| Tema | Número de medidas |
|---|---|
| Organizacionais | 37 |
| Relacionadas com pessoas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
| Total | 93 |
Qual é a relação com o Anexo A da ISO 27001?
A revisão de 2022 alinhou perfeitamente as duas normas: as 93 medidas da ISO 27002:2022 correspondem uma a uma às medidas doAnexo A daISO 27001:2022. O Anexo A apresenta o título e uma breve descrição; a ISO 27002 fornece o guia completo de implementação. Na prática, utiliza a ISO 27002 para justificar, conceber e implementar cada medida que a sua avaliação de riscos o levou a selecionar na sua Declaração de Aplicabilidade (SoA).
Antes de 2022, a norma incluía 114 medidas distribuídas por 14 categorias; a revisão de 2022 condensou-as em 93 medidas e 4 temas, sendo que o alinhamento descrito acima só existe desde esta edição.
O que são os 5 atributos da versão de 2022?
Uma das principais novidades da edição de 2022: cada medida passa a ter 5 atributos que permitem ordená-la e filtrá-la segundo diferentes eixos de governação. Estes atributos são: o tipo de medida (preventiva, detetiva, corretiva), as propriedades de segurança (confidencialidade, integridade, disponibilidade), os conceitos de cibersegurança (identificar, proteger, detetar, responder, recuperar), as capacidades operacionais e os domínios de segurança. Facilitam o mapeamento com outras normas (NIST, etc.) e a gestão.
Como passar da medida à implementação?
Selecionar as medidas
Escolher, entre as 93 medidas, aquelas que reduzem efetivamente os seus riscos e documentar a SoA.
Implementar
Implementar cada medida seguindo as recomendações detalhadas da ISO 27002.
Medir & melhorar
Avaliar a eficácia das medidas e ajustá-las no âmbito da melhoria contínua.
Documentar (SoA)
Justificar cada medida selecionada ou excluída na Declaração de Aplicabilidade, peça central da auditoria.
Auditar & rever
Verificar periodicamente a pertinência das medidas face à evolução dos riscos e do contexto.
Porque recorrer à BCIT?
Seleção adequada
Ajudamo-lo a selecionar as medidas relevantes para os seus riscos, sem sobrecarga desnecessária nem pontos cegos.
Implementação prática
Uma implementação operacional, adaptada às suas ferramentas, equipas e maturidade real.
SoA robusta
Uma Declaração de Aplicabilidade clara e defensável, pronta para aauditoria de certificação.
Precisa de ajuda para selecionar e implementar as suas medidas?
A BCIT Formation apoia-o na seleção e implementação das medidas ISO 27002, em coerência com o seu SGSI — com classificação de 4,7/5 no Trustpilot. Falemos do seu contexto.
Compreender a norma ISO/IEC 27002:2022
A ISO 27002 é o código de boas práticas que detalha as medidas de segurança do Anexo A daISO 27001. 4 temas, 93 medidas, 5 atributos: saiba como se orientar e implementá-los corretamente.
O que é a ISO/IEC 27002?
ISO/IEC 27002:2022 é o código de boas práticas que explica como implementar as 93 medidas do Anexo A daISO 27001 — não é certificável por si só.
ISO/IEC 27002:2022 é um código de boas práticas: um guia que descreve em detalhe as medidas de segurança da informação. Enquanto a ISO 27001 define os requisitos do SGSI, a ISO 27002 explica o como: para cada medida, especifica o objetivo, as recomendações de implementação e conselhos práticos. Para a apresentação oficial da norma, consulte a página da ISO/IEC 27002 da PECB, organismo de certificação parceiro da BCIT.
Publicada pelaISO em fevereiro de 2022, 8 meses antes da ISO 27001:2022, a edição atual descreve 93 medidas em 4 temas: 37 organizacionais, 8 relacionadas com pessoas, 14 físicas e 34 tecnológicas, ou seja, 37 % de medidas técnicas. A edição de 2013 incluía 114 em 14 domínios. 11 medidas são novas:
- 5.7 Inteligência sobre ameaças
- 5.23 Segurança da informação na utilização de serviços de computação em nuvem
- 5.30 Preparação das TIC para a continuidade das atividades
- 7.4 Monitorização da segurança física
- 8.9 Gestão de configurações
- 8.10 Eliminação de informações
- 8.11 Mascaramento de dados
- 8.12 Prevenção da fuga de dados
- 8.16 Atividades de monitorização
- 8.23 Filtragem da Web
- 8.28 Codificação segura
Estas medidas respondem à exigência de uma abordagem global que a diretiva NIS 2 formula da seguinte forma: «As medidas referidas no n.º 1 baseiam-se numa abordagem “todos os riscos”, destinada a proteger as redes e os sistemas de informação, bem como o seu ambiente físico, contra incidentes» (Diretiva (UE) 2022/2555, artigo 21.º, n.º 2). Para uma leitura francesa e operacional, as 42 medidas do guia de higiene informática da ANSSI constituem um bom ponto de partida antes de abranger todo o Anexo A.
Ponto essencial: a ISO 27002 não é certificável. É uma norma de apoio. Não se obtém a certificação «ISO 27002», mas utiliza-se esta norma para implementar corretamente as medidas selecionadas no âmbito de um SGSI em conformidade com ISO 27001.
Quais são os 4 temas de medidas?
Organizacionais (37)
Políticas, funções e responsabilidades, gestão de ativos, relações com fornecedores, gestão de incidentes e continuidade.
Relacionadas com pessoas (8)
Sensibilização, formação, verificação de antecedentes, teletrabalho, processo disciplinar e gestão de saídas.
Físicas (14)
Segurança das instalações, zonas seguras, proteção do equipamento, suportes de armazenamento e manutenção.
Tecnológicas (34)
Controlo de acesso, encriptação, registo de eventos, proteção contra malware, segurança do desenvolvimento e da rede.
| Tema | Número de medidas |
|---|---|
| Organizacionais | 37 |
| Relacionadas com pessoas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
| Total | 93 |
Qual é a relação com o Anexo A da ISO 27001?
A revisão de 2022 alinhou perfeitamente as duas normas: as 93 medidas da ISO 27002:2022 correspondem uma a uma às medidas doAnexo A daISO 27001:2022. O Anexo A apresenta o título e uma breve descrição; a ISO 27002 fornece o guia completo de implementação. Na prática, utiliza a ISO 27002 para justificar, conceber e implementar cada medida que a sua avaliação de riscos o levou a selecionar na sua Declaração de Aplicabilidade (SoA).
Antes de 2022, a norma incluía 114 medidas distribuídas por 14 categorias; a revisão de 2022 condensou-as em 93 medidas e 4 temas, sendo que o alinhamento descrito acima só existe desde esta edição.
O que são os 5 atributos da versão de 2022?
Uma das principais novidades da edição de 2022: cada medida passa a ter 5 atributos que permitem ordená-la e filtrá-la segundo diferentes eixos de governação. Estes atributos são: o tipo de medida (preventiva, detetiva, corretiva), as propriedades de segurança (confidencialidade, integridade, disponibilidade), os conceitos de cibersegurança (identificar, proteger, detetar, responder, recuperar), as capacidades operacionais e os domínios de segurança. Facilitam o mapeamento com outras normas (NIST, etc.) e a gestão.
Como passar da medida à implementação?
Selecionar as medidas
Escolher, entre as 93 medidas, aquelas que reduzem efetivamente os seus riscos e documentar a SoA.
Implementar
Implementar cada medida seguindo as recomendações detalhadas da ISO 27002.
Medir & melhorar
Avaliar a eficácia das medidas e ajustá-las no âmbito da melhoria contínua.
Documentar (SoA)
Justificar cada medida selecionada ou excluída na Declaração de Aplicabilidade, peça central da auditoria.
Auditar & rever
Verificar periodicamente a pertinência das medidas face à evolução dos riscos e do contexto.
Porque recorrer à BCIT?
Seleção adequada
Ajudamo-lo a selecionar as medidas relevantes para os seus riscos, sem sobrecarga desnecessária nem pontos cegos.
Implementação prática
Uma implementação operacional, adaptada às suas ferramentas, equipas e maturidade real.
SoA robusta
Uma Declaração de Aplicabilidade clara e defensável, pronta para aauditoria de certificação.
Precisa de ajuda para selecionar e implementar as suas medidas?
A BCIT Formation apoia-o na seleção e implementação das medidas ISO 27002, em coerência com o seu SGSI — com classificação de 4,7/5 no Trustpilot. Falemos do seu contexto.