A Norma ISO 27001 Explicada

Uma visão geral independente da DQS, um organismo de certificação acreditado.

A ISO 27001 é a principal norma internacional para sistemas de gestão da segurança da informação (SGSI). Especifica os requisitos que uma organização deve cumprir para identificar, avaliar e tratar sistematicamente os riscos de segurança da informação — abrangendo pessoas, processos e tecnologia, em vez de se limitar a um único controlo técnico. A norma é relevante para organizações de todos os tamanhos e setores, desde instituições financeiras, prestadores de cuidados de saúde e autoridades públicas até prestadores de serviços na nuvem, fabricantes e empresas de software que tratam de informações sensíveis em nome de clientes, colaboradores ou parceiros. A edição atual é a ISO/IEC 27001:2022, que substituiu a versão de 2013; o período de transição de três anos para as organizações previamente certificadas terminou a 31 de outubro de 2025, e uma emenda publicada em 2024 (Emenda 1:2024) acrescentou requisitos explícitos relativos à ação climática.

Factos essenciais sobre a norma ISO 27001 num relance

Contexto e fatores impulsionadores da ISO 27001

Pressão regulamentar sobre a segurança da informação

O quadro regulamentar em matéria de segurança da informação tornou-se significativamente mais rigoroso nos últimos anos, particularmente na União Europeia. A Diretiva relativa à segurança das redes e da informação 2 (NIS2) alarga as obrigações em matéria de cibersegurança a um conjunto significativamente mais vasto de entidades essenciais e importantes, incluindo organizações de média dimensão em setores como a energia, os transportes, a saúde, as infraestruturas digitais e a indústria transformadora. A Lei sobre a Resiliência Operacional Digital (DORA), aplicável a entidades financeiras e aos seus prestadores de serviços terceirizados críticos de Tecnologias da Informação e Comunicação (TIC), estabelece requisitos detalhados para a gestão de riscos de TIC, notificação de incidentes, testes de resiliência e supervisão dos prestadores de serviços. Nem a NIS2 nem a DORA prescrevem a norma ISO 27001 como base obrigatória, mas ambas fazem referência a normas de segurança da informação reconhecidas internacionalmente como ponto de referência, e muitas organizações utilizam SGSI certificados como a base estrutural sobre a qual os seus programas regulamentares são construídos.

Expectativas do mercado e confiança dos clientes

Para além da regulamentação formal, a segurança da informação tornou-se um tema habitual em contratos entre empresas, procedimentos de concurso e programas de qualificação de fornecedores. Os clientes empresariais exigem cada vez mais que os seus fornecedores demonstrem um SGSI verificado externamente antes de lhes concederem acesso a sistemas ou dados, e os certificados emitidos por organismos de certificação acreditados são amplamente aceites como prova dessa maturidade. Para fornecedores de software, prestadores de serviços na nuvem e outras organizações cujo modelo de negócio assenta nos dados dos clientes, um certificado ISO 27001 tornou-se quase uma expectativa de entrada no mercado em muitos setores. Esta tendência é reforçada pela crescente sensibilização do público para as violações de dados, o ransomware e os ataques à cadeia de abastecimento, o que elevou as expectativas relativamente à forma como as organizações protegem a informação ao longo de toda a sua cadeia de valor.

Convergência com resiliência, privacidade e sustentabilidade

A segurança da informação já não existe isoladamente. Intercorta-se cada vez mais com a resiliência operacional, a continuidade de negócios, a privacidade e — desde a publicação da Emenda 1:2024 — com considerações relacionadas com o clima. Os conselhos de administração e as comissões de risco estão a encarar a segurança da informação como uma dimensão de um panorama mais vasto que inclui interrupções nas TIC, riscos de terceiros e perturbações causadas por fenómenos meteorológicos extremos que afetam infraestruturas críticas. A norma ISO 27001 fornece uma base estrutural que permite às organizações integrar estes temas interligados — privacidade, continuidade, supervisão de fornecedores e resiliência física — num único sistema de gestão, em vez de um conjunto de iniciativas desconexas.

Requisitos Fundamentais da ISO 27001

A norma ISO/IEC 27001:2022 segue a Estrutura Harmonizada do Anexo SL, comum às normas modernas da ISO relativas a sistemas de gestão. As cláusulas 1 a 3 definem o âmbito de aplicação, as referências normativas e os termos. As cláusulas 4 a 10 contêm os requisitos auditáveis do sistema de gestão, resumidos abaixo. O Anexo A faz então referência a 93 controlos de segurança da informação detalhados na norma ISO 27002, entre os quais uma organização seleciona os que são aplicáveis com base na sua avaliação de riscos.

Cláusula 4 — Contexto da Organização

A organização identifica as questões internas e externas que afetam o seu SGSI e determina as necessidades e expectativas das partes interessadas, tais como clientes, entidades reguladoras, parceiros da cadeia de abastecimento e acionistas. Com base nisso, define o âmbito do SGSI, incluindo locais, atividades empresariais, tecnologias e ativos de informação abrangidos.

Cláusula 5 — Liderança

A direção demonstra liderança e empenho no SGSI, é assinada uma política de segurança da informação e são atribuídas funções, responsabilidades e competências. A segurança da informação é posicionada como um tema de relevância estratégica, e não como uma função técnica delegada.

Cláusula 6 — Planeamento

A organização realiza uma avaliação dos riscos de segurança da informação, define critérios para aceitar e tratar os riscos e seleciona os controlos necessários para fazer face a esses riscos. A Declaração de Aplicabilidade documenta quais os controlos do Anexo A que se aplicam, quais estão excluídos e a justificação em cada caso. Os objetivos de segurança da informação são definidos e alinhados com a política.

Cláusula 7 — Apoio

São abordados os recursos, a competência, a sensibilização, a comunicação e a informação documentada. O pessoal envolvido no SGSI recebe formação adequada e a documentação é mantida de forma proporcional à dimensão e complexidade da organização.

Cláusula 8 — Operação

A organização planeia, implementa e controla os processos necessários para cumprir os requisitos de segurança da informação, executa os planos de avaliação e tratamento de riscos e gere as alterações que possam afetar o SGSI.

Cláusula 9 — Avaliação do Desempenho

O SGSI é monitorizado, medido e analisado. As auditorias internas e as revisões da gestão servem de base para avaliar se o sistema é eficaz, está em conformidade e se está em constante melhoria. Os resultados são incorporados no planeamento e nas decisões operacionais.

Cláusula 10 — Melhoria

As não-conformidades são tratadas através de ações corretivas, e a organização é obrigada a melhorar continuamente a adequação, a suficiência e a eficácia do SGSI. A melhoria contínua é uma característica estrutural da norma, e não um complemento opcional.

Anexo A — Conjunto de Controlos de Referência

O Anexo A faz referência a 93 controlos agrupados em quatro temas: controlos organizacionais (37), controlos relativos às pessoas (8), controlos físicos (14) e controlos tecnológicos (34). A revisão de 2022 consolidou e reorganizou os 114 controlos da versão de 2013, introduziu 11 novos controlos (incluindo inteligência de ameaças, segurança da informação para serviços na nuvem, preparação das TIC para a continuidade de negócios, monitorização da segurança física, gestão de configurações, eliminação de informações, mascaramento de dados, prevenção de fugas de dados, atividades de monitorização, filtragem da Web e codificação segura) e aplicou cinco atributos a cada controlo (tipo de controlo, propriedades de segurança da informação, conceitos de cibersegurança, capacidades operacionais e domínios de segurança) para apoiar a filtragem e a elaboração de relatórios.

Grupos-alvo e áreas de aplicação da ISO 27001

A ISO 27001 foi concebida para ser independente do setor. Os seus requisitos aplicam-se igualmente a um banco multinacional, a uma rede hospitalar regional, a uma entidade pública e a uma start-up de software que processa dados de clientes em nome de terceiros. Na prática, certas áreas de aplicação tornaram-se particularmente visíveis.

Os fornecedores de tecnologias da informação e das comunicações — incluindo plataformas na nuvem, fornecedores de Software como Serviço (SaaS), prestadores de serviços geridos e operadores de centros de dados — tratam frequentemente a ISO 27001 como o quadro de garantia de referência esperado pelos clientes empresariais. As organizações de serviços financeiros utilizam a ISO 27001 para estruturar programas de gestão de riscos de TIC que também cumprem as obrigações decorrentes da DORA. As organizações de cuidados de saúde aplicam-na para proteger as informações dos doentes e os sistemas clínicos, muitas vezes em conjunto com requisitos de privacidade e segurança específicos do setor. Os organismos do setor público e os operadores de infraestruturas críticas implementam a norma ISO 27001 para cumprir as obrigações decorrentes da NIS2 e da legislação nacional em matéria de cibersegurança. As organizações do setor industrial adotam-na para proteger a propriedade intelectual, garantir a segurança dos ambientes de tecnologia operacional e responder aos requisitos de segurança da cadeia de abastecimento impostos por grandes clientes, incluindo os Fabricantes de Equipamento Original (OEM).

Para qualquer uma destas organizações, um SGSI certificado proporciona um quadro estruturado para a tomada de decisões baseadas em evidências sobre investimentos e prioridades em matéria de segurança da informação. Apoia decisões informadas por parte da liderança e fornece a base para conversas centradas no risco com reguladores, clientes e parceiros da cadeia de abastecimento, deixando ao mesmo tempo as decisões substantivas a cargo das pessoas por elas responsáveis.

Normas relacionadas com a ISO 27001

Estrutura Harmonizada e Combinações Típicas

A ISO 27001 partilha a Estrutura Harmonizada do Anexo SL com outras normas de sistemas de gestão amplamente utilizadas, incluindo a ISO 9001 (qualidade), a ISO 14001 (ambiente) e a ISO 22301 (continuidade de negócios). Esta estrutura comum permite que as organizações operem um sistema de gestão integrado, no qual os requisitos de segurança da informação, qualidade, ambiente e continuidade partilham compromissos de liderança, processos de planeamento, auditorias internas e revisões da gestão. As auditorias combinadas entre estes esquemas são comuns na prática e tendem a reduzir a duplicação de esforços.

A Família ISO 27000 

A norma ISO 27001 situa-se no centro da família de normas ISO 27000, que, em conjunto, abordam em profundidade a gestão da segurança da informação. A norma ISO 27000 fornece uma visão geral e o vocabulário da família. A ISO 27002 aprofunda cada controlo do Anexo A com orientações detalhadas de implementação e é a norma mais frequentemente consultada a par da ISO 27001 durante a implementação. A ISO 27005 fornece orientações sobre a gestão de riscos de segurança da informação e é amplamente utilizada para concretizar as cláusulas baseadas no risco da ISO 27001. A ISO 27017 e a ISO 27018 alargam o conjunto de controlos aos serviços na nuvem e à proteção de Informações de Identificação Pessoal (PII) em ambientes de nuvem pública, respetivamente. A ISO 27019 é uma norma de orientação para o estabelecimento de um sistema de gestão da segurança da informação para sistemas de controlo utilizados no fornecimento de energia. A norma baseia-se nos controlos de segurança da informação descritos na ISO 27002 e acrescenta requisitos específicos do setor que vão além das medidas gerais definidas nessa norma. A ISO 27701 especifica requisitos e orientações para um Sistema de Gestão da Privacidade da Informação (PIMS).

Extensões específicas por setor e tema

Várias normas específicas do setor baseiam-se na ISO 27001 num sentido normativo. A ISO/IEC 27011 fornece orientações adicionais para organizações de telecomunicações. A ISO/IEC 27017 e a ISO/IEC 27018 abordam controlos específicos da nuvem. A ISO/IEC 27019 fornece orientações para o setor dos serviços de energia. A ISO/IEC 27799 aplica os controlos da ISO/IEC 27002 à informática na área da saúde. Estas extensões reutilizam o sistema de gestão da ISO 27001 e acrescentam ou aperfeiçoam controlos relevantes para o setor em questão.

Diferenciação em relação a quadros semelhantes

A norma ISO 27001 é, por vezes, comparada a outras estruturas de segurança da informação, nomeadamente a SOC 2 e a Estrutura de Cibersegurança do NIST. A norma ISO 27001 é uma norma internacional com base na qual um SGSI pode ser certificado por um organismo de certificação. O SOC 2 é uma estrutura de relatórios definida pelo Instituto Americano de Contabilistas Públicos Certificados (AICPA), ao abrigo da qual os profissionais de garantia emitem relatórios de atestado sobre controlos relevantes para a segurança, disponibilidade, integridade do processamento, confidencialidade ou privacidade. Embora os dois domínios se sobreponham, abrangem âmbitos diferentes e seguem modelos de governação distintos, pelo que não devem ser descritos como equivalentes. A Estrutura de Cibersegurança do NIST é uma estrutura voluntária destinada a orientar a gestão de riscos, particularmente nos Estados Unidos; não é certificável no mesmo sentido que a ISO 27001.