Maurice Müller
Senior Content Manager
Maurice Müller é um jornalista e estratega de conteúdos com experiência em meios de comunicação impressos e digitais. Na Formalize, transforma temas complexos relacionados com a conformidade e a regulamentação em conteúdos claros e práticos para profissionais das áreas da conformidade, do risco e da segurança em toda a Europa.
Conclusões principais:
A ISO 27001 é a norma internacional para a criação e gestão de um Sistema de Gestão da Segurança da Informação (SGSI).
Baseia-se na tríade da CID: confidencialidade, integridade e disponibilidade.
O Anexo A da revisão de 2022 define 93 controlos distribuídos por quatro áreas: organizacional, humana, física e tecnológica.
A conformidade significa estar alinhado com a norma; a certificação significa passar numa auditoria independente.
A certificação demora normalmente entre 6 e 12 meses, dependendo da dimensão da empresa e das ferramentas utilizadas.
O custo médio de uma violação de dados atingiu 4,99 $ milhões a nível global em 2026. Trata-se de um recorde histórico, de acordo com o Relatório da IBM sobre o Custo de uma Violação de Dados. A pressão regulatória tem aumentado com a mesma rapidez: só as multas ao abrigo do RGPD ultrapassaram os 6 mil milhões de euros desde 2018, segundo o CMS GDPR Enforcement Tracker. Clientes, parceiros e entidades reguladoras expectam, cada vez mais, provas de que uma organização leva a segurança da informação a sério, e não apenas como uma declaração numa página de vendas. A norma ISO 27001 proporciona às organizações um framework comprovado e reconhecido a nível mundial para salvaguardar sistematicamente os ativos de informação críticos. Substitui soluções pontuais e folhas de cálculo dispersas por um processo estruturado. É também a norma mais frequentemente solicitada em questionários de segurança de fornecedores e em processos de aquisição empresarial, o que torna a sua compreensão útil muito para além das equipas de segurança.
O que é a norma ISO 27001?
A ISO/IEC 27001 é a norma internacional para sistemas de gestão da segurança da informação (SGSI). Proporciona um framework para gerir e proteger dados sensíveis através de uma gestão sistemática dos riscos. A norma estabelece os requisitos que uma organização deve cumprir para identificar, tratar e monitorizar continuamente os riscos de segurança da informação.
A norma é publicada conjuntamente pela Organização Internacional de Normalização (ISO) e pela Comissão Eletrotécnica Internacional (IEC). É por isso que é designada como “ISO/IEC 27001”. A versão atual, ISO/IEC 27001:2022, reestruturou o conjunto de controlos da norma. Introduziu também terminologia atualizada para refletir os desafios modernos de segurança, tais como serviços na nuvem e inteligência de ameaças
A ISO 27001 é deliberadamente independente do setor. Aplica-se igualmente a uma startup de cinco pessoas e a uma empresa multinacional. Isto porque a norma define um processo de gestão de riscos, e não uma lista fixa de tecnologias a implementar. É também por isso que se combina bem com requisitos específicos de cada setor. Uma organização pode criar um único SGSI e alinhá-lo com a ISO 27001, bem como com outros frameworks, como o SOC 2 ou regulamentação específica do setor, em vez de gerir cada uma delas isoladamente. Essa flexibilidade é também a razão pela qual a norma é relevante para públicos tão diversos. Gestores de conformidade que definem o âmbito de um projeto de certificação, CISOs que decidem onde priorizar o investimento e líderes empresariais que avaliam a postura de segurança de um fornecedor acabam todos por perguntar, a dada altura, o que a ISO 27001 realmente exige.
Para conhecer em pormenor todos os requisitos da norma, consulte o guia da Formalize sobre a ISO 27001.
Os pilares fundamentais: a tríade CID na norma ISO 27001
A norma ISO 27001 baseia-se na proteção de três princípios fundamentais de segurança da informação, conhecidos em conjunto como a tríade CID. A norma não encara a segurança como um objetivo único. Em vez disso, exige que as organizações ponderem três objetivos distintos — e, por vezes, concorrentes — para cada ativo de informação:
Confidencialidade
Garantir que apenas o pessoal autorizado pode aceder a informações confidenciais.
Integridade
Proteger a exatidão dos dados e impedir alterações ou manipulações não autorizadas.
Disponibilidade
Garantir que os sistemas e os dados estejam acessíveis aos utilizadores autorizados sempre que necessário.
Um SGSI eficaz equilibra estes três aspetos. Investir excessivamente num deles prejudica os outros. Por exemplo, restringir o acesso aos dados de forma tão rigorosa que os utilizadores autorizados não consigam desempenhar as suas funções contraria o objetivo. Uma avaliação de riscos ao abrigo da norma ISO 27001 questiona, para cada ativo, qual dos três aspetos é mais importante e o que o poderia comprometer. É essa questão que transforma a tríade CID de um conceito abstrato numa ferramenta prática de definição de prioridades.
O que é um Sistema de Gestão da Segurança da Informação (SGSI)?
Um SGSI é o mecanismo prático subjacente à norma ISO 27001. Trata-se de um framework de gestão que integra pessoas, processos, tecnologia e gestão de riscos organizacionais num único sistema auditável. Não se trata de um projeto de TI pontual.
Um SGSI define a forma como uma organização identifica os riscos para os seus ativos de informação. Determina também quais os controlos a aplicar, quem é o responsável por eles e como o desempenho é avaliado ao longo do tempo. Trata-se de um desafio significativamente diferente da implementação isolada de uma firewall ou de uma política de controlo de acesso. Na prática, um SGSI abrange áreas tão variadas como a integração e a saída de colaboradores, os contratos com fornecedores, o acesso físico aos escritórios, as práticas de desenvolvimento de software e a resposta a incidentes. Abrange todos os locais por onde a informação circula na organização.
Uma vez que o âmbito abrange toda a organização, a norma ISO 27001 exige uma atribuição clara de responsabilidades. É necessário que alguém seja responsável pelo registo de riscos. É necessário que alguém aprove a Declaração de Aplicabilidade. E é necessário que alguém verifique se os controlos continuam a funcionar à medida que surgem novos riscos. Sem essa estrutura, o trabalho de segurança tende a concentrar-se na área de TI. No entanto, muitos dos riscos de maior impacto, como o phishing ou as violações por parte de fornecedores, situam-se fora dessa área.
É também aqui que as abordagens baseadas em folhas de cálculo tendem a falhar. Uma folha de cálculo pode conter um registo de riscos ou uma lista de controlos. No entanto, não consegue garantir a atribuição de responsabilidades, desencadear revisões nem associar automaticamente as evidências aos controlos. À medida que o SGSI cresce e passa a abranger mais riscos, controlos, evidências e partes interessadas, as folhas de cálculo tornam-se um obstáculo, em vez de um sistema de registo
Componentes-chave da norma ISO 27001
A norma tem duas partes principais. A primeira é o conjunto de cláusulas obrigatórias que definem como o próprio SGSI deve funcionar. A segunda é o Anexo A, a lista de referência dos controlos de segurança a que uma organização recorre. Os auditores verificam todas as cláusulas obrigatórias. No entanto, verificam apenas os controlos do Anexo A que uma organização tenha efetivamente selecionado como relevantes.
Cláusulas 4 a 10 (o framework do SGSI)
As cláusulas 4 a 10 são obrigatórias para a certificação. Abrangem o contexto da organização, o compromisso da liderança, o planeamento, o apoio, a operação, a avaliação do desempenho e a melhoria contínua. Os profissionais costumam associar esta estrutura ao ciclo Plan-Do-Check-Act (PDCA):
Planear: Definir o âmbito do SGSI, avaliar os riscos e estabelecer objetivos.
Executar: Implementar o plano de tratamento de riscos e os controlos selecionados.
Verificar: Monitorizar, medir e realizar auditorias internas ao SGSI.
Agir: Corrigir as não conformidades e melhorar de forma contínua.
Este ciclo repete-se continuamente, em vez de ser executado apenas uma vez. Um risco identificado durante a fase de “Verificação”, por exemplo, um novo fornecedor com acesso aos dados dos clientes, é incorporado no planeamento. Esse ciclo de retroalimentação é o que mantém um SGSI atualizado à medida que a organização e o seu panorama de ameaças se alteram. Não se trata de um instante único captado na certificação inicial.
Controlos do Anexo A
O Anexo A da norma ISO/IEC 27001:2022 enumera 93 controlos, organizados em quatro temas:
Controlos organizacionais (37): políticas, funções, relações com fornecedores e gestão de incidentes.
Controlos humanos (8): seleção, sensibilização e condições de trabalho.
Controlos físicos (14): proteção de instalações, equipamentos e suportes de informação.
Controlos tecnológicos (34): controlo de acesso, criptografia e monitorização.
Atualização da norma ISO/IEC 27001:2022: A revisão de 2022 consolidou os 114 controlos anteriores, distribuídos por 14 domínios (na versão de 2013), nestes 93 controlos agrupados em quatro temas. Esta alteração reflete os riscos atuais, como a segurança na nuvem e a inteligência de ameaças. As organizações não precisam de implementar todos os controlos. Devem selecionar os que são relevantes para a sua avaliação de riscos e documentar as exclusões numa Declaração de Aplicabilidade (SoA). O prazo de transição para os certificados ISO 27001:2013 existentes terminou a 31 de outubro de 2025. A norma ISO/IEC 27001:2022 é agora a única versão válida; qualquer certificado que ainda faça referência à edição de 2013 deixou de ser reconhecido.
O Anexo A funciona como uma lista de referência, não como uma lista de verificação a preencher na íntegra. Durante a certificação, os auditores não esperam que todos os 93 controlos estejam implementados. Esperam que a Declaração de Conformidade (SoA) justifique cada exclusão e confirme que os controlos que a organização selecionou estão efetivamente em funcionamento, e não apenas documentados no papel. Uma lacuna comum consiste em implementar controlos simplesmente porque constam do anexo, em vez de o fazer porque um risco específico identificado assim o exige.
Qual é a diferença entre a conformidade com a norma ISO 27001 e a certificação?
Estes dois termos são frequentemente utilizados de forma intercambiável, mas descrevem fases diferentes:
A conformidade significa que uma organização alinhou as suas práticas e políticas de segurança internas com a norma ISO 27001.
A certificação significa que um organismo de certificação independente acreditado auditou formalmente a organização e emitiu um certificado oficial ISO 27001.
Uma organização pode estar em conformidade sem ter certificação. No entanto, a certificação exige sempre a demonstração da conformidade, verificada por um auditor externo. Algumas organizações aplicam um SGSI em conformidade sem procurarem obter uma certificação formal, por exemplo, enquanto se preparam internamente. A maioria dos requisitos dos clientes e de aquisição, no entanto, exige especificamente o próprio certificado, uma vez que este confirma que uma entidade independente verificou a conformidade declarada.
Como obter a certificação ISO 27001: 5 passos
Definição do âmbito e análise de lacunas. Identificar quais os ativos, sistemas, equipas e locais que o SGSI irá abranger. Em seguida, avaliar os controlos de segurança existentes em relação à norma para identificar onde se encontram lacunas. Definir corretamente o âmbito numa fase inicial evita retrabalhos dispendiosos mais tarde. Se for demasiado restrito, o certificado não abrangerá aquilo que os clientes realmente procuram. Se for demasiado abrangente, o projeto fica paralisado sob o seu próprio peso.
Avaliação e tratamento de riscos. Identifique as ameaças a cada ativo abrangido e classifique os riscos de acordo com a probabilidade e o impacto. Decida como tratar cada um deles (aceitar, mitigar, transferir ou evitar). Em seguida, elabore uma Declaração de Aplicabilidade (SoA) que documente quais os controlos do Anexo A que se aplicam.
Implementação dos controlos. Coloque em prática os controlos selecionados do Anexo A: políticas, controlos de acesso, diligência prévia em relação aos fornecedores e outras medidas de proteção. Recolha evidências à medida que os controlos forem sendo implementados, e não a posteriormente
Auditoria interna e revisão pela direção. Testar o SGSI internamente, de preferência por alguém independente do funcionamento quotidiano dos controlos. Isto confirma que o sistema está a funcionar conforme previsto e que está pronto para a revisão externa. A direção analisa então formalmente os resultados e aprova-os.
Auditorias externas da Fase 1 e da Fase 2. Uma entidade de certificação acreditada pela ISO analisa, em primeiro lugar, a documentação e o grau de preparação (Fase 1). Em seguida, avalia a implementação na prática e as evidências (Fase 2) antes de emitir a certificação. Seguem-se auditorias de vigilância anuais para manter a certificação.
A maioria das organizações conclui este processo num período de 6 a 12 meses. O prazo depende da dimensão da empresa, da sua complexidade e da proporção entre o trabalho manual e o trabalho apoiado por ferramentas específicas. A recertificação ocorre num ciclo de três anos, com auditorias de vigilância menos exaustivas entretanto.
Quais são os benefícios da norma ISO 27001?
A norma ISO 27001 pode ajudar as organizações a:
Identificar e gerir os riscos de segurança da informação de forma sistemática, em vez de reagir aos incidentes depois de estes ocorrerem.
Demonstrar maturidade em matéria de segurança aos clientes e parceiros, nomeadamente nas avaliações de segurança dos fornecedores e nos processos de aquisição da empresa.
Reduzir o custo e a frequência dos incidentes de segurança, com base em controlos que são testados, e não apenas documentados.
Obter uma vantagem inicial em relação a outros frameworks. Um SGSI (Sistema de Gestão da Segurança da Informação) em funcionamento já abrange grande parte do que a NIS2 e a DORA também exigem.
Proporcionar à liderança e aos colaboradores um processo consistente para as decisões de segurança, em vez de decisões discricionárias que variam de pessoa para pessoa.
Simplificar a conformidade com a norma ISO 27001 com o Formalize
O Formalize integra a norma oficial ISO/IEC 27001:2022 diretamente na plataforma, através de uma colaboração com a UNE, o organismo nacional de normalização de Espanha, formalizada em abril de 2026. As equipas trabalham a partir do próprio conteúdo atual e licenciado, em vez de um PDF adquirido separadamente. A Formalize é o primeiro fornecedor de GRC em Espanha, e um dos primeiros na Europa, a estabelecer este tipo de colaboração direta com representantes da ISO/IEC.
A Formalize também faz parte de um projeto-piloto oficial de IA com a ISO e a UNE. O projeto-piloto está a desenvolver uma funcionalidade de IA denominada Formalize IQ, destinada a transformar os requisitos estáticos da ISO em fluxos de trabalho práticos e nativos assim que for lançada.
O software ISMS da Formalize centraliza a recolha de evidências e associa os controlos aos riscos, em vez de os ter de acompanhar em ficheiros desarticulados. Mantém a organização continuamente preparada para auditorias, com uma visibilidade que se mantém atualizada entre os ciclos de certificação, e não apenas nas semanas que antecedem uma auditoria. Isso é especialmente importante precisamente no momento em que as folhas de cálculo tendem a falhar: quando a responsabilidade tem de ser clara, as evidências têm de ser rastreáveis até um controlo específico e os avaliadores precisam de uma visão atualizada sem terem de procurar a versão mais recente de um ficheiro..
Os riscos de segurança da informação raramente existem de forma isolada. É por isso que o Formalize também integra o trabalho relacionado com a norma ISO 27001 no framework mais alargado de gestão de riscos da organização. Um incidente de phishing, por exemplo, pode ser diretamente incorporado na atualização da pontuação de risco, em vez de ficar isolado num registo de incidentes.
A norma ISO 27001 também raramente existe isoladamente no conjunto de requisitos de conformidade de uma organização. A Formalize mapeia os controlos do seu Anexo A diretamente para outros frameworks, incluindo a NIS2, e para normas nacionais como a ENS de Espanha, a CyFun da Bélgica e a BSI IT-Grundschutz da Alemanha. Basta atualizar um controlo uma vez e essa atualização é aplicada a todos os frameworks às quais está mapeado. Isto evita a necessidade de comprovar novamente o mesmo controlo separadamente para cada entidade reguladora, que é, na verdade, a principal fonte da maior parte do trabalho de auditoria duplicado.
O modelo de preços da Formalize também não se baseia no número de acessos. As equipas de segurança podem convidar os departamentos jurídico e de operações, bem como auditores externos, diretamente para a plataforma, sem terem de pagar por cada acesso adicional. O trabalho relacionado com a norma ISO 27001 envolve regularmente os departamentos jurídico e de operações, e os custos por acesso são uma razão comum para que essas funções sejam totalmente excluídas das ferramentas.