ABNT NBR ISO/IEC 27001 · Certificamos esta norma
Sistemas de Gestão de Segurança da Informação
A ISO/IEC 27001 estabelece o sistema de gestão que protege a confidencialidade, a integridade e a disponibilidade das informações — da avaliação de riscos à declaração de aplicabilidade dos controles do Anexo A (organizacionais, de pessoas, físicos e tecnológicos). É a referência mundial para demonstrar segurança da informação a clientes, parceiros e reguladores.
Na auditoria
O que é esperado
- Avaliação e tratamento de riscos de segurança da informação com critérios definidos;
- Declaração de aplicabilidade (SoA) justificando os controles adotados e excluídos;
- Controles operando com evidências: acessos, criptografia, backups, logs, fornecedores;
- Gestão de incidentes com registro, resposta e lições aprendidas;
- Conscientização das pessoas e avaliação periódica da eficácia dos controles.
Implantação
Dicas úteis para implantar
- Delimite bem o escopo inicial (sistemas e processos críticos) — dá para ampliar depois;
- Trate o inventário de ativos e a classificação da informação como fundação de tudo;
- Automatize evidências (logs, backups, gestão de acessos) para reduzir esforço de auditoria;
- Integre a gestão de riscos com a rotina de TI e não como planilha paralela;
- Combine com ISO/IEC 27701 se dados pessoais forem relevantes — o sistema de privacidade reaproveita o que a 27001 já estruturou.
Onde se aplica
Segmentos aplicáveis e recomendados
Tecnologia e SaaS
Instituições financeiras
Saúde
Telecom
BPO e centrais de serviço
Governo digital
Educação
Indústria conectada
Diferenciais
O que sua organização ganha
Clientes públicos
Para o setor público, a certificação materializa a Política Nacional de Segurança da Informação e os controles pedidos pelos órgãos de controle em serviços digitais — além de qualificar fornecedores de tecnologia que atendem ao governo.
Clientes privados
No privado, o certificado encurta due diligences de segurança, destrava contratos com grandes clientes (que exigem 27001 de fornecedores), reduz prêmios de seguro cibernético e demonstra maturidade a investidores.
Base legal
Legislações e referências sobre o tema
No Brasil
- LGPD (Lei nº 13.709/2018) — exige medidas técnicas e administrativas de segurança; a 27001 é o caminho estruturado para evidenciá-las;
- Marco Civil da Internet (Lei nº 12.965/2014) — deveres de guarda e proteção de registros e dados;
- Decreto nº 9.637/2018 (PNSI) e normativos do GSI — política de segurança da informação na administração federal;
- Resoluções BACEN/CMN nº 4.893/2021 e CVM — requisitos de segurança cibernética no sistema financeiro.
Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.
Dúvidas frequentes
Perguntas sobre a ISO/IEC 27001
Preciso de um SOC ou de ferramentas caras para certificar?
Não necessariamente. A norma exige que os controles sejam proporcionais aos riscos identificados no seu contexto — uma software house de 40 pessoas e um banco não precisam do mesmo arsenal. Muitos controles decisivos custam pouco: gestão de acessos disciplinada, duplo fator, backups testados, inventário de ativos e conscientização das pessoas. A auditoria avalia se o risco está tratado com eficácia demonstrada, não a marca da ferramenta — um SIEM caro e mal configurado vale menos que logs simples que alguém realmente analisa.
Qual a relação entre a 27001 e a LGPD?
A LGPD exige ‘medidas técnicas e administrativas de segurança’ (art. 46), mas não diz como estruturá-las — a 27001 é exatamente esse como: riscos avaliados, controles operando e auditoria independente que prova a manutenção ao longo do tempo. Em fiscalizações e incidentes, o certificado é evidência forte de diligência. E quando dados pessoais são centrais no negócio, a ISO/IEC 27701 — norma autônoma desde a revisão de 2025 — acrescenta os papéis de controlador e operador, direitos dos titulares e avaliações de impacto — formando o sistema completo de segurança + privacidade.
TI terceirizada impede a certificação?
Não — é uma situação comum e prevista. Fornecedores críticos (nuvem, desenvolvimento, suporte, data center) entram na avaliação de riscos e nos controles de relacionamento com terceiros: requisitos de segurança em contrato, acordos de confidencialidade, monitoramento do serviço e evidências de atendimento (relatórios, certificações do próprio fornecedor, auditorias). O que você não pode terceirizar é a responsabilidade: a gestão dos riscos continua sua, e é isso que a auditoria verifica.
Quanto tempo dura a implementação?
Em geral 6 a 12 meses, dependendo do escopo, da maturidade de TI e da dedicação do time. O caminho típico: inventário de ativos e avaliação de riscos (1–2 meses), implementação dos controles priorizados e da documentação essencial (3–6 meses), operação assistida gerando evidências, auditoria interna e análise crítica (2–3 meses). Delimitar bem o escopo inicial — os sistemas e processos críticos — é o que mais encurta o prazo sem enfraquecer o resultado. Depois, o ciclo de certificação segue as 5 etapas da Normatizas.
O que é a Declaração de Aplicabilidade (SoA)?
É o documento-mapa do seu sistema: lista os 93 controles do Anexo A da norma e declara, um a um, se é aplicável ao seu contexto, como está implementado e — quando excluído — a justificativa. A SoA conecta a avaliação de riscos aos controles reais e é uma das primeiras coisas que o auditor examina, porque revela a consistência do sistema inteiro. Mantê-la viva (revisada quando riscos e tecnologias mudam) é requisito e boa prática.
Não conformidades na auditoria reprovam a certificação?
Não automaticamente. Não conformidades menores são comuns e se resolvem com plano de ação corretiva aprovado — o certificado sai normalmente. Uma não conformidade maior (falha sistêmica ou requisito ausente) precisa ser corrigida e verificada antes da decisão de certificação, o que pode exigir auditoria complementar. O objetivo da auditoria não é reprovar: é dar um retrato fiel do sistema para que ele melhore — empresas bem preparadas pela auditoria interna raramente têm surpresas.
Pronto para certificar a ISO/IEC 27001?
Solicite o orçamento com dimensionamento personalizado para o seu escopo.