Nextlayer
ISO 27001: por onde começar
ISO 27001 não é um checklist de TI: é um sistema de gestão de segurança da informação. A norma organiza como a empresa identifica riscos, define controles, mede resultados e melhora continuamente. O primeiro passo não é comprar ferramenta nem escrever política — é definir o que o sistema cobre e quem responde por ele.
Em resumo
- Comece pelo escopo: quais áreas, sistemas e informações entram no SGSI.
- O núcleo é a gestão de riscos: identificar, avaliar, tratar e monitorar.
- A auditoria busca evidências: não basta dizer que faz; é preciso demonstrar.
O que é a ISO 27001?
A ISO/IEC 27001 é a norma internacional para sistemas de gestão de segurança da informação (SGSI). Ela segue o ciclo de melhoria contínua: planejar, executar, verificar e corrigir. A certificação demonstra que a organização tem um processo estruturado para proteger informações, não que ela está imune a incidentes.
O Anexo A traz um catálogo de controles, mas a norma não exige que todos sejam aplicados da mesma forma. A organização precisa justificar o que aplica, o que exclui e por quê.
Por onde começar
1. Patrocínio da liderança
Sem apoio da direção, o projeto vira uma iniciativa isolada de TI. Defina um patrocinador, um responsável pelo SGSI e um comitê com representantes das áreas críticas.
2. Escopo do SGSI
Delimite unidades, processos, sistemas e localidades. Um escopo amplo demais dilui o esforço; um escopo pequeno demais pode deixar de fora riscos relevantes. Documente as exclusões e a justificativa.
3. Inventário de ativos e informações
Identifique informações, sistemas, serviços, pessoas e fornecedores que sustentam o escopo. Classifique por criticidade e sensibilidade.
4. Análise e tratamento de riscos
Defina critérios de probabilidade e impacto, identifique cenários e escolha como tratar cada risco: mitigar, transferir, evitar ou aceitar. O resultado orienta a seleção de controles.
5. Declaração de aplicabilidade (SoA)
A SoA lista os controles aplicáveis, a justificativa e o status de implementação. Ela é uma das evidências centrais da auditoria.
O que a auditoria espera
A auditoria verifica se o sistema funciona na prática. Isso inclui políticas aprovadas, registros de análise de risco, evidências de execução de controles, tratamento de não conformidades e melhoria contínua. Documentos sem aderência à operação não sustentam a certificação.
Erros comuns
- Começar pela compra de ferramentas antes de definir escopo e riscos.
- Copiar políticas genéricas sem conexão com a operação.
- Tratar a ISO 27001 como projeto único, com data de término.
- Não envolver as áreas de negócio.
- Produzir evidências apenas na véspera da auditoria.
Quanto tempo leva?
Depende do porte, da maturidade e do escopo. Organizações que já têm governança e controles podem levar alguns meses; ambientes complexos ou sem estrutura podem levar mais de um ano. O importante é planejar em etapas e medir o avanço.
Perguntas frequentes
ISO 27001 é obrigatória?
Não é obrigatória por lei, mas pode ser exigida por clientes, licitações ou parceiros. É uma forma de demonstrar maturidade de segurança.
Preciso certificar toda a empresa?
Não. O escopo pode cobrir uma unidade, um produto ou um processo específico, desde que esteja claramente definido e justificado.
ISO 27001 substitui a LGPD?
Não. A LGPD trata de proteção de dados pessoais; a ISO 27001 trata do sistema de gestão de segurança da informação. Eles se complementam.
Qual o primeiro passo prático?
Definir escopo, patrocinador e responsável pelo SGSI. Em paralelo, fazer um diagnóstico de lacunas para entender o ponto de partida.
Quer estruturar a ISO 27001 com evidências e prioridades claras? Fale com a Nextlayer ou conheça os serviços de auditoria e governança.
