Família ABNT NBR ISO/IEC 27000, SGSI, 27001, 27002 e normas de apoio

Do zero

Pense na cozinha de um restaurante que quer o selo da vigilância sanitária.

• Existe a lista do fiscal: o que a cozinha tem de ter para ganhar o selo (um responsável, regras escritas, controle de temperatura, registros, correção do que falhar). Essa lista é a ISO/IEC 27001. Ela diz o que um sistema de gestão da segurança da informação (SGSI) precisa ter, e é por ela que a organização é certificada.
• Existe o livro de boas práticas de higiene: como lavar, guardar, etiquetar, quem entra na câmara fria. Ele não dá selo; ensina como cumprir bem. É a ISO/IEC 27002, o código de prática com os controles de segurança.
• Existe o método para achar o que pode dar errado na sua cozinha, em particular, e decidir o que tratar primeiro. É a ISO/IEC 27005, de gestão de riscos.
• E existe o dicionário que faz todos falarem a mesma língua. É a ISO/IEC 27000, a visão geral e o vocabulário da família.

O SGSI é a rotina de gestão da cozinha: planejar, fazer, verificar e corrigir, de novo e de novo. Não é um produto que se compra; é um jeito de gerir a segurança como qualquer outro processo da organização.

Frase para guardar: 27000 é o vocabulário; 27001 traz os requisitos do SGSI e é a que certifica a organização; 27002 traz as boas práticas para implementar os controles; 27005 trata dos riscos.

Em 1 minuto

As informações abaixo vêm dos slides da aula “Normas ISO 27000” (fontes/normas/iso-27000-aula-gran.txt), que tratam da 27001 e da 27002 de 2013 e de edições antigas das demais normas (27000:2009, 27005:2011, 27007:2016 e outras). As edições vigentes da 27001 e da 27002 são de 2022 e ficam no bloco seguinte, marcado [CONFERIR].

• ISO/IEC 27000: explica a série, seus objetivos e o vocabulário.
• ISO/IEC 27001: especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI no contexto da organização, incluindo requisitos para avaliar e tratar os riscos de segurança da informação. Seu anexo resume os controles da 27002.
• ISO/IEC 27002: código de prática, guia de boas práticas que descreve objetivos de controle e controles recomendados; é o novo nome da antiga ISO 17799. Escreve no tom de recomendação, como no item 5.1.1 mostrado na aula: “convém que um documento da política de SI seja aprovado pela direção”. Organização não se certifica pela 27002; a aula diz que ela é “certificável para profissionais e não para empresas”.
• Estrutura da 27002:2013: 14 seções de controles (numeradas de 5 a 18), 35 objetivos de controle e 114 controles. Cada seção tem um ou mais objetivos de controle; cada controle traz o controle, as diretrizes para implementação e as informações adicionais. A ordem das seções não indica importância.
• As 14 seções de 2013: 5 política de segurança da informação; 6 organizando a segurança da informação; 7 segurança em recursos humanos; 8 gestão de ativos; 9 controle de acesso; 10 criptografia; 11 segurança física e do ambiente; 12 segurança nas operações; 13 segurança nas comunicações; 14 aquisição, desenvolvimento e manutenção de sistemas; 15 relacionamento na cadeia de suprimento; 16 gestão de incidentes de segurança da informação; 17 aspectos da segurança da informação na gestão da continuidade do negócio; 18 conformidade.
• Normas de apoio: 27003 (diretrizes para implantar o SGSI); 27004 (métricas, para medir a eficácia do SGSI); 27005 (gestão de riscos de segurança da informação); 27007 (auditoria de SGSI, complementando a ISO 19011); 27011 (segurança em organizações de telecomunicações, com base na 27002); 27014 (governança de segurança da informação: avaliar, dirigir, monitorar e comunicar); 27031 (prontidão da TIC para a continuidade de negócios); 27032 (segurança cibernética); 27037 (identificação, coleta, aquisição e preservação de evidência digital).
• Vocabulário usado na aula (que o atribui à 27002): ameaça é a causa potencial de um incidente indesejado, que pode resultar em dano para um sistema ou organização; vulnerabilidade é a fragilidade de um ativo ou grupo de ativos que pode ser explorada por uma ou mais ameaças; risco, na aula, é a probabilidade de a ameaça explorar vulnerabilidades, causando perdas ou danos aos ativos e impacto no negócio. Exemplo: o ransomware é a ameaça, o servidor sem atualização é a vulnerabilidade, e a chance de o ransomware entrar por esse servidor e parar o sistema é o risco.

Fora da aula: edições de 2022 e outras normas [CONFERIR: os textos não estão em fontes/]:

• ISO/IEC 27001:2022: cláusulas 4 a 10 com os requisitos do SGSI (contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria) e o Anexo A com 93 controles. A organização registra na Declaração de Aplicabilidade quais controles do Anexo A aplica e por quê.
• ISO/IEC 27002:2022: os 93 controles em 4 temas: organizacionais (37), pessoas (8), físicos (14) e tecnológicos (34). Entre os 11 controles novos estão inteligência de ameaças, segurança no uso de serviços em nuvem, prontidão da TIC para a continuidade, gestão de configuração, exclusão de informações, mascaramento de dados, prevenção de vazamento de dados, monitoramento de atividades, monitoramento da segurança física, filtragem da web e codificação segura. Cada controle ganhou atributos (por exemplo, tipo: preventivo, detectivo ou corretivo; propriedade: confidencialidade, integridade ou disponibilidade).
• O ciclo: a edição de 2005 da 27001 adotava expressamente o ciclo PDCA (planejar, fazer, checar, agir); as atuais exigem melhoria contínua sem impor um modelo, mas o PDCA continua sendo o jeito mais simples de entender o SGSI.
• Outras da família: 27017 (controles para serviços em nuvem), 27018 (dados pessoais em nuvem pública) e 27701 (gestão da privacidade da informação; na edição de 2019, uma extensão da 27001 e da 27002).

Exemplo concreto: o Tribunal busca a certificação do sistema de prestação de contas

O Tribunal quer certificar na 27001 o SGSI que protege o sistema onde os municípios enviam as prestações de contas.

PLANEJAR ─────────────► FAZER ─────────────► VERIFICAR ───────────► AGIR
escopo e contexto       implantar controles  medir (27004)          corrigir não
política aprovada       seguindo as          auditoria interna      conformidades
pela direção            diretrizes da 27002  (27007)                e melhorar
riscos (27005)                               análise crítica
Declaração de                                pela direção
Aplicabilidade
   ▲                                                                   │
   └───────────────────────── melhoria contínua ───────────────────────┘

1. Escopo: o SGSI cobre o sistema de prestação de contas, seu datacenter e as equipes que o operam.
2. Direção no comando: a alta administração aprova a política de segurança da informação e define responsabilidades. Na 27002:2013, é a seção 5, que abre com o objetivo de “prover uma orientação de apoio da direção”.
3. Riscos, pela 27005: ativo, o banco de dados das prestações de contas; ameaça, ransomware; vulnerabilidade, servidor sem atualização; risco alto. Tratamento: reduzir, com gestão de vulnerabilidades técnicas, cópias de segurança testadas e autenticação multifator.
4. Declaração de Aplicabilidade (exigida pela 27001 [CONFERIR]): lista cada controle do Anexo A, se foi aplicado e por quê. “Desenvolvimento terceirizado: não aplicável, o sistema é feito pela equipe interna” é uma exclusão justificada.
5. Implantar: a equipe segue as diretrizes da 27002 para cada controle escolhido.
6. Verificar: indicadores (27004), auditoria interna (27007) e análise crítica pela direção.
7. Agir: cada não conformidade vira ação corretiva. Depois, um organismo certificador audita contra a 27001.

O que a certificação não diz: que o Tribunal nunca terá incidente. Ela atesta que existe um sistema de gestão que identifica, trata e revisa os riscos de forma contínua.

Comparação: as normas e o que cada uma faz

Como a FCC cobra

• 27002 como novo nome da ISO 17799.
• A qual seção pertence um controle (por exemplo, cópias de segurança em segurança nas operações).
• Normas de apoio: 27003, 27004, 27007, 27014, 27031, 27032, 27037.
• Definições de ameaça e vulnerabilidade.
• Declaração de Aplicabilidade e exclusões justificadas.

Pegadinhas

Explique com suas palavras

Explique a um colega a diferença entre a ISO/IEC 27001 e a ISO/IEC 27002 e o que é um SGSI, usando a certificação do sistema de prestação de contas.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

O SGSI é a forma organizada de cuidar da segurança: a direção define uma política, a equipe descobre os riscos, escolhe os controles, mede se funcionam e corrige o que falhar, num ciclo que nunca acaba. A ISO/IEC 27001 é a lista do que esse sistema precisa ter. É ela que o auditor usa para dar a certificação. Ela diz, por exemplo, que é preciso avaliar os riscos e registrar quais controles foram escolhidos e por quê.

A ISO/IEC 27002 é o manual de como fazer bem cada controle: como gerenciar o acesso dos usuários, fazer cópias de segurança, cuidar das vulnerabilidades. Ela recomenda, não exige, e ninguém se certifica nela. No sistema de prestação de contas, o Tribunal usaria a 27005 para achar os riscos, a 27002 para implantar os controles e a 27001 para ser certificado.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

Num caso que peça um plano de segurança para um sistema do Tribunal, estruture pelo SGSI: escopo, política aprovada pela direção, avaliação de riscos (ativo, ameaça, vulnerabilidade, probabilidade e impacto) com tratamento, controles escolhidos e justificados na Declaração de Aplicabilidade, indicadores, auditoria interna e melhoria contínua. Cite a família: 27001 para o sistema, 27002 para os controles, 27005 para os riscos, 27031 para a continuidade. Quando houver dados pessoais, some a LGPD: o art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados.

Fontes da lição

• Edital nº 01/2026, Anexo II, Segurança da Informação (fontes/edital-01-2026.txt).
• Márcio Andrey Teixeira, “Normas ISO 27000”, slides de aula (IFSP, 2020), sobre a ABNT NBR ISO/IEC 27002:2013 e a família 27000 (fontes/normas/iso-27000-aula-gran.txt).
• Lei nº 13.709/2018 (LGPD), art. 46 (fontes/leis/lei-13709-2018-lgpd.txt).
• ABNT NBR ISO/IEC 27001:2022 e ABNT NBR ISO/IEC 27002:2022 [CONFERIR: os textos não estão em fontes/].