ABNT NBR ISO/IEC 27001:2022

O que é

É a norma internacional de referência para a gestão da segurança da informação. Define o que uma organização precisa ter para montar, operar e melhorar um sistema de gestão que proteja a confidencialidade, a integridade e a disponibilidade das informações. Serve a organizações de qualquer porte e setor.

Para que serve

A norma organiza a segurança da informação como um processo de gestão, e não como uma lista solta de ferramentas. A organização define o alcance do sistema, entende o próprio contexto, avalia os riscos que pesam sobre as informações e escolhe como tratá-⁠los. Depois, mede resultados, revisa decisões e corrige falhas em ciclo contínuo. Um anexo traz um conjunto de controles de referência, que a organização compara com o próprio tratamento de riscos para justificar o que aplica e o que deixa de fora.

Por que importa

Uma falha de segurança da informação raramente fica só na área de TI: ela pode atingir contratos, clientes e a reputação da organização. A norma leva o tema para a gestão, com responsáveis definidos e decisões registradas. Por ser internacional, é reconhecida por organizações de países e setores diferentes. Por isso pode servir de referência em contratos e questionários de segurança. Também ajuda a organização a demonstrar a clientes, parceiros e reguladores que cuida dos riscos à informação com método.

Para o gestor de compliance que avalia terceiros, a norma indica o que perguntar. Ela prevê controles próprios para a relação com fornecedores, os contratos e a cadeia de tecnologia. O próprio texto admite que quem está de fora a use como régua para avaliar a segurança de uma organização. Quando um fornecedor, parceiro ou cliente apresenta certificado, vale conferir o escopo declarado, o organismo que o emitiu e a validade. O certificado cobre só o escopo informado, não necessariamente a organização inteira.

Temas centrais

1. 01Contexto, partes interessadas e escopo do sistema
2. 02Liderança, política e papéis definidos
3. 03Avaliação e tratamento de riscos à informação
4. 04Declaração de quais controles se aplicam e por quê
5. 05Controles organizacionais, de pessoas, físicos e tecnológicos
6. 06Monitoramento, auditoria interna e melhoria contínua