Comparação
ISO 27001 vs. GDPR: a metade de segurança de uma lei de privacidade
ISO/IEC 27001:2022 · GDPR · dados de 2026-10-27
Por Paul Gillet · Atualizado em 2026-10-17
O GDPR é uma lei de privacidade; a ISO 27001 é uma norma de segurança. Os dois se encontram nos artigos que impõem deveres de segurança: integridade e confidencialidade (Artigo 5(1)(f)), proteção de dados desde a concepção (Artigo 25), operadores (Artigo 28), segurança do tratamento (Artigo 32), notificação de violações (Artigos 33–34), avaliações de impacto (Artigo 35) e encarregados da proteção de dados (Artigos 37–39). A ControlMapping mapeia apenas esses artigos, e todos os vínculos com o GDPR são editoriais, pois não existe correspondência oficial.
Partindo da ISO 27001 para os artigos de segurança do GDPR, quase tudo está coberto: um SGSI oferece medidas de segurança baseadas em risco, gestão de incidentes que pode alimentar a notificação de violações, controles sobre fornecedores que atuam como operadores e responsabilidades documentadas. A exceção é a posição do encarregado da proteção de dados (Artigo 38), que a ISO não aborda.
Partindo do GDPR para a ISO 27001, a maior parte do Anexo A está mapeada ou vagamente relacionada, mas o GDPR não exige um sistema de gestão, por isso as cláusulas do SGSI, a segurança física e alguns controles técnicos (dispositivos de endpoint, capacidade e registros de logs) aparecem como sem mapeamento. O GDPR também exige muito que está fora do escopo aqui, como base legal, transparência e direitos dos titulares; a ISO/IEC 27701 estende um SGSI para abranger a gestão de privacidade.
Principais conclusões
- A ISO 27001 é uma forte evidência para o Artigo 32 do GDPR, mas não para a conformidade com o GDPR como um todo.
- Inclua procedimentos de notificação de violações (72 horas à autoridade de controle) no seu processo de incidentes.
- Para a gestão de privacidade, considere a ISO/IEC 27701 como complemento ao SGSI.
Descarregar esta comparação (CSV) Abrir em análise de lacunas →
Tem ISO 27001 → precisa de GDPR
13 req. 12 mapeados · · 1 sem mapeamento Abrir na visão de lacunas →Dos 13 requisitos de GDPR, 12 mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados.
O RGPD é uma lei de privacidade: apenas os seus artigos relacionados com segurança são mapeados aqui, e todos os mapeamentos são editoriais.
Provável trabalho novo: requisitos de GDPR sem mapeamento para ISO 27001 (1)
| GDPR | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| Requirements · 1 | ||||
| Art.38 | Position of the data protection officer | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
Mapeado (12)
| GDPR | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| Requirements · 12 | ||||
| Art.5 | Principles relating to processing of personal data | Editorial | A.5.14A.8.10A.8.11+3 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| Art.24 | Responsibility of the controller | Editorial | Clause 6.1.1Clause 6.1.3A.5.37+1 | Mesmo tópico: Gestão de Riscos, Política de governança (escolha do editor) |
| Art.25 | Data protection by design and by default | Editorial | A.8.25A.8.26A.8.28+5 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| Art.28 | Processor | Editorial | A.5.19A.5.20A.5.21+2 | Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores (escolha do editor) |
| Art.29 | Processing under the authority of the controller or processor | Editorial | A.6.1A.6.4A.8.16 | Mesmo tópico: Ameaça interna (escolha do editor) |
| Art.30 | Records of processing activities | Editorial | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| Art.32 | Security of processing | Editorial | A.8.24A.5.16A.5.18+6 | Mesmo tópico: Criptografia, Controle de acesso (escolha do editor) |
| Art.33 | Notification of a personal data breach to the supervisory authority | Editorial | A.5.5A.5.24A.5.25+2 | Mesmo tópico: Notificação, Resposta a Incidentes (escolha do editor) |
| Art.34 | Communication of a personal data breach to the data subject | Editorial | A.5.5A.5.26A.6.8+2 | Mesmo tópico: Notificação, Comunicação e restauração (escolha do editor) |
| Art.35 | Data protection impact assessment | Editorial | Clause 6.1.2Clause 6.1.3 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| Art.37 | Designation of the data protection officer | Editorial | A.5.2A.5.4 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| Art.39 | Tasks of the data protection officer | Editorial | A.5.2A.5.4A.6.3+1 | Mesmo tópico: Funções e responsabilidades, Conscientização e treinamento (escolha do editor) |
Tem GDPR → precisa de ISO 27001
123 req. 47 mapeados · · 29 sem mapeamento Abrir na visão de lacunas →Dos 123 requisitos de ISO/IEC 27001:2022, 47 mapeiam para algo em GDPR, 47 são apenas vagamente relacionados e 29 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de ISO 27001 sem mapeamento para GDPR (29)
| ISO 27001 | Requisito | Correspondência | GDPR | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 2 | ||||
| A.5.6 | Contact with special interest groups | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.5.35 | Independent review of information security | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7.2 | Physical entry | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7.3 | Securing offices, rooms and facilities | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7.5 | Protecting against physical and environmental threats | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7.6 | Working in secure areas | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7.8 | Equipment siting and protection | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7.11 | Supporting utilities | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.7.12 | Cabling security | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.8 Technological controls · 3 | ||||
| A.8.1 | User endpoint devices | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.8.6 | Capacity management | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| A.8.15 | Logging | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| ISMS clauses 4–10 · 16 | ||||
| Clause 4.1 | Understanding the organization and its context | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 4.3 | Determining the scope of the ISMS | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 4.4 | Information security management system | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 5.1 | Leadership and commitment | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 6.3 | Planning of changes | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 7.5.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 7.5.2 | Creating and updating | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 7.5.3 | Control of documented information | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 8.2 | Information security risk assessment | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 8.3 | Information security risk treatment | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 9.2.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 9.2.2 | Internal audit programme | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 10.1 | Continual improvement | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
| Clause 10.2 | Nonconformity and corrective action | Sem mapeamento em nossos dados | — | Sem mapeamento para GDPR em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (47)
| ISO 27001 | Requisito | Correspondência | GDPR | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 12 | ||||
| A.5.3 | Segregation of duties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.5.7 | Threat intelligence | Art.35(1)Art.35(7) | Compartilha apenas CSF ID.RA-03, ID.RA-05, ID.RA-06: relacionado, não um mapeamento | |
| A.5.8 | Information security in project management | Art.30(1) | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| A.5.10 | Acceptable use of information and other associated assets | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.5.12 | Classification of information | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Compartilha apenas CSF PR.DS-01, ID.AM-08: relacionado, não um mapeamento | |
| A.5.13 | Labelling of information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.5.17 | Authentication information | Art.25(2)Art.32(1)(b) | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| A.5.27 | Learning from information security incidents | Art.33(1)Art.33(5) | Compartilha apenas CSF ID.IM-04, RS.MA-01, RS.MA-02: relacionado, não um mapeamento | |
| A.5.28 | Collection of evidence | Art.33(1)Art.33(5)Art.34(1) | Compartilha apenas CSF RS.MA-01, RS.MA-02, RC.CO-03: relacionado, não um mapeamento | |
| A.5.32 | Intellectual property rights | Art.24(2) | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| A.5.33 | Protection of records | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.5.34 | Privacy and protection of PII | Art.24(2) | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.6.5 | Responsibilities after termination or change of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.6.6 | Confidentiality or non-disclosure agreements | Art.29Art.32(4)Art.37(1)+1 | Compartilha apenas CSF GV.RR-04, GV.RR-03: relacionado, não um mapeamento | |
| A.6.7 | Remote working | Art.24(2)Art.25(2)Art.28(1)+3 | Compartilha apenas CSF GV.PO-01, PR.AA-05, PR.PS-01: relacionado, não um mapeamento | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | Art.29Art.32(4) | Compartilha apenas CSF DE.CM-03: relacionado, não um mapeamento | |
| A.7.7 | Clear desk and clear screen | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.7.9 | Security of assets off-premises | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.7.10 | Storage media | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Compartilha apenas CSF PR.DS-01, ID.AM-08: relacionado, não um mapeamento | |
| A.7.13 | Equipment maintenance | Art.30(1) | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| A.8 Technological controls · 19 | ||||
| A.8.2 | Privileged access rights | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Compartilha apenas CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02…: relacionado, não um mapeamento | |
| A.8.4 | Access to source code | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.8.5 | Secure authentication | Art.25(2)Art.32(1)(b) | Compartilha apenas CSF PR.AA-01, PR.AA-05: relacionado, não um mapeamento | |
| A.8.7 | Protection against malware | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.9 | Configuration management | Art.28(1) | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| A.8.12 | Data leakage prevention | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.17 | Clock synchronization | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03: relacionado, não um mapeamento | |
| A.8.18 | Use of privileged utility programs | Art.25(2)Art.32(1)(b) | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| A.8.19 | Installation of software on operational systems | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.20 | Networks security | Art.5(1)(e)Art.5(1)(f)Art.28(1)+3 | Compartilha apenas CSF PR.DS-02, PR.IR-01: relacionado, não um mapeamento | |
| A.8.21 | Security of network services | Art.28(1) | Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento | |
| A.8.22 | Segregation of networks | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.8.23 | Web filtering | Art.28(1) | Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento | |
| A.8.27 | Secure system architecture and engineering principles | Art.32(1)(b)Art.32(1)(c) | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| A.8.30 | Outsourced development | Art.5(2) | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| A.8.31 | Separation of development, test and production environments | Art.25(1) | Compartilha apenas CSF PR.PS-06: relacionado, não um mapeamento | |
| A.8.32 | Change management | Art.5(2) | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| A.8.33 | Test information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.34 | Protection of information systems during audit testing | Art.5(2) | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| ISMS clauses 4–10 · 7 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Compartilha apenas CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10…: relacionado, não um mapeamento | |
| Clause 7.1 | Resources | Art.37(1)Art.39(1) | Compartilha apenas CSF GV.RR-03: relacionado, não um mapeamento | |
| Clause 7.2 | Competence | Art.37(1)Art.39(1) | Compartilha apenas CSF GV.RR-01, GV.RR-02, GV.RR-03: relacionado, não um mapeamento | |
| Clause 8.1 | Operational planning and control | Art.28(1)Art.32(1)(b) | Compartilha apenas CSF GV.SC-01, GV.SC-03, RC.RP-04: relacionado, não um mapeamento | |
| Clause 9.3.1 | General | Art.28(1) | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.2 | Management review inputs | Art.28(1) | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.3 | Management review results | Art.28(1) | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
Mapeado (47)
| ISO 27001 | Requisito | Correspondência | GDPR | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 23 | ||||
| A.5.1 | Policies for information security | Editorial | Art.24(2) | Mesmo tópico: Política de governança (escolha do editor) |
| A.5.2 | Information security roles and responsibilities | Editorial | Art.37(1)Art.39(1) | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| A.5.4 | Management responsibilities | Editorial | Art.37(1)Art.39(1) | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| A.5.5 | Contact with authorities | Editorial | Art.33(1)Art.34(1) | Mesmo tópico: Notificação (escolha do editor) |
| A.5.9 | Inventory of information and other associated assets | Editorial | Art.30(1) | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| A.5.11 | Return of assets | Editorial | Art.30(1) | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| A.5.14 | Information transfer | Editorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Mesmo tópico: Proteção de Dados (escolha do editor) |
| A.5.15 | Access control | Editorial | Art.25(2)Art.32(1)(b) | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.5.16 | Identity management | Editorial | Art.25(2)Art.32(1)(b) | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.5.18 | Access rights | Editorial | Art.25(2)Art.32(1)(b) | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.5.19 | Information security in supplier relationships | Editorial | Art.28(1)Art.28(3) | Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores (escolha do editor) |
| A.5.20 | Addressing information security within supplier agreements | Editorial | Art.28(1)Art.28(3) | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| A.5.21 | Managing information security in the ICT supply chain | Editorial | Art.28(1) | Mesmo tópico: Risco na cadeia de suprimentos (escolha do editor) |
| A.5.22 | Monitoring, review and change management of supplier services | Editorial | Art.28(1)Art.28(3) | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| A.5.23 | Information security for use of cloud services | Editorial | Art.28(1) | Mesmo tópico: Segurança em Nuvem (escolha do editor) |
| A.5.24 | Information security incident management planning and preparation | Editorial | Art.33(1)Art.33(5) | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| A.5.25 | Assessment and decision on information security events | Editorial | Art.33(1)Art.33(5) | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| A.5.26 | Response to information security incidents | Editorial | Art.33(1)Art.33(5)Art.34(1) | Mesmo tópico: Resposta a Incidentes, Comunicação e restauração (escolha do editor) |
| A.5.29 | Information security during disruption | Editorial | Art.32(1)(b)Art.32(1)(c) | Mesmo tópico: Continuidade de Negócios, Planejamento de Recuperação (escolha do editor) |
| A.5.30 | ICT readiness for business continuity | Editorial | Art.32(1)(b)Art.32(1)(c) | Mesmo tópico: Continuidade de Negócios, Planejamento de Recuperação, Recuperação de desastres (escolha do editor) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | Art.5(2) | Mesmo tópico: Conformidade (escolha do editor) |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | Art.5(2) | Mesmo tópico: Conformidade (escolha do editor) |
| A.5.37 | Documented operating procedures | Editorial | Art.24(2) | Mesmo tópico: Política de governança (escolha do editor) |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | Editorial | Art.29Art.32(4) | Mesmo tópico: Ameaça interna (escolha do editor) |
| A.6.3 | Information security awareness, education and training | Editorial | Art.39(1)(b) | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| A.6.4 | Disciplinary process | Editorial | Art.29Art.32(4) | Mesmo tópico: Ameaça interna (escolha do editor) |
| A.6.8 | Information security event reporting | Editorial | Art.33(1)Art.34(1) | Mesmo tópico: Notificação (escolha do editor) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Editorial | Art.30(1) | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| A.8 Technological controls · 12 | ||||
| A.8.3 | Information access restriction | Editorial | Art.25(2)Art.32(1)(b) | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.8.8 | Management of technical vulnerabilities | Editorial | Art.32(1)(d) | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| A.8.10 | Information deletion | Editorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Mesmo tópico: Proteção de Dados (escolha do editor) |
| A.8.11 | Data masking | Editorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Mesmo tópico: Proteção de Dados (escolha do editor) |
| A.8.13 | Information backup | Editorial | Art.32(1)(c) | Mesmo tópico: Backup e recuperação (escolha do editor) |
| A.8.14 | Redundancy of information processing facilities | Editorial | Art.32(1)(b)Art.32(1)(c) | Mesmo tópico: Continuidade de Negócios, Recuperação de desastres (escolha do editor) |
| A.8.16 | Monitoring activities | Editorial | Art.29Art.32(4) | Mesmo tópico: Ameaça interna (escolha do editor) |
| A.8.24 | Use of cryptography | Editorial | Art.32(1)(a)Art.34(3)(a) | Mesmo tópico: Criptografia (escolha do editor) |
| A.8.25 | Secure development life cycle | Editorial | Art.25(1) | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| A.8.26 | Application security requirements | Editorial | Art.25(1) | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| A.8.28 | Secure coding | Editorial | Art.25(1) | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| A.8.29 | Security testing in development and acceptance | Editorial | Art.25(1) | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| ISMS clauses 4–10 · 7 | ||||
| Clause 5.2 | Policy | Editorial | Art.24(2) | Mesmo tópico: Política de governança (escolha do editor) |
| Clause 6.1.1 | General | Editorial | Art.24(1)Art.32(2) | Mesmo tópico: Gestão de Riscos (escolha do editor) |
| Clause 6.1.2 | Information security risk assessment | Editorial | Art.35(1)Art.35(7) | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| Clause 6.1.3 | Information security risk treatment | Editorial | Art.24(1)Art.32(2)Art.35(1)+1 | Mesmo tópico: Gestão de Riscos, Avaliação de riscos (escolha do editor) |
| Clause 7.3 | Awareness | Editorial | Art.39(1)(b) | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| Clause 7.4 | Communication | Editorial | Art.34(1) | Mesmo tópico: Comunicação e restauração (escolha do editor) |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | Art.5(2) | Mesmo tópico: Conformidade (escolha do editor) |
Por tópico
Ambos cobrem (23):
Política de governançaConscientização e treinamentoGestão de RiscosRisco na cadeia de suprimentosFunções e responsabilidadesConformidadeGestão de AtivosAvaliação de riscosGestão de VulnerabilidadesControle de acessoCriptografiaProteção de DadosBackup e recuperaçãoDesenvolvimento SeguroSegurança em NuvemResposta a IncidentesNotificaçãoPlanejamento de RecuperaçãoContinuidade de NegóciosComunicação e restauraçãoRecuperação de desastresAmeaça internaGestão de Risco de Fornecedores
Apenas ISO 27001 (27):
Ambiente de NegóciosClassificação de DadosInteligência de AmeaçasAutenticação multifatorAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança de DNSWAFDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCPerícia forenseComunicaçãoMitigaçãoLições AprendidasSegurança de APIsSegurança Física
Perguntas
A ISO 27001 torna você conforme ao GDPR?
Não. Ela apoia as obrigações de segurança, especialmente o Artigo 32, mas o GDPR também abrange o tratamento lícito, a transparência, os direitos dos titulares e muito mais.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.