Framework
ISO/IEC 27001:2022
O que é
A norma internacional para um sistema de gestão de segurança da informação (SGSI). As cláusulas 4 a 10 são requisitos obrigatórios de sistema de gestão; o Anexo A lista 93 controles de referência, selecionados por meio do tratamento de riscos e justificados em uma Declaração de Aplicabilidade.
Quem precisa
Organizações que precisam de comprovação de segurança reconhecida internacionalmente: comum em empresas de software e serviços que vendem para grandes empresas e para o setor público, especialmente fora dos EUA.
Como é avaliado
Um organismo de certificação acreditado conduz uma auditoria de Estágio 1 (documentação) e uma de Estágio 2 (implementação). O certificado tem validade de três anos, com auditorias de acompanhamento nos anos um e dois. Veja como obter a certificação.
Leia o guia: Como obter a certificação ISO 27001 →
123
Controlos do Anexo A e cláusulas do SGSI
123
Mapeado para outro framework
100%
Tópicos cobertos (50/50)
Contagens: cláusulas contadas no seu nível mais baixo (6.1.1–6.1.3, não 6.1).
Comparações
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
Requisitos
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
| ID | Requisito | Tópicos | Mapeado em |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | Política de governança | 9 de 13 |
| A.5.2 | Information security roles and responsibilities | Funções e responsabilidades | 9 de 13 |
| A.5.3 | Segregation of duties | — | 3 de 13 |
| A.5.4 | Management responsibilities | Funções e responsabilidades | 9 de 13 |
| A.5.5 | Contact with authorities | Notificação | 12 de 13 |
| A.5.6 | Contact with special interest groups | Comunicação | 8 de 13 |
| A.5.7 | Threat intelligence | Inteligência de Ameaças | 7 de 13 |
| A.5.8 | Information security in project management | — | 1 de 13 |
| A.5.9 | Inventory of information and other associated assets | Gestão de Ativos | 13 de 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 de 13 |
| A.5.11 | Return of assets | Gestão de Ativos | 13 de 13 |
| A.5.12 | Classification of information | Classificação de Dados | 9 de 13 |
| A.5.13 | Labelling of information | Classificação de Dados | 9 de 13 |
| A.5.14 | Information transfer | Proteção de Dados, Segurança de e-mail | 12 de 13 |
| A.5.15 | Access control | Controle de acesso, Confiança Zero | 11 de 13 |
| A.5.16 | Identity management | Controle de acesso | 11 de 13 |
| A.5.17 | Authentication information | — | 2 de 13 |
| A.5.18 | Access rights | Controle de acesso | 11 de 13 |
| A.5.19 | Information security in supplier relationships | Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores | 10 de 13 |
| A.5.20 | Addressing information security within supplier agreements | Gestão de Risco de Fornecedores | 10 de 13 |
| A.5.21 | Managing information security in the ICT supply chain | Risco na cadeia de suprimentos | 9 de 13 |
| A.5.22 | Monitoring, review and change management of supplier services | Gestão de Risco de Fornecedores | 10 de 13 |
| A.5.23 | Information security for use of cloud services | Segurança em Nuvem | 11 de 13 |
| A.5.24 | Information security incident management planning and preparation | Resposta a Incidentes | 12 de 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, Resposta a Incidentes | 12 de 13 |
| A.5.26 | Response to information security incidents | Resposta a Incidentes, Mitigação, Comunicação e restauração | 12 de 13 |
| A.5.27 | Learning from information security incidents | Lições Aprendidas | 9 de 13 |
| A.5.28 | Collection of evidence | Perícia forense | 7 de 13 |
| A.5.29 | Information security during disruption | Planejamento de Recuperação, Continuidade de Negócios | 9 de 13 |
| A.5.30 | ICT readiness for business continuity | Planejamento de Recuperação, Continuidade de Negócios, Recuperação de desastres | 10 de 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Conformidade | 10 de 13 |
| A.5.32 | Intellectual property rights | — | 2 de 13 |
| A.5.33 | Protection of records | — | 2 de 13 |
| A.5.34 | Privacy and protection of PII | — | 2 de 13 |
| A.5.35 | Independent review of information security | — | 3 de 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | Conformidade | 10 de 13 |
| A.5.37 | Documented operating procedures | Política de governança | 9 de 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | Ameaça interna | 9 de 13 |
| A.6.2 | Terms and conditions of employment | — | 2 de 13 |
| A.6.3 | Information security awareness, education and training | Conscientização e treinamento | 10 de 13 |
| A.6.4 | Disciplinary process | Ameaça interna | 9 de 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 de 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 de 13 |
| A.6.7 | Remote working | Segurança Móvel | 7 de 13 |
| A.6.8 | Information security event reporting | Notificação | 12 de 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | Segurança Física | 8 de 13 |
| A.7.2 | Physical entry | Segurança Física | 8 de 13 |
| A.7.3 | Securing offices, rooms and facilities | Segurança Física | 8 de 13 |
| A.7.4 | Physical security monitoring | Segurança Física | 8 de 13 |
| A.7.5 | Protecting against physical and environmental threats | Segurança Física | 8 de 13 |
| A.7.6 | Working in secure areas | Segurança Física | 8 de 13 |
| A.7.7 | Clear desk and clear screen | — | 2 de 13 |
| A.7.8 | Equipment siting and protection | Segurança Física | 8 de 13 |
| A.7.9 | Security of assets off-premises | — | 1 de 13 |
| A.7.10 | Storage media | — | 2 de 13 |
| A.7.11 | Supporting utilities | Segurança Física | 8 de 13 |
| A.7.12 | Cabling security | Segurança Física | 8 de 13 |
| A.7.13 | Equipment maintenance | — | 2 de 13 |
| A.7.14 | Secure disposal or re-use of equipment | Gestão de Ativos | 13 de 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | Proteção de endpoints, Segurança Móvel | 10 de 13 |
| A.8.2 | Privileged access rights | Acesso privilegiado | 10 de 13 |
| A.8.3 | Information access restriction | Controle de acesso | 11 de 13 |
| A.8.4 | Access to source code | — | 1 de 13 |
| A.8.5 | Secure authentication | Autenticação multifator, Confiança Zero, Segurança de APIs | 10 de 13 |
| A.8.6 | Capacity management | — | 2 de 13 |
| A.8.7 | Protection against malware | Proteção de endpoints | 10 de 13 |
| A.8.8 | Management of technical vulnerabilities | Gestão de Vulnerabilidades, Gestão de Patches | 13 de 13 |
| A.8.9 | Configuration management | Configuração Segura | 9 de 13 |
| A.8.10 | Information deletion | Proteção de Dados | 11 de 13 |
| A.8.11 | Data masking | Proteção de Dados | 11 de 13 |
| A.8.12 | Data leakage prevention | DLP | 7 de 13 |
| A.8.13 | Information backup | Backup e recuperação | 11 de 13 |
| A.8.14 | Redundancy of information processing facilities | Continuidade de Negócios, Recuperação de desastres | 10 de 13 |
| A.8.15 | Logging | Registro e Auditoria | 10 de 13 |
| A.8.16 | Monitoring activities | Monit. contínuo, Detecção de intrusão, Detecção de Anomalias, SIEM / SOC, Ameaça interna | 12 de 13 |
| A.8.17 | Clock synchronization | Registro e Auditoria | 10 de 13 |
| A.8.18 | Use of privileged utility programs | Acesso privilegiado | 10 de 13 |
| A.8.19 | Installation of software on operational systems | Proteção de endpoints | 10 de 13 |
| A.8.20 | Networks security | Firewall / Segmentação de rede, Segurança de DNS, WAF | 9 de 13 |
| A.8.21 | Security of network services | Firewall / Segmentação de rede, Segurança de DNS | 9 de 13 |
| A.8.22 | Segregation of networks | Firewall / Segmentação de rede, Confiança Zero | 9 de 13 |
| A.8.23 | Web filtering | — | 1 de 13 |
| A.8.24 | Use of cryptography | Criptografia | 10 de 13 |
| A.8.25 | Secure development life cycle | Desenvolvimento Seguro | 8 de 13 |
| A.8.26 | Application security requirements | Desenvolvimento Seguro, Segurança Web, Segurança de APIs | 8 de 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 de 13 |
| A.8.28 | Secure coding | Desenvolvimento Seguro | 8 de 13 |
| A.8.29 | Security testing in development and acceptance | Desenvolvimento Seguro | 8 de 13 |
| A.8.30 | Outsourced development | — | 2 de 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 de 13 |
| A.8.32 | Change management | — | 4 de 13 |
| A.8.33 | Test information | — | 2 de 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 de 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | Ambiente de Negócios | 5 de 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Ambiente de Negócios | 5 de 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 de 13 |
| Clause 4.4 | Information security management system | — | 1 de 13 |
| Clause 5.1 | Leadership and commitment | — | 2 de 13 |
| Clause 5.2 | Policy | Política de governança | 9 de 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 de 13 |
| Clause 6.1.1 | General | Gestão de Riscos | 10 de 13 |
| Clause 6.1.2 | Information security risk assessment | Avaliação de riscos | 10 de 13 |
| Clause 6.1.3 | Information security risk treatment | Gestão de Riscos, Avaliação de riscos | 10 de 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 de 13 |
| Clause 6.3 | Planning of changes | — | 2 de 13 |
| Clause 7.1 | Resources | — | 2 de 13 |
| Clause 7.2 | Competence | — | 3 de 13 |
| Clause 7.3 | Awareness | Conscientização e treinamento | 10 de 13 |
| Clause 7.4 | Communication | Comunicação, Comunicação e restauração | 9 de 13 |
| Clause 7.5.1 | General | — | 1 de 13 |
| Clause 7.5.2 | Creating and updating | — | 1 de 13 |
| Clause 7.5.3 | Control of documented information | — | 1 de 13 |
| Clause 8.1 | Operational planning and control | — | 2 de 13 |
| Clause 8.2 | Information security risk assessment | — | 4 de 13 |
| Clause 8.3 | Information security risk treatment | — | 4 de 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Conformidade | 10 de 13 |
| Clause 9.2.1 | General | — | 1 de 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 de 13 |
| Clause 9.3.1 | General | — | 1 de 13 |
| Clause 9.3.2 | Management review inputs | — | 1 de 13 |
| Clause 9.3.3 | Management review results | — | 1 de 13 |
| Clause 10.1 | Continual improvement | Lições Aprendidas | 9 de 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 de 13 |
Cobertura do tópico
Tópicos com requisitos mapeados de ISO 27001 (50):
Política de governançaConscientização e treinamentoGestão de RiscosRisco na cadeia de suprimentosFunções e responsabilidadesConformidadeGestão de AtivosAvaliação de riscosAmbiente de NegóciosClassificação de DadosGestão de VulnerabilidadesInteligência de AmeaçasControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança em NuvemSegurança de DNSWAFDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesPerícia forenseComunicaçãoMitigaçãoNotificaçãoPlanejamento de RecuperaçãoContinuidade de NegóciosLições AprendidasComunicação e restauraçãoRecuperação de desastresSegurança de APIsAmeaça internaGestão de Risco de FornecedoresSegurança Física