Guia · ISO/IEC 27001:2022

Como obter a certificação ISO 27001

Por Paul Gillet · Atualizado em 2026-10-17

A ISO/IEC 27001 é a norma internacional para um sistema de gestão de segurança da informação (SGSI): a forma como uma organização decide quais riscos de segurança são relevantes, os trata e melhora continuamente. Diferentemente da SOC 2, ela culmina em um certificado, emitido por um organismo de certificação acreditado e válido por três anos, com auditorias de manutenção entre um ciclo e outro.

O que a norma exige

Cláusulas 4–10 são obrigatórias: contexto e escopo (4), liderança e política (5), avaliação de riscos, tratamento de riscos e objetivos (6), recursos, competência, conscientização, comunicação e informação documentada (7), operação do plano (8), monitoramento, auditoria interna e análise crítica pela direção (9), e ação corretiva e melhoria (10).
Anexo A lista 93 controles em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. Eles são um conjunto de referência, não uma lista de verificação: você seleciona controles por meio do tratamento de riscos e justifica cada inclusão e exclusão na Declaração de Aplicabilidade (SoA).

A edição atual é a ISO/IEC 27001:2022 (com uma emenda de 2024 que acrescenta mudança climática aos requisitos de contexto). A transição da edição de 2013 terminou em 31 de outubro de 2025, portanto todo certificado válido está agora na edição de 2022.

As etapas

Definir o escopo (4.3): quais partes da organização, quais localidades e quais serviços. Os clientes leem o escopo no seu certificado, então certifique-se de que ele cubra o que eles contratam.
Obter o comprometimento da liderança (5): uma política de segurança da informação, papéis e responsabilidades atribuídos e recursos.
Definir um método de avaliação de riscos e executá-lo (6.1.2): identificar riscos à confidencialidade, integridade e disponibilidade, com responsáveis, probabilidade e impacto.
Tratar os riscos (6.1.3): selecionar controles, compará-los com o Anexo A e redigir a SoA e um plano de tratamento de riscos aprovado pelos responsáveis pelos riscos.
Definir objetivos de segurança mensuráveis (6.2) e planejar como alcançá-los.
Implementar e operar (7–8): políticas, procedimentos, treinamento e conscientização, controles e as evidências documentadas de que eles estão em funcionamento.
Medir e analisar (9): monitorar o SGSI, conduzir uma auditoria interna realizada por alguém independente do trabalho auditado e realizar uma análise crítica pela direção.
Corrigir o que for encontrado (10): registrar não conformidades e ações corretivas.
Auditoria de Estágio 1: o organismo de certificação analisa sua documentação e seu nível de preparação.
Auditoria de Estágio 2: o organismo de certificação verifica se o SGSI funciona na prática. Não conformidades maiores devem ser encerradas antes da emissão do certificado.

Escolhendo um organismo de certificação

Utilize um organismo acreditado para a ISO/IEC 27001 por um organismo nacional de acreditação membro do International Accreditation Forum (por exemplo, UKAS, ANAB, DAkkS ou JAS-ANZ), e verifique se a acreditação cobre o seu escopo. Certificados emitidos por organismos não acreditados costumam ser mais baratos, mas frequentemente são rejeitados pelos clientes.

Cronograma típico

Muitas pequenas e médias organizações levam de seis a doze meses do início até o certificado. O SGSI precisa funcionar por tempo suficiente para gerar registros reais antes do Estágio 2: pelo menos uma auditoria interna, uma análise crítica pela direção e evidências de que os controles funcionam. Após a certificação, espere auditorias de manutenção nos primeiros e segundos anos e uma auditoria de recertificação no terceiro ano.

Evidências que os auditores procuram

o escopo, a política de segurança e os objetivos, com medições;
o método de avaliação de riscos, o registro de riscos e o plano de tratamento de riscos;
a Declaração de Aplicabilidade, com justificativas;
registros de competência e treinamento;
relatórios de auditoria interna e atas de análise crítica pela direção;
registros de não conformidades e ações corretivas;
registros operacionais dos controles selecionados: revisões de acesso, registros de mudanças, avaliações de fornecedores, registros de incidentes, backups.

Armadilhas comuns

Avaliações de risco baseadas em modelos: os auditores perguntam como seus riscos foram identificados e por que cada controle foi escolhido. Uma lista genérica sem responsáveis não passa nesse teste.
Exclusões injustificadas na SoA: excluir um controle exige um motivo ligado aos seus riscos ou ao escopo.
Independência da auditoria interna: quem construiu o SGSI não deve auditar o próprio trabalho.
Escopo restrito demais para ser útil: um certificado que cobre um único escritório não atenderá a um cliente que contrata o seu serviço em nuvem.

Como este site ajuda

A ControlMapping lista todos os controles do Anexo A e as cláusulas do SGSI com seus equivalentes em outros dez frameworks. As correspondências do Anexo A com o NIST CSF 2.0 e o SP 800-53 provêm de correspondências publicadas; o texto dos controles é protegido por direitos autorais da ISO, por isso mostramos apenas os títulos. Se você já segue a SOC 2, a NIST ou a NIS2, a tabela abaixo e a análise de lacunas mostram o que pode ser aproveitado. O sistema de gestão das cláusulas 4–10 costuma ser a parte mais nova e mais trabalhosa.

Já tem outro framework?

Quantos requisitos de ISO 27001 que já pode seguir correspondem a cada framework. Abra um relatório de lacunas para a lista requisito a requisito.

Quanto de ISO 27001 é coberto por outros frameworks
Se você já tem	ISO 27001 requisitos mapeados	Apenas vagamente relacionado	Sem mapeamento
800-53	121 de 123	1	1	relatório de lacunas → · comparação
NIS2	104 de 123	13	6	relatório de lacunas → · comparação
SOC 2	98 de 123	21	4	relatório de lacunas → · comparação
NIST CSF 2.0	79 de 123	34	10	relatório de lacunas → · comparação
PCI DSS	76 de 123	37	10	relatório de lacunas → · comparação
DORA	70 de 123	36	17	relatório de lacunas →
CMMC	65 de 123	41	17	relatório de lacunas →
HIPAA	58 de 123	46	19	relatório de lacunas → · comparação
CIS v8.1	53 de 123	38	32	relatório de lacunas → · comparação
GDPR	47 de 123	47	29	relatório de lacunas → · comparação
CPS 234	35 de 123	40	48	relatório de lacunas →
Essential Eight	23 de 123	39	61	relatório de lacunas → · comparação
Cyber Essentials	20 de 123	19	84	relatório de lacunas →

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. As contagens provêm dos mesmos dados que o análise de lacunas; um mapeamento significa requisitos relacionados, não prova que um satisfaz o outro.

Perguntas

Por quanto tempo um certificado ISO 27001 é válido?

Três anos, desde que as auditorias anuais de manutenção sejam aprovadas. Uma auditoria de recertificação é necessária antes do vencimento.

Precisamos implementar todos os 93 controles do Anexo A?

Não. Você seleciona os controles por meio do tratamento de riscos e justifica cada inclusão e exclusão na Declaração de Aplicabilidade.

A ISO 27001 ou a SOC 2 é melhor?

Nenhuma é melhor; os clientes pedem coisas diferentes. A ISO 27001 é um certificado reconhecido internacionalmente; a SOC 2 é um relatório de atestação no estilo americano. Veja ISO 27001 vs SOC 2.

Análise de lacunas → ISO 27001 Todos os requisitos do ISO 27001

Não é aconselhamento jurídico ou de conformidade. Verifique o texto oficial e seu auditor, avaliador ou regulador antes de se basear nele.