Blog/Artigos · Governança
O ISMS, a avaliação de risco, a Declaração de Aplicabilidade, os controles do Anexo A e o ciclo que sustenta o certificado, com ISO 27002.
Um selo, na antiguidade, não era enfeite: era a prova de que algo foi verificado por uma autoridade e podia ser confiado. Yechezkel usa o chotam como imagem de perfeição selada. A ISO 27001 é o selo da segurança da informação, e aqui mora o mal-entendido mais caro do mercado: muita empresa quer o selo na parede e esquece que ele só vale enquanto existe um sistema vivo por trás. O certificado não é o objetivo; é a consequência de um ISMS que de fato funciona.
A ISO 27001 não certifica que você tem os controles certos; certifica que você tem um Sistema de Gestão de Segurança da Informação, o ISMS, um processo vivo que identifica riscos, decide tratamentos, implementa, mede e melhora continuamente. A palavra sistema é o coração da norma. Um monte de controles sem o sistema que os governa não passa numa auditoria séria, porque o auditor não pergunta só se o controle existe, pergunta como você decidiu que ele era necessário e como você sabe que continua funcionando.
Por isso o ISMS segue a lógica do ciclo PDCA, comum a todas as normas de gestão ISO: planejar, executar, verificar e agir, para sempre. Segurança não é projeto que termina; é um sistema que respira. O erro fatal é tratar a certificação como um sprint que acaba na auditoria: monta-se tudo às pressas, tira-se o selo, e no ano seguinte o sistema está morto porque ninguém manteve o ciclo girando. O selo continua na parede, mas não vale mais nada.
O que dirige toda a ISO 27001 é a avaliação de risco. Você não implementa um controle porque está na moda ou porque o concorrente tem; implementa porque identificou um risco que o justifica. Cada ativo de informação é analisado quanto a ameaças e vulnerabilidades, cada risco é avaliado por probabilidade e impacto, e então se decide o tratamento: mitigar com um controle, aceitar conscientemente, transferir ou evitar. É a mesma disciplina de risco do NIST CSF, aqui formalizada como requisito.
Essa lógica protege contra os dois erros opostos. Sem risco no centro, a empresa ou gasta em controle que não precisa, virando teatro de segurança caro, ou deixa descoberto o risco real porque ninguém o mapeou. A avaliação de risco é o que torna o programa defensável: diante do auditor e do board, você mostra não uma lista de controles, mas o raciocínio que levou a cada um, e a decisão explícita sobre cada risco que escolheu aceitar.
A avaliação de risco se repete no ciclo. Controle sem risco que o justifique é teatro caro; risco sem controle que o trate é exposição.
O Anexo A da ISO 27001 lista os controles de referência, detalhados na ISO 27002. A revisão de 2022 modernizou e enxugou para 93 controles, organizados em quatro temas: organizacional, pessoas, físico e tecnológico, e incluiu controles atuais como inteligência de ameaças, segurança em nuvem e prevenção de vazamento de dados. O Anexo A é um cardápio de referência, não uma obrigação de implementar tudo.
O documento que amarra isso é a Declaração de Aplicabilidade, a SoA. Para cada um dos 93 controles, você declara se ele se aplica, se está implementado e, crucialmente, justifica a exclusão dos que não usa. A SoA é o coração auditável do sistema: é onde a avaliação de risco encontra os controles, e onde o auditor lê a coerência entre o que você disse que precisava e o que de fato fez. SoA bem feita é o programa inteiro em uma tabela; SoA de fachada é o primeiro lugar onde a auditoria fura.
A certificação ISO 27001 tem valor real de mercado: abre portas comerciais, atende exigência de cliente e de regulador, e sinaliza maturidade. Mas o valor só existe se o sistema for vivo, e é aí que a maioria falha. A auditoria de certificação inicial é seguida por auditorias de manutenção anuais e por recertificação a cada três anos, exatamente para pegar quem tirou o selo e deixou o sistema morrer. O selo que se sustenta é o de quem incorporou a segurança na operação diária.
Na prática, isso conecta a ISO a tudo mais: o risco no centro é o mesmo do NIST CSF, os controles de acesso se implementam com IAM e IGA, a segurança de aplicação vem do SSDLC, e a gestão de incidentes alimenta a melhoria contínua. A ISO 27001 não é uma ilha de compliance; é a moldura que dá coerência e prova a tudo isso. Foi com essa leitura, tratando segurança como propriedade da arquitetura, que operei em ambientes regulados sob ISO 27001, PCI-DSS e LGPD ao mesmo tempo, com um sistema só sustentando as três.
A ISO 27001 é o selo da segurança da informação, mas o selo só vale enquanto o ISMS por trás dele respira: risco no centro dirigindo cada controle, a Declaração de Aplicabilidade amarrando risco a controle de forma auditável, e o ciclo PDCA mantendo tudo vivo entre auditorias. Os 93 controles do Anexo A são o cardápio, não a obrigação. A IA mantém o sistema respirando e a evidência viva, mas incorporar a segurança na operação diária, e não tratá-la como sprint até a auditoria, continua sendo cultura de quem lidera. Certificado na parede sem sistema vivo é fachada que fura.
Gerente de Operações, Tecnologia e Infraestrutura (SRE) numa central de registros. Trabalho com tecnologia desde 2009 e com cibersegurança em tempo integral desde 2015, em infraestrutura crítica, fintech e banking. Escrevo sobre o que eu opero: confiabilidade, segurança, governança e IA que passa por gate antes de chegar em produção.
Governançaמִגְדָּל
Segurança sem governança é heroísmo que não escala. O NIST CSF 2.0 organiza a defesa em seis funções e coloca Govern no centro, virando a ponte entre o técnico e a diretoria.
Governançaסֵתֶר
Dado pessoal não é ativo livre; é algo confiado à sua guarda. A LGPD exige base legal para cada uso, direitos ao titular e privacidade no desenho. Entenda o mapa que evita a multa e o vazamento.
