Políticas de segurança da informação
Ter uma política de segurança escrita, aprovada pela direção e conhecida por quem precisa segui-la.
Evidência típica: Documento vigente com data, responsável e prova de que foi comunicado.
ISO/IEC 27001:2022 · Anexo A
Os 93 controles do Anexo A, em português claro
O que cada controle pede na prática e que evidência costuma satisfazer o auditor. Sem decoreba e sem citar o texto da norma, que por si só raramente ajuda alguém a implementar.
Controles organizacionais
A.5 · 37 controlesPapéis e responsabilidades pela segurança da informação
Dizer quem responde por cada parte da segurança, com nome, não com área.
Evidência típica: Matriz de papéis ou organograma com responsabilidades atribuídas.
Segregação de funções
Separar funções conflitantes para que a mesma pessoa não crie e aprove a própria mudança.
Evidência típica: Matriz de segregação e perfis de acesso que a reflitam.
Responsabilidades da direção
A direção cobrar de fato o cumprimento das regras de segurança.
Evidência típica: Comunicações da liderança, atas e ações tomadas em caso de descumprimento.
Contato com autoridades
Saber com quem falar em órgãos públicos antes de precisar.
Evidência típica: Lista de contatos de autoridades, incluindo ANPD e CERT.
Contato com grupos especiais
Manter contato com grupos e fóruns especializados para não descobrir ameaça pelo jornal.
Evidência típica: Assinaturas, participações ou associações registradas.
Inteligência de ameaças
Coletar e analisar informação sobre ameaças e transformar isso em decisão.
Evidência típica: Fontes de threat intel e registro de como alimentaram alguma ação.
Segurança da informação na gestão de projetos
Tratar segurança dentro dos projetos, e não como revisão no final.
Evidência típica: Checklist ou gate de segurança no fluxo de projeto.
Inventário de informações e de outros ativos associados
Ter inventário de informações e ativos, com dono definido.
Evidência típica: Inventário atualizado com responsável por item.
Uso aceitável da informação e de outros ativos associados
Definir e comunicar o que é uso aceitável dos ativos e da informação.
Evidência típica: Política de uso aceitável com aceite registrado.
Devolução de ativos
Garantir a devolução de ativos quando alguém sai ou muda de função.
Evidência típica: Checklist de desligamento com baixa no inventário.
Classificação da informação
Classificar a informação por criticidade, para saber o que proteger mais.
Evidência típica: Esquema de classificação e exemplos aplicados.
Rotulagem da informação
Rotular a informação conforme a classificação adotada.
Evidência típica: Procedimento de rotulagem e amostras de documentos rotulados.
Transferência de informação
Definir regras para transferir informação dentro e fora da empresa.
Evidência típica: Regras de transferência e controles técnicos correspondentes.
Controle de acesso
Estabelecer regras de acesso físico e lógico com base na necessidade real.
Evidência típica: Política de acesso e perfis que a implementem.
Gestão de identidade
Gerenciar identidades ao longo de todo o ciclo de vida.
Evidência típica: Processo de criação, alteração e remoção de identidade.
Informação de autenticação
Controlar como senhas, chaves e outros segredos são criados e entregues.
Evidência típica: Política de autenticação e cofre de segredos.
Direitos de acesso
Conceder, revisar e revogar direitos de acesso de forma controlada.
Evidência típica: Revisões periódicas de acesso com evidência de execução.
Segurança da informação nas relações com fornecedores
Tratar risco de segurança na relação com fornecedores.
Evidência típica: Processo de avaliação de fornecedor antes da contratação.
Tratamento da segurança da informação nos acordos com fornecedores
Colocar os requisitos de segurança no contrato, não só na conversa.
Evidência típica: Cláusulas contratuais de segurança e confidencialidade.
Gestão da segurança da informação na cadeia de fornecimento de TIC
Gerenciar risco na cadeia de fornecimento de TIC, incluindo subcontratados.
Evidência típica: Requisitos repassados na cadeia e verificação de cumprimento.
Monitoramento, análise crítica e gestão de mudanças dos serviços de fornecedores
Acompanhar e revisar os serviços do fornecedor ao longo do contrato.
Evidência típica: Relatórios de serviço, SLAs revisados e registro de reuniões.
Segurança da informação para uso de serviços em nuvem
Tratar segurança no uso de serviços em nuvem, da contratação à saída.
Evidência típica: Critérios de seleção, configuração e plano de saída da nuvem.
Planejamento e preparação da gestão de incidentes de segurança da informação
Planejar como a empresa responde a incidente antes que ele aconteça.
Evidência típica: Plano de resposta com papéis, acionamento e canais.
Avaliação e decisão sobre eventos de segurança da informação
Avaliar eventos para decidir o que é incidente de fato.
Evidência típica: Critérios de triagem e registros de classificação.
Resposta a incidentes de segurança da informação
Responder a incidentes seguindo o que foi planejado.
Evidência típica: Registros de incidentes com ações e prazos.
Aprendizado com os incidentes de segurança da informação
Aprender com os incidentes e mudar alguma coisa por causa disso.
Evidência típica: Lições aprendidas com ação corretiva vinculada.
Coleta de evidências
Coletar evidência de forma que ela sirva depois, inclusive juridicamente.
Evidência típica: Procedimento de coleta e cadeia de custódia.
Segurança da informação durante a disrupção
Manter a segurança funcionando durante uma crise ou interrupção.
Evidência típica: Plano de continuidade que trate de segurança, não só de disponibilidade.
Prontidão de TIC para a continuidade de negócios
Preparar a TI para se recuperar dentro do prazo que o negócio aceita.
Evidência típica: Plano de recuperação com RTO acordado e teste realizado.
Requisitos legais, estatutários, regulamentares e contratuais
Saber quais leis, regulamentos e contratos se aplicam e o que exigem.
Evidência típica: Inventário de requisitos legais e contratuais aplicáveis.
Direitos de propriedade intelectual
Respeitar propriedade intelectual, inclusive de software.
Evidência típica: Controle de licenças e política de uso de software.
Proteção de registros
Proteger registros contra perda, alteração e acesso indevido.
Evidência típica: Regras de retenção e proteção dos registros.
Privacidade e proteção de DP
Cumprir as exigências de privacidade e proteção de dados pessoais.
Evidência típica: ROPA, bases legais e controles de privacidade em operação.
Análise crítica independente da segurança da informação
Mandar alguém independente revisar a segurança periodicamente.
Evidência típica: Relatórios de auditoria interna ou revisão independente.
Conformidade com políticas, regras e normas de segurança da informação
Verificar se as próprias políticas estão sendo cumpridas na prática.
Evidência típica: Verificações de conformidade com resultado registrado.
Procedimentos operacionais documentados
Documentar os procedimentos operacionais para não depender de memória.
Evidência típica: Procedimentos escritos, acessíveis e atualizados.
Controles pessoas
A.6 · 8 controlesSeleção
Verificar antecedentes antes de contratar, na medida do que a lei permite.
Evidência típica: Registro de verificação por contratação.
Termos e condições de contratação
Colocar as obrigações de segurança no contrato de trabalho.
Evidência típica: Cláusulas assinadas e termo de confidencialidade.
Conscientização, educação e treinamento em segurança da informação
Treinar e conscientizar as pessoas de forma adequada ao papel de cada uma.
Evidência típica: Registro de treinamento por pessoa, com conteúdo e data.
Processo disciplinar
Ter processo disciplinar conhecido para quando alguém violar as regras.
Evidência típica: Processo formal comunicado e aplicado quando necessário.
Responsabilidades após o encerramento ou a mudança da contratação
Deixar claro o que continua valendo depois do desligamento.
Evidência típica: Comunicação de obrigações remanescentes no desligamento.
Acordos de confidencialidade ou de não divulgação
Firmar acordos de confidencialidade com quem acessa informação sensível.
Evidência típica: NDAs assinados e revisados periodicamente.
Trabalho remoto
Tratar os riscos específicos do trabalho remoto.
Evidência típica: Política de trabalho remoto e controles no endpoint.
Relato de eventos de segurança da informação
Dar às pessoas um caminho fácil para relatar evento de segurança.
Evidência típica: Canal de reporte divulgado, com registro dos relatos.
Controles físicos
A.7 · 14 controlesPerímetros de segurança física
Definir perímetros físicos para as áreas que precisam de proteção.
Evidência típica: Planta com perímetros e controles em cada um.
Entrada física
Controlar quem entra nas áreas restritas.
Evidência típica: Registros de entrada e autorização de acesso físico.
Segurança de escritórios, salas e instalações
Proteger escritórios, salas e instalações conforme o risco.
Evidência típica: Controles físicos proporcionais à criticidade da área.
Monitoramento de segurança física
Monitorar fisicamente as áreas críticas.
Evidência típica: CFTV, alarme ou vigilância com registro.
Proteção contra ameaças físicas e ambientais
Proteger contra ameaças do ambiente, como incêndio, água e falta de energia.
Evidência típica: Detecção, combate e redundância adequados ao local.
Trabalho em áreas seguras
Definir como trabalhar dentro de áreas seguras.
Evidência típica: Regras de trabalho em área segura comunicadas.
Mesa limpa e tela limpa
Manter mesa e tela limpas de informação sensível.
Evidência típica: Política de mesa e tela limpa com verificação.
Localização e proteção de equipamentos
Instalar e posicionar equipamentos de forma a reduzir risco.
Evidência típica: Critérios de instalação e proteção de equipamento.
Segurança de ativos fora das instalações
Proteger ativos que ficam fora das instalações.
Evidência típica: Regras para equipamento em campo e em casa.
Mídia de armazenamento
Gerenciar mídias removíveis durante todo o ciclo de vida.
Evidência típica: Controle de mídia e registro de descarte.
Serviços de infraestrutura
Proteger os serviços de infraestrutura de que os sistemas dependem.
Evidência típica: Redundância e manutenção de energia, refrigeração e rede.
Segurança do cabeamento
Proteger o cabeamento contra dano e interceptação.
Evidência típica: Cabeamento protegido e segregado quando necessário.
Manutenção de equipamentos
Fazer manutenção nos equipamentos para que continuem confiáveis.
Evidência típica: Plano e registros de manutenção.
Descarte seguro ou reutilização de equipamentos
Descartar ou reaproveitar equipamento sem deixar dado para trás.
Evidência típica: Procedimento de sanitização com evidência por item.
Controles tecnológicos
A.8 · 34 controlesDispositivos de endpoint de usuário
Proteger os dispositivos que as pessoas usam para trabalhar.
Evidência típica: Gestão de endpoint com política aplicada.
Direitos de acesso privilegiado
Restringir e controlar de perto os acessos privilegiados.
Evidência típica: Inventário de contas privilegiadas e revisão frequente.
Restrição de acesso à informação
Limitar o acesso à informação ao que cada função precisa.
Evidência típica: Perfis de acesso por função, com negação por padrão.
Acesso ao código-fonte
Controlar quem pode acessar e alterar código-fonte.
Evidência típica: Permissões no repositório e revisão obrigatória.
Autenticação segura
Exigir autenticação forte proporcional ao risco do acesso.
Evidência típica: MFA habilitado, com exceções documentadas e justificadas.
Gestão de capacidade
Acompanhar e planejar capacidade para não faltar recurso.
Evidência típica: Monitoramento de capacidade com projeção.
Proteção contra malware
Proteger os sistemas contra código malicioso.
Evidência típica: Proteção ativa, atualizada e monitorada.
Gestão de vulnerabilidades técnicas
Conhecer as vulnerabilidades técnicas e corrigi-las em prazo definido.
Evidência típica: Varredura periódica e SLA de correção por severidade.
Gestão de configuração
Manter configurações seguras e padronizadas.
Evidência típica: Baseline de configuração e verificação de desvio.
Exclusão de informação
Apagar informação quando ela não for mais necessária.
Evidência típica: Regras de retenção com exclusão comprovada.
Mascaramento de dados
Mascarar dado sensível quando o uso não exigir o dado real.
Evidência típica: Mascaramento aplicado em ambientes não produtivos.
Prevenção de vazamento de dados
Prevenir vazamento de informação para fora do controle da empresa.
Evidência típica: Controles de DLP ou equivalentes, com monitoramento.
Backup das informações
Fazer backup e provar que ele restaura.
Evidência típica: Rotina de backup com teste de restauração registrado.
Redundância dos recursos de processamento da informação
Garantir redundância suficiente para a disponibilidade exigida.
Evidência típica: Arquitetura redundante compatível com o RTO.
Registro de eventos (logging)
Registrar eventos relevantes em log.
Evidência típica: Logs com identificação, data, origem e resultado.
Atividades de monitoramento
Monitorar os sistemas para detectar comportamento anômalo.
Evidência típica: Monitoramento com alertas efetivamente tratados.
Sincronização dos relógios
Manter os relógios sincronizados para que o log faça sentido.
Evidência típica: Fonte de tempo única e verificação de sincronismo.
Uso de programas utilitários privilegiados
Restringir o uso de utilitários que contornam controles.
Evidência típica: Restrição e registro de uso de ferramentas privilegiadas.
Instalação de software em sistemas operacionais
Controlar a instalação de software nos sistemas em operação.
Evidência típica: Processo de instalação com aprovação e registro.
Segurança de redes
Proteger as redes contra acesso e tráfego indevido.
Evidência típica: Controles de rede com regras justificadas.
Segurança dos serviços de rede
Definir e aplicar requisitos de segurança dos serviços de rede.
Evidência típica: Requisitos acordados com o provedor e verificados.
Segregação de redes
Segregar redes para limitar o alcance de um comprometimento.
Evidência típica: Segmentação implementada e testada.
Filtragem da web
Filtrar o acesso a conteúdo externo conforme a política.
Evidência típica: Filtro de conteúdo aplicado e monitorado.
Uso de criptografia
Usar criptografia com regras claras, inclusive para as chaves.
Evidência típica: Política de criptografia e gestão do ciclo de vida das chaves.
Ciclo de vida de desenvolvimento seguro
Desenvolver software seguindo um ciclo de desenvolvimento seguro.
Evidência típica: SDLC documentado com portões de segurança.
Requisitos de segurança de aplicações
Definir os requisitos de segurança da aplicação antes de construí-la.
Evidência típica: Requisitos de segurança registrados por aplicação.
Princípios de arquitetura e engenharia de sistemas seguros
Adotar princípios de arquitetura e engenharia segura.
Evidência típica: Padrões de arquitetura aplicados e revisados.
Codificação segura
Escrever código seguindo práticas seguras de codificação.
Evidência típica: Guia de codificação segura e revisão de código.
Testes de segurança em desenvolvimento e aceitação
Testar segurança durante o desenvolvimento e antes de liberar.
Evidência típica: Testes de segurança com resultado tratado.
Desenvolvimento terceirizado
Supervisionar o desenvolvimento feito por terceiros.
Evidência típica: Requisitos contratuais e verificação do que foi entregue.
Separação dos ambientes de desenvolvimento, teste e produção
Separar os ambientes de desenvolvimento, teste e produção.
Evidência típica: Ambientes segregados, inclusive quanto aos dados.
Gestão de mudanças
Controlar as mudanças que entram em produção.
Evidência típica: Processo de mudança com aprovação e trilha.
Informações de teste
Escolher e proteger os dados usados em teste.
Evidência típica: Dados de teste selecionados e protegidos, sem dado real exposto.
Proteção de sistemas de informação durante os testes de auditoria
Proteger os sistemas durante testes de auditoria.
Evidência típica: Planejamento e acordo prévio para atividades de auditoria.
Nenhum controle corresponde a essa busca.
Saber quais desses 93 você já cumpre
A lista mostra o que a norma pede. O diagnóstico mostra onde a sua empresa está: 24 perguntas, resultado na tela, com score por eixo e estimativa de prazo até a conformidade.
Fazer o diagnóstico de ISO 27001Códigos e títulos são identificadores da ISO/IEC 27001:2022. As explicações e as evidências são texto da Imara, escritos para uso público: o texto normativo da norma não é reproduzido nem traduzido aqui. Esta página é material de apoio e não substitui a leitura da norma nem a avaliação de um organismo de certificação acreditado.
Quer as próximas ferramentas quando saírem?
Publicamos diagnósticos, geradores e listas de referência como estes, sempre abertos e sem cadastro para usar. Se quiser receber os próximos e o que aprendemos montando cada um, deixe seu e-mail.