ISO/IEC 27001 e 27002: como as bancas exploram controles e requisitos

Olá, querido(a) aluno(a)!

Uma instituição pode comprar um bom antivírus, contratar uma solução de monitoramento e ainda não saber quem autoriza acessos, como prioriza riscos ou quem decide durante um incidente. Ter ferramentas não equivale a administrar a segurança. Essa diferença ajuda a compreender a relação entre ISO/IEC 27001 e 27002 e a interpretar questões que misturam requisitos de gestão com medidas de proteção.

Neste artigo, você estudará o papel das duas normas, a seleção de controles, a Declaração de Aplicabilidade e a importância das evidências. Também acompanhará um cenário de uma autarquia e situações de revisão. Os exercícios são autorais, elaborados para explicar distinções conceituais, sem atribuir frequência de cobrança a uma banca específica.

1. O que são ISO/IEC 27001 e 27002?

A ISO/IEC 27001:2022 tem o título oficial Information security, cybersecurity and privacy protection: Information security management systems: Requirements. É a referência de requisitos do Sistema de Gestão de Segurança da Informação, abreviado SGSI. A ISO/IEC 27002:2022, Information security, cybersecurity and privacy protection: Information security controls, orienta a implementação de controles. Ambas são desenvolvidas no âmbito da International Organization for Standardization, ISO, e da International Electrotechnical Commission, IEC. A primeira permite certificação do sistema de gestão; a segunda não é uma norma de certificação organizacional. Referência oficial da ISO/IEC 27001 e referência oficial da ISO/IEC 27002.

Na consulta editorial de 21/10/2026, as edições publicadas de referência são as de 2022. A ISO/IEC 27001 possui a Emenda 1:2024, denominada Climate action changes. Portanto, não é correto trocar automaticamente a designação da edição para “ISO 27001:2024”. A emenda complementa a edição de 2022. Para questões que indiquem expressamente outra edição, a referência pedida no enunciado deve orientar a resposta. Emenda oficial de 2024.

Uma forma didática de separar os objetos é imaginar a segurança de uma biblioteca digital. O sistema de gestão ajuda a decidir quem é responsável pelo serviço, quais informações precisam de proteção e como verificar os resultados. Já uma medida como restringir o acesso administrativo é um controle. O controle existe dentro de uma estrutura de decisões, e não substitui essa estrutura.

2. Para que servem na prática?

O valor prático está em transformar proteção de informações em trabalho coordenado. Um problema de segurança raramente pertence apenas à equipe de redes. Um contrato mal definido pode impedir a recuperação de dados; uma rotina de desligamento incompleta pode deixar contas ativas; um gestor pode aprovar um prazo sem entender a exposição assumida. Cada situação exige atuação de pessoas diferentes.

Esses exemplos não constituem uma lista obrigatória de implementação. Eles mostram como aproximar uma necessidade de proteção de uma ação verificável. O benefício depende do contexto: uma organização pode precisar concentrar esforço na indisponibilidade de serviços essenciais, enquanto outra enfrenta maior exposição ao acesso indevido a documentos sigilosos.

A diferença também importa na compra de tecnologia. Antes de perguntar qual produto adquirir, a equipe deveria conseguir explicar qual resultado precisa alcançar. “Precisamos de uma ferramenta de segurança” é uma formulação insuficiente. “Precisamos identificar alterações não autorizadas no cadastro de beneficiários e investigá-las em tempo adequado” permite discutir processo, responsabilidades, registros, custos e alternativas.

3. Relação com outros padrões e conceitos

A ISO/IEC 27005:2022 oferece orientação para a gestão de riscos de segurança da informação. Ela complementa o trabalho do SGSI, sem transformar uma matriz específica ou um software determinado em obrigação universal. Sua finalidade inclui apoiar a identificação, análise, avaliação e tratamento dos riscos. ISO/IEC 27005:2022.

O Cybersecurity Framework, CSF, do National Institute of Standards and Technology, NIST, organiza sua versão 2.0 nas funções Governar, Identificar, Proteger, Detectar, Responder e Recuperar. É uma referência baseada em resultados e não uma simples tradução da ISO/IEC 27001. Combinar referências pode ser útil, desde que a organização saiba quais critérios está utilizando em cada avaliação. Apresentação oficial do CSF 2.0.

Uma auditoria que usa a ISO/IEC 27001 como critério não pode substituir seus requisitos por preferências pessoais do avaliador. Da mesma forma, um relatório organizado pelas funções do CSF não constitui, por si só, um certificado ISO. A comparação exige distinguir a finalidade de cada documento e a natureza da evidência produzida.

4. Como estruturar o trabalho sem confundir método e obrigação?

O roteiro a seguir é uma organização didática para estudo e planejamento. Não deve ser interpretado como uma metodologia exclusiva imposta pelas duas normas. Ele ajuda a conectar problema, decisão, implementação e verificação.

1. Entender o serviço. Identifique o que a organização entrega e quais informações sustentam essa entrega. O resultado esperado é uma descrição compreensível do contexto, não uma lista interminável de equipamentos.
2. Delimitar o trabalho. Estabeleça quais unidades, processos, serviços e dependências serão considerados. O resultado é uma fronteira explícita, que permite saber o que foi e o que não foi avaliado.
3. Examinar os riscos. Descreva situações que possam comprometer as informações. Analise consequências e condições de ocorrência com critérios consistentes. O resultado é uma base para priorização.
4. Escolher respostas. Decida o que será feito, por quem e com quais recursos. O resultado esperado inclui responsáveis e justificativas, e não somente uma intenção genérica de melhorar.
5. Executar as medidas. Transforme decisões em rotinas, configurações, contratos ou treinamentos. O resultado é uma proteção operante, que pode ser observada.
6. Verificar e ajustar. Compare o desempenho com o resultado pretendido. O resultado pode ser a manutenção da abordagem, uma correção ou uma mudança de prioridade.

Observe as categorias: avaliar riscos é um processo; entrevistar o responsável por um serviço pode ser uma atividade; usar uma matriz pode ser uma técnica; uma planilha é uma ferramenta; o registro da avaliação é um resultado. A troca entre essas categorias produz alternativas de prova aparentemente plausíveis, mas conceitualmente imprecisas.

Também convém distinguir agenda e critério. Reunir a equipe toda sexta-feira não demonstra, sozinho, que os riscos são bem administrados. A reunião precisa produzir decisões relevantes, encaminhamentos e acompanhamento. A existência de um ritual pode ajudar, mas não substitui a finalidade do trabalho.

5. Controles, requisitos e Declaração de Aplicabilidade

A edição de 2022 da ISO/IEC 27002 reúne 93 controles, distribuídos em quatro temas: organizacionais, pessoas, físicos e tecnológicos. Esse arranjo difere da edição de 2013. O número de controles não mede, por si, o nível de segurança de uma organização. Um catálogo reorganizado não significa automaticamente proteção menor ou maior. Referência do organismo nacional de normalização BSI.

A Declaração de Aplicabilidade, frequentemente chamada de SoA, de Statement of Applicability, registra os controles necessários, a justificativa de inclusão e a situação de implementação, além da justificativa para exclusões de controles do Anexo A. Os controles necessários devem ser comparados com o conjunto de referência para verificar omissões. A organização pode precisar de controles adicionais; o Anexo A não deve ser tratado como limite absoluto. Nota de práticas de auditoria sobre a SoA.

Uma justificativa precisa permitir compreensão. Escrever “não se aplica” sem explicar o motivo dificulta avaliar a decisão. Por outro lado, a simples existência de uma coluna preenchida não transforma uma escolha ruim em adequada. A documentação deve revelar o raciocínio, para que alguém com conhecimento do contexto consiga examiná-lo.

6. Formas de analisar e verificar

Uma avaliação qualitativa usa categorias descritas, como impacto baixo, médio ou alto. Sua vantagem é facilitar a discussão quando faltam dados confiáveis. Sua limitação é a possibilidade de interpretações diferentes. Por isso, “alto” precisa significar algo concreto: interrupção de um serviço essencial por determinado período, exposição de determinada classe de informação ou outro critério apropriado ao contexto.

Uma análise quantitativa trabalha com grandezas numéricas, como perdas estimadas ou probabilidades. Ela pode ajudar a comparar alternativas, mas não transforma uma estimativa incerta em fato. Um número com muitas casas decimais pode esconder premissas frágeis. Não se deve atribuir a essas normas uma obrigação geral de usar uma fórmula específica apenas porque ela aparece em um material preparatório.

Para avaliar controles, o NIST SP 800-53A apresenta procedimentos adaptáveis de avaliação. A revisão 5 possui atualização menor identificada como Release 5.2.0 no catálogo consultado. Examinar registros, entrevistar pessoas e testar comportamentos são formas complementares de obter evidências. A referência é útil para aprofundamento, sem substituir os critérios do SGSI. NIST SP 800-53A, revisão 5.

Considere três observações: existe uma política de backup; o operador afirma que a execução é diária; uma restauração de amostra termina com sucesso. Elas não dizem a mesma coisa. A primeira mostra uma determinação documentada, a segunda informa uma prática relatada e a terceira demonstra um comportamento observado. Uma avaliação consistente relaciona essas evidências ao objetivo pretendido.

7. Exemplo completo: documentos de uma autarquia

Cenário autoral. Uma autarquia de médio porte recebe solicitações de benefícios por um portal. A equipe de atendimento consulta documentos pessoais e os analistas registram decisões. O sistema é mantido por um fornecedor, mas a administração das contas permanece com a autarquia. Durante uma revisão, descobrem-se contas de estagiários desligados e pastas acessíveis a setores que não participam da análise.

O problema não pode ser resumido como “falta uma ferramenta”. Há uma combinação de permissões excessivas, comunicação incompleta entre setores e ausência de verificação. A organização começa pelo fluxo de entrada, movimentação e saída de pessoas. Recursos humanos informa alterações, o gestor define a necessidade de acesso e a equipe técnica executa a concessão ou revogação.

A análise identifica duas consequências principais: consulta indevida a documentos e alterações sem responsabilidade claramente identificada. A equipe separa as contas comuns das administrativas, verifica privilégios e define como tratar acessos temporários. Não se escolhe um controle porque seu nome é conhecido, mas porque ele responde a uma condição encontrada no serviço.

A decisão inclui revisar contas ativas, retirar privilégios sem justificativa e estabelecer um fluxo de desligamento. O fornecedor deve fornecer registros úteis à investigação, dentro das condições contratuais. O gestor do serviço acompanha as pendências, enquanto a equipe técnica executa as mudanças. A divisão de tarefas evita presumir que segurança é responsabilidade exclusiva do administrador do sistema.

Para verificar a solução, a autarquia seleciona uma amostra de desligamentos recentes e compara a data de comunicação com a efetiva revogação. Também testa, com autorização e em condições controladas, se um perfil comum consegue acessar documentos de outro setor. Os testes não devem expor dados reais desnecessariamente. É possível usar registros de teste e contas preparadas para essa finalidade.

O resultado esperado é reduzir acessos indevidos e tornar as decisões rastreáveis. Contudo, permanece risco residual: uma pessoa autorizada pode usar inadequadamente uma informação, e uma falha futura no fluxo pode ocorrer. A organização registra essas limitações e acompanha sinais relevantes. A solução não é declarada infalível apenas porque passou por um teste.

Um mês depois, surge outra situação: um servidor é transferido de unidade e continua com permissões antigas. A constatação mostra que a rotina tratava bem desligamentos, mas não mudanças de função. A resposta adequada é analisar a causa e ampliar o fluxo, em vez de apenas apagar a permissão encontrada e considerar o assunto encerrado.

Esse desdobramento é especialmente útil para provas discursivas. Ele permite apresentar contexto, risco, ação, responsável, evidência e limitação. Uma resposta que apenas enumera produtos de segurança deixaria de demonstrar a capacidade de conectar medidas técnicas ao processo de trabalho.

8. Aplicação em pequenas organizações

Uma equipe de cinco pessoas não precisa começar pela aquisição de uma plataforma complexa. Pode iniciar com um inventário simples dos serviços essenciais, uma relação de responsáveis e uma lista de problemas concretos. O cuidado é manter esses registros úteis e atualizados, em vez de produzir documentos extensos que ninguém consulta.

Imagine um pequeno escritório que presta serviços a municípios. Os documentos ficam em uma plataforma de nuvem, os computadores são compartilhados em alguns turnos e o proprietário concentra as decisões. Um primeiro ciclo de trabalho pode identificar quais contas são individuais, quem possui acesso administrativo, como são feitas as cópias e a quem comunicar uma suspeita de fraude.

A autenticação multifator, MFA, combina fatores de autenticação e reduz a dependência exclusiva de senha. A CISA recomenda sua adoção, especialmente em acessos remotos e administrativos, destacando alternativas resistentes a phishing. A medida precisa ser acompanhada de configuração adequada e procedimentos de recuperação. Orientação da CISA para pequenas e médias organizações.

No exemplo, a equipe pode definir uma pessoa responsável por revisar acessos e outra para conferir o resultado. Pode registrar a recuperação de um arquivo de teste e manter uma lista de contatos para incidentes. Esses passos são exemplos de implementação proporcional, não uma declaração de conformidade completa. Adotar boas práticas é diferente de demonstrar todos os requisitos necessários para uma certificação.

O principal limite da simplificação é perder rastreabilidade. Uma planilha pequena pode ser suficiente para determinado processo, mas uma decisão guardada apenas na memória do proprietário tende a desaparecer quando ele está ausente. A documentação deve ser compatível com a operação e permitir continuidade.

9. Revisão para questões objetivas e discursivas

Ao ler uma questão, identifique primeiro o objeto: ela trata do sistema de gestão, de um controle específico ou de uma técnica de avaliação? Depois, observe a edição mencionada e palavras absolutas, como “sempre”, “exclusivamente” e “todos”. Essas palavras exigem análise, mas não tornam uma alternativa errada automaticamente.

Exercício autoral 1. Uma prefeitura possui um procedimento de concessão de acesso, mas não consegue demonstrar quem aprovou as últimas permissões. Qual é o problema central? A resposta deve apontar a distância entre a regra documentada e a evidência da execução. Não há fundamento para concluir que a solução obrigatória seja comprar uma ferramenta específica.

Exercício autoral 2. Um órgão terceiriza a infraestrutura e conclui que não precisa conhecer as medidas de segurança do fornecedor. A conclusão é inadequada. A terceirização altera a forma de implementação e a divisão de responsabilidades, mas não dispensa o órgão de compreender suas dependências e necessidades de proteção.

Exercício autoral 3. Uma equipe classifica todos os riscos como altos para garantir prioridade. A abordagem prejudica a decisão: se tudo recebe a mesma classificação, o gestor perde informação para distribuir esforço. Uma resposta discursiva deve propor critérios claros, aplicação consistente e revisão das premissas, em vez de apenas sugerir outra ferramenta de cálculo.

Como construir uma resposta discursiva completa

Considere o comando autoral: “Explique como uma autarquia pode verificar se sua rotina de revogação de acessos funciona”. Uma resposta completa começa definindo o objetivo: impedir a manutenção de permissões sem necessidade após o encerramento do vínculo ou a mudança de função. Depois, delimita uma amostra e identifica os registros que serão comparados. Por fim, descreve como tratar divergências e acompanhar a correção.

Uma redação possível é: “A autarquia deve relacionar as alterações de vínculo às alterações de permissões, verificando responsáveis, datas e eventuais exceções justificadas. A análise de registros pode ser complementada por entrevistas e testes autorizados. As divergências identificadas precisam ser avaliadas quanto à causa, corrigidas e acompanhadas para verificar se voltam a ocorrer”. Trata-se de uma proposta didática, não de transcrição normativa.

Perceba que a resposta não depende de decorar um produto. Ela permite avaliar diferentes implementações. Uma organização pode automatizar o fluxo; outra pode começar com solicitações registradas e conferências periódicas. A decisão precisa considerar capacidade operacional, exposição e possibilidade de erro. A solução manual não é automaticamente inadequada, assim como a automação não é automaticamente eficaz.

Escolher indicadores que realmente informem

Outro exercício útil é comparar dois indicadores fictícios: quantidade de páginas da política de segurança e proporção de desligamentos com revogação concluída no prazo interno. O primeiro informa o tamanho de um documento; o segundo pode ajudar a observar um comportamento operacional relevante. Isso não significa que um indicador isolado seja suficiente. Uma revogação rápida, porém incompleta, pode deixar acessos indiretos ativos.

Por isso, a equipe pode combinar tempo, completude e reincidência. Deve também definir a origem dos dados e quem os confere. Se o próprio sistema que falhou produz uma estatística sem revisão, o número pode transmitir confiança indevida. A interpretação precisa reconhecer limitações, períodos sem dados e mudanças no processo. Essas precauções são critérios de bom raciocínio analítico, não uma lista universal imposta pelas normas.

Distinguir correção pontual de melhoria do processo

Retirar a permissão indevida encontrada resolve aquela ocorrência. Investigar por que o pedido de transferência não chegou ao administrador ajuda a reduzir novas ocorrências. As duas ações têm utilidade, mas atuam em níveis diferentes. Em uma questão, procure entender se o enunciado descreve o tratamento imediato do problema ou uma mudança na forma de trabalhar.

No cenário da autarquia, culpar apenas o operador seria uma conclusão precipitada. Talvez a lista de transferência fosse enviada a uma caixa postal sem responsável; talvez houvesse dois sistemas com cadastros diferentes; talvez a equipe não soubesse que o contrato temporário terminou. A análise das causas precisa considerar essas possibilidades e confrontá-las com evidências. Uma conclusão sem investigação pode produzir treinamento desnecessário, mantendo intacta a falha de comunicação.

10. Perguntas frequentes

Qual é a principal diferença entre ISO/IEC 27001 e 27002?

A primeira estabelece requisitos do sistema de gestão. A segunda orienta controles. Para estudar, relacione a primeira à organização da gestão e a segunda às medidas de proteção, sem tratar as duas como alternativas excludentes.

Certificação significa que nunca ocorrerá um incidente?

Não. Um certificado não é promessa de ausência de falhas. É importante compreender o escopo e o objeto da certificação. Mesmo uma organização com processos consistentes precisa monitorar mudanças, responder a incidentes e melhorar suas práticas.

É suficiente memorizar nomes de controles?

Não. A memorização pode apoiar questões diretas, mas a compreensão exige associar o controle ao problema que ele trata, à responsabilidade por sua execução e à forma de verificar o resultado.

Qual edição devo estudar?

Consulte o edital. Este artigo utiliza as edições internacionais de 2022 e registra a emenda de 2024 da ISO/IEC 27001. Uma questão que cite uma edição anterior precisa ser interpretada à luz dessa indicação.

Preciso adquirir um software para começar?

Não há fundamento para transformar um produto comercial específico em pré-requisito universal. A necessidade de ferramenta depende do volume, da complexidade e do resultado esperado. O trabalho pode começar com recursos simples e evoluir quando houver justificativa.

11. Conclusão

Estudar ISO/IEC 27001 e 27002 exige separar requisitos de gestão, orientações de controles e exemplos de implementação. A compreensão fica mais sólida quando você consegue explicar o problema, justificar a decisão, identificar o responsável e apontar uma evidência adequada.

Na revisão, use situações concretas para testar esse raciocínio. Se uma alternativa confunde ferramenta com processo, certificado com invulnerabilidade ou documento com resultado, procure a diferença conceitual. É essa capacidade de análise que permite sair da memorização isolada e construir respostas técnicas consistentes.