A preparação para a ISO 27001 é o conjunto de atividades que uma organização realiza para construir e operar um Sistema de Gestão de Segurança da Informação (SGSI) que possa ser avaliado por uma certificadora acreditada. Na prática, é organizar pessoas, processos e controles técnicos em torno de riscos reais.
Para empresas que usam AWS, Azure ou outros provedores de nuvem, o desafio é entender o que a norma pede, o que o provedor já cobre e o que continua sob responsabilidade do time. Este guia mostra as etapas, o que mudou na versão 2022 e como evitar tropeços comuns.
Em resumo
- A ISO/IEC 27001 é a norma de requisitos do SGSI e é a única usada na auditoria de certificação.
- A transição para a versão 2022 terminou em 31/10/2025: hoje a preparação parte direto dela.
- O Anexo A da 2022 tem 93 controles em 4 temas, mas nem todos precisam ser implementados: a seleção vem da análise de riscos e é justificada na Declaração de Aplicabilidade (SoA).
- O certificado do provedor de nuvem não certifica a sua empresa, embora possa facilitar o processo.
- Preparar e certificar são papéis diferentes: quem certifica é uma certificadora acreditada.
O que é a ISO 27001 e por que só a versão 2022 vale hoje?
A ISO/IEC 27001 é a norma de requisitos para um SGSI e é a única usada na auditoria de certificação. A transição da versão 2013 para a 2022 terminou em 31/10/2025, e certificados de 2013 deixaram de valer após essa data. Hoje, a preparação parte diretamente da versão 2022.
A janela de 36 meses para a transição foi definida pelo IAF MD 26, contada a partir da publicação da norma em 25/10/2022. Desde 1/5/2024, certificações iniciais e recertificações já ocorriam apenas pela versão 2022.
Vale distinguir dois documentos. A ISO/IEC 27001 traz os requisitos do SGSI. A ISO/IEC 27002:2022 traz diretrizes para implementar os controles e não é certificável. Ou seja, a 27002 ajuda a implementar, e a 27001 é o que se audita. A versão brasileira da ABNT (ABNT NBR ISO/IEC 27001:2022) é paga, assim como o texto oficial da ISO.
Como fazer a preparação para a ISO 27001, passo a passo?
Comece definindo contexto e escopo do SGSI, depois estabeleça liderança e política, avalie riscos, selecione controles e registre a Declaração de Aplicabilidade. Em seguida, implemente, treine as pessoas, faça auditoria interna e análise crítica pela direção. Só então a certificadora acreditada avalia o sistema.
- Contexto e escopo. Defina quais unidades, sistemas, ambientes de nuvem e partes interessadas entram no SGSI. A Emenda 1:2024 acrescentou notas às cláusulas 4.1 e 4.2: a organização deve determinar se a mudança climática é uma questão relevante e considerar requisitos de partes interessadas ligados ao clima.
- Liderança e política. A direção precisa patrocinar o SGSI, definir a política de segurança da informação e atribuir responsabilidades.
- Análise de riscos. Identifique ativos, ameaças e vulnerabilidades, avalie impacto e probabilidade e defina o tratamento de cada risco.
- Declaração de Aplicabilidade (SoA). Liste os controles do Anexo A que se aplicam, o status de cada um e a justificativa das exclusões.
- Implementação. Execute o plano de tratamento de riscos com políticas, procedimentos e configurações técnicas.
- Conscientização e treinamento. Garanta que as pessoas conheçam a política e seu papel no SGSI.
- Auditoria interna e análise crítica. Verifique se o SGSI funciona como descrito e leve os resultados à direção, corrigindo desvios.
- Auditoria de certificação. Uma certificadora acreditada avalia o SGSI contra a norma.
Uma boa preparação deixa evidências organizadas ao longo do caminho, e não apenas no fim. Registros de decisões, revisões de acesso e testes de continuidade contam a história do SGSI para o auditor.
O que muda no Anexo A da versão 2022?
A ISO/IEC 27001:2022 reorganizou o Anexo A em 93 controles distribuídos em 4 temas, contra 114 controles em 14 domínios na versão 2013. Como o texto oficial é pago e não foi consultado diretamente, as contagens abaixo vêm de material de consultorias, como o guia de controles da Scrut. Confirme-as no texto oficial antes de usá-las em documentos formais.
| Tema | Controles |
|---|---|
| Organizacionais | 37 |
| Pessoas | 8 |
| Físicos | 14 |
| Tecnológicos | 34 |
A versão 2022 trouxe 11 controles novos. Vários têm impacto direto em ambientes de nuvem:
- A.5.7 Inteligência de ameaças: usar informações sobre ameaças para orientar decisões de proteção.
- A.5.23 Segurança da informação para uso de serviços em nuvem: critérios para escolher provedor, definir responsabilidades e planejar a saída do serviço.
- A.5.30 Preparação de TIC para continuidade de negócios.
- A.8.9 Gestão de configuração: manter configurações seguras e documentadas, por exemplo com infraestrutura como código.
- A.8.10 Exclusão de informações, A.8.11 Mascaramento de dados e A.8.12 Prevenção de vazamento de dados: ciclo de vida e proteção dos dados.
- A.8.16 Atividades de monitoramento: logs e detecção de comportamentos anômalos.
- A.8.28 Codificação segura: práticas seguras no desenvolvimento.
Os demais novos são A.7.4 (monitoramento de segurança física) e A.8.23 (filtragem da web).
Preciso implementar todos os 93 controles?
Não necessariamente. A seleção parte da análise de riscos, e cada exclusão deve ser justificada na SoA. Um controle fora do escopo ou sem relevância para o seu risco pode ser excluído, desde que haja justificativa coerente.
Como fica a responsabilidade compartilhada na nuvem?
A certificação do provedor de nuvem não certifica o cliente. A AWS informa que a empresa não é certificada automaticamente por associação: o certificado da AWS cobre o processo de gestão de segurança dela, dentro de um escopo de serviços e data centers, e pode facilitar o processo do cliente.
A Microsoft segue a mesma lógica para o Azure: o cliente pode usar o certificado na sua avaliação, mas continua responsável por contratar um avaliador e pelos controles e processos da própria organização. As iniciativas do Azure Policy mapeadas para controles da ISO 27001 ajudam a ver o que é do cliente, da Microsoft ou compartilhado, mas dão apenas uma visão parcial da conformidade.
Na prática, isso significa:
- Usar os relatórios e certificados do provedor como insumo da avaliação de fornecedores (A.5.23).
- Definir quem cuida de identidades, configurações, dados e monitoramento do lado da empresa.
- Documentar a estratégia de saída do serviço e a gestão de mudanças.
- Tratar a LGPD de forma integrada, já que controles de acesso, retenção e exclusão de dados servem aos dois objetivos.
Para apoio nesse mapeamento, veja nossa página de Segurança, Governança e Cloud.
Quais erros comuns atrapalham a preparação e como evitá-los?
Muitos tropeços são organizacionais, não técnicos. Um checklist simples ajuda a manter o rumo:
- Escopo vago ou grande demais para a maturidade atual.
- Análise de riscos feita uma vez e esquecida, sem revisão periódica.
- SoA copiada de modelo, sem justificativas reais.
- Confiar no certificado do provedor como se cobrisse a empresa toda.
- Políticas escritas, mas sem evidência de que são praticadas.
- Auditoria interna e análise crítica da direção deixadas para a última hora.
- Ignorar as notas sobre mudança climática nas cláusulas 4.1 e 4.2. Confirme com a certificadora como ela trata a emenda.
Antes da auditoria, confirme: escopo aprovado, riscos tratados, SoA atualizada, auditoria interna concluída, análise crítica registrada e evidências acessíveis.
Perguntas frequentes
Ainda posso certificar na ISO 27001:2013?
Não. A transição terminou em 31/10/2025, e certificados na versão 2013 deixaram de valer após essa data. Novas certificações e recertificações ocorrem pela versão 2022.
Qual a diferença entre ISO 27001 e ISO 27002?
A ISO/IEC 27001 define os requisitos do SGSI e é a norma usada na auditoria. A ISO/IEC 27002:2022 traz diretrizes de implementação dos controles e não é certificável.
O certificado da AWS ou do Azure certifica minha empresa?
Não. O certificado do provedor cobre o processo dele, dentro de um escopo definido, e pode facilitar a sua avaliação. A empresa continua responsável pelos próprios controles e por contratar um avaliador.
Todos os controles do Anexo A são obrigatórios?
Não. Os controles são selecionados com base na análise de riscos, e cada exclusão deve ser justificada na Declaração de Aplicabilidade.
Quem faz a certificação?
Uma certificadora acreditada. Consultorias como a Cloud Minds Trusted ajudam na preparação, mas não emitem o certificado.
Conclusão
A preparação para a ISO 27001:2022 é um trabalho de método: escopo claro, riscos bem avaliados, controles justificados e evidências consistentes. Em nuvem, isso inclui entender com precisão o que é do provedor e o que é da sua empresa.
A Cloud Minds Trusted apoia times técnicos nessa preparação, do mapeamento de escopo e riscos à organização das evidências, sem substituir a certificadora. Se quiser conversar sobre o seu cenário, fale com a nossa equipe.