# ISO 27001:2022 - Sistema de Gestão de Segurança da Informação
> [!abstract] Síntese
> A ISO/IEC 27001:2022 é o padrão internacional para Sistemas de Gestão de Segurança da Informação (SGSI). Atualização públicada em outubro de 2022, com prazo de transição até outubro de 2025. No [[brasil|Brasil]], a certificação ISO 27001 tornou-se requisito de fato para contratos com governo federal, grandes empresas e organismos financeiros - e funciona como base estrutural para atender [[lgpd|LGPD]], [[bacen-4893|BACEN Res. 4893]] e [[pci-dss|PCI-DSS]] simultaneamente.
---
## Visão Geral
A ISO 27001 define os requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI. Diferente de frameworks como NIST CSF (guia de referência) ou PCI-DSS (padrão contratual), a ISO 27001 é um **padrão certificável** - organizações passam por auditoria externa por organismos acreditados (como Bureau Veritas, DNV, SGS, BVQI) para obter e renovar a certificação.
A versão 2022 substituiu a versão 2013 com mudanças estruturais importantes: o Anexo A foi reestruturado de 14 seções (114 controles) para **4 temas temáticos (93 controles)**, incorporando controles novos para cloud, threat intelligence e segurança física.
---
## Estrutura da ISO 27001:2022
```mermaid
graph TB
ISO["🔒 ISO 27001:2022<br/>Sistema de Gestão (SGSI)"]
ISO --> CONTEXT["4. Contexto<br/>Partes interessadas e escopo"]
ISO --> LEADERSHIP["5. Liderança<br/>Política e comprometimento"]
ISO --> PLANNING["6. Planejamento<br/>Riscos e objetivos"]
ISO --> SUPPORT["7. Apoio<br/>Recursos e competência"]
ISO --> OPERATION["8. Operação<br/>Tratamento de riscos"]
ISO --> PERFORMANCE["9. Avaliação<br/>Auditoria e revisão"]
ISO --> IMPROVEMENT["10. Melhoria<br/>Não conformidade e ação corretiva"]
ISO --> ANNEXA["📋 Anexo A<br/>93 Controles"]
ANNEXA --> A5["Org. Controls (37)"]
ANNEXA --> A6["People Controls (8)"]
ANNEXA --> A7["Physical Controls (14)"]
ANNEXA --> A8["Tech. Controls (34)"]
style ISO fill:#1a1a2e,stroke:#e94560,color:#fff
style ANNEXA fill:#16213e,stroke:#0f3460,color:#fff
```
---
## Novidades da Versão 2022
| Aspecto | ISO 27001:2013 | ISO 27001:2022 |
| ------- | -------------- | --------------- |
| Estrutura do Anexo A | 14 seções, 114 controles | 4 temas, 93 controles |
| Controles novos | - | 11 novos controles |
| Controles mesclados | - | 57 controles de 2013 mesclados |
| Controles retirados | - | 0 |
| Cloud Security | Limitado | Controle específico (A.8.23) |
| Threat Intelligence | Não explícito | Controle específico (A.5.7) |
| ICT Readiness (BCDR) | Implícito | Controle explícito (A.5.30) |
| Data Masking | Não explícito | Controle específico (A.8.11) |
---
## 11 Novos Controles do Anexo A (2022)
| ID | Controle | Relevância CTI |
| -- | -------- | -------------- |
| A.5.7 | Threat Intelligence | Alta - exige uso ativo de CTI |
| A.5.23 | Information security for use of cloud services | Alta - cloud security |
| A.5.30 | ICT readiness for business continuity | Média - BCDR |
| A.7.4 | Physical security monitoring | Baixa |
| A.8.9 | Configuration management | Alta - baseline de segurança |
| A.8.10 | Information deletion | Média - retenção de dados |
| A.8.11 | Data masking | Média - privacidade / LGPD |
| A.8.12 | Data leakage prevention | Alta - DLP |
| A.8.16 | Monitoring activities | Alta - SIEM / SOC |
| A.8.23 | Web filtering | Baixa / Média |
| A.8.28 | Secure coding | Alta - SDLC seguro |
> [!tip] Controle A.5.7 - Threat Intelligence
> O novo controle de Threat Intelligence (A.5.7) exige que organizações certificadas coletem, análisem e usem inteligência sobre ameaças para informar suas decisões de segurança. Isso cria oportunidade para justificar investimentos em plataformas de CTI como o RunkIntel.
---
> [!latam] Relevância para o Brasil
> O Brasil é o país da América Latina com maior número de certificações ISO 27001 e o 10º no ranking global (ISO Survey 2023). A certificação tornou-se requisito de fato para contratos com o Governo Federal, grandes corporações e o setor financeiro regulado pelo **BACEN**. Com o prazo de transição da versão 2013 para 2022 encerrado em outubro de 2025, organizações brasileiras certificadas precisaram revisar seus controles - especialmente os 11 novos controles do Anexo A 2022 relacionados a threat intelligence (A.5.7) e cloud security (A.5.23). A norma local é a **ABNT NBR ISO/IEC 27001:2023**, publicada em português pela ABNT.
## ISO 27001 no Brasil
### Adoção e Certificação
O Brasil é o país da América Latina com mais certificações ISO 27001 - e o 10º globalmente (dados ISO Survey 2023). A versão ABNT é a **ABNT NBR ISO/IEC 27001:2023**, publicada como tradução oficial pela ABNT.
**Setores com maior adoção:**
- [[financial|Financeiro]] - exigência de fato em grandes bancos e IFs
- [[technology|Tecnologia]] - requisito para contratos governamentais (SGSI exigido em licitações federais)
- [[healthcare|Saúde]] - crescente exigência pós-LGPD
- [[government|Governo]] - Instrução Normativa SGD 1/2021 referencia ISO 27001
### Prazo de Transição
Organizações certificadas na versão 2013 devem migrar para a versão 2022 até **31 de outubro de 2025**. Certificados 2013 emitidos após essa data não serão reconhecidos por organismos IAF-acreditados.
---
## Mapeamento ISO 27001 × LGPD
A ISO 27001 funciona como estrutura para implementar os requisitos técnicos da [[lgpd|LGPD]]:
| Requisito LGPD | Controles ISO 27001:2022 Relevantes |
| -------------- | ------------------------------------ |
| Art. 46 - Medidas de segurança | A.8.1 (Endpoint devices), A.8.2 (Privileged access), A.8.5 (Secure authentication) |
| Art. 48 - Notificação de incidente | A.5.24 (IR planning), A.5.25 (Assessment of IS events) |
| Art. 18 - Direitos do titular | A.5.34 (Privacy protection) |
| Transferência internacional | A.5.33 (Protection of records) |
| DPIA (relatório de impacto) | A.5.8 (IS in project management) |
---
## Mapeamento ISO 27001 × [[bacen-4893|BACEN Res. 4893]]
| Requisito BACEN 4.893 | Controles ISO 27001:2022 |
| --------------------- | ------------------------ |
| Política de cibersegurança | A.5.1 (Policies for IS) |
| Plano de resposta a incidentes | A.5.24–A.5.28 (IR cluster) |
| Testes de segurança | A.8.8 (Management of tech vulns), A.5.36 (Compliance) |
| Controles de acesso | A.8.2–A.8.5 (Access controls cluster) |
| Gestão de terceiros | A.5.19–A.5.22 (Supplier relationships) |
---
## Processo de Certificação
```mermaid
graph TB
A["📋 Definir Escopo<br/>e Política SGSI"] --> B["🔍 Avaliação de Riscos<br/>Identificar ameaças e vulnerabilidades"]
B --> C["🛡️ Declaração de Aplicabilidade<br/>Selecionar controles do Anexo A"]
C --> D["⚙️ Implementação<br/>Controles técnicos e procedimentos"]
D --> E["🔄 Auditoria Interna<br/>Verificar implementação"]
E --> F["📊 Revisão pela Direção<br/>Aprovar estado do SGSI"]
F --> G["🏢 Stage 1 Audit<br/>Auditoria documental (OAC externo)"]
G --> H["🏢 Stage 2 Audit<br/>Auditoria no local (OAC externo)"]
H --> I["✅ Certificado ISO 27001<br/>Válido por 3 anos"]
I --> J["🔄 Auditorias de Manutenção<br/>Anuais (anos 2 e 3)"]
J --> K["🔄 Recertificação<br/>A cada 3 anos"]
style I fill:#1a1a2e,stroke:#27ae60,color:#fff
```
---
## Referências
- [ISO/IEC 27001:2022 - Official Standard](https://www.iso.org/standard/82875.html)
- [ABNT NBR ISO/IEC 27001:2023](https://www.abnt.org.br/)
- [ISO Survey 2023 - Certificações por País](https://www.iso.org/the-iso-survey.html)
- [IAF - Prazo de Transição 27001:2022](https://iaf.nu/)
- [ABNT/CB21 - Comitê Brasileiro de Segurança da Informação](https://www.abnt.org.br/)
---
← Voltar para **[[_regulations|Regulações]]** · **[[_market|Market Intelligence]]**