Análise de lacunas ISO 27001: a que distância o seu SGSI está da norma?
A análise de lacunas ISO 27001 (gap analysis ou autoavaliação inicial) compara o que a organização já faz em segurança da informação com o que a ISO/IEC 27001:2022 exige. Você revisa cada requisito das cláusulas 4 a 10 e cada um dos 93 controles do Anexo A, classifica como em conformidade, parcial ou não conforme, registra a evidência que existe hoje, e o resultado é um percentual de conformidade por área mais uma lista de lacunas que vira o plano do projeto. A norma não a exige, mas quase toda implementação começa por ela.
A análise de lacunas é obrigatória na ISO 27001?
Não. Nenhuma cláusula da ISO/IEC 27001:2022 pede uma análise de lacunas, e o organismo de certificação não vai verificá-la como informação documentada obrigatória. As organizações a fazem porque ela responde a três perguntas antes de investir tempo e dinheiro: quanto falta, o que vem primeiro e quanto tempo o projeto pode levar.
Ela também serve como linha de base. Repetida alguns meses depois com o mesmo arquivo, mostra à alta direção quanto o SGSI avançou sem um relatório separado. Se a organização já mantém outro sistema de gestão ISO (por exemplo, a ISO 9001), vários requisitos das cláusulas 4 a 10 podem ser ampliados em vez de criados do zero.
O que é avaliado: cláusulas 4 a 10 e Anexo A
A autoavaliação do kit NexoDocs (ISMS-GAP-01 Autoavaliação de Lacunas) divide a norma em duas abas: «Cláusulas» e «Anexo A». As perguntas e os títulos dos controles são redação própria e servem de referência: a norma é citada pelo número da cláusula e do controle, sem copiar o texto.
| Parte da norma | O que é verificado | Linhas na autoavaliação |
|---|---|---|
| Cláusula 4 · Contexto | Questões internas e externas (incluindo a pergunta sobre mudanças climáticas da Amd 1:2024), partes interessadas, escopo, sistema de gestão | 5 |
| Cláusula 5 · Liderança | Comprometimento da alta direção, política de segurança da informação, papéis e autoridades | 3 |
| Cláusula 6 · Planejamento | Riscos e oportunidades, avaliação e tratamento de riscos, Declaração de Aplicabilidade, objetivos, mudanças | 7 |
| Cláusula 7 · Apoio | Recursos, competência, conscientização, comunicação, informação documentada | 5 |
| Cláusula 8 · Operação | Controle operacional, execução da avaliação e do tratamento de riscos | 3 |
| Cláusula 9 · Avaliação de desempenho | Monitoramento e medição, programa e execução da auditoria interna, análise crítica pela direção | 4 |
| Cláusula 10 · Melhoria | Melhoria contínua, não conformidades e ações corretivas | 2 |
| Anexo A · 93 controles | Organizacionais (37), de pessoas (8), físicos (14) e tecnológicos (34) | 93, com a coluna «Aplicável?» |
São 29 perguntas para as cláusulas e 93 linhas para os controles. O arquivo marca com «(novo em 2022)» os controles que surgiram na edição de 2022, como inteligência de ameaças (5.7), segurança da informação para uso de serviços em nuvem (5.23), gestão de configuração (8.9), prevenção de vazamento de dados (8.12) e codificação segura (8.28): costumam ser as lacunas mais comuns em organizações que vêm da edição de 2013.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)Como fazer uma análise de lacunas passo a passo
- Definir um escopo provisório: quais processos, locais, sistemas e serviços entram. Sem escopo, a avaliação mistura coisas que depois ficarão de fora.
- Chamar quem sabe como o trabalho acontece de verdade: o gestor do SGSI, TI, os donos dos principais processos, RH e, se houver, jurídico ou compliance.
- Na aba «Cláusulas», escolher para cada pergunta um dos três status: Em conformidade, Parcial ou Não conforme. Não existe a opção «Não aplicável», porque as cláusulas 4 a 10 não podem ser excluídas.
- Na aba «Anexo A», indicar primeiro se o controle é aplicável (decisão preliminar) e depois o status. A decisão final é tomada mais tarde, na Declaração de Aplicabilidade.
- Registrar a evidência atual: documento, registro, chamado ou configuração. Se não puder mostrá-la, marque «Parcial», mesmo que a atividade aconteça.
- Ler o «Resumo»: percentual de conformidade por área, requisitos ainda não avaliados e controles marcados como não aplicáveis.
- Levar as lacunas em vermelho para o plano do projeto com responsável e prazo, começando pelas cláusulas 4 a 6, das quais todo o resto depende.
Como a conformidade é pontuada
No modelo, cada linha recebe uma pontuação conforme o status, e o percentual de cada área é a média das linhas avaliadas:
| Status | Pontuação | Quando usar |
|---|---|---|
| Em conformidade | 100% | Existe, está documentado onde é preciso e é aplicado, com evidência |
| Parcial | 50% | Incompleto, sem documentação ou sem registros que comprovem |
| Não conforme | 0% | Não é feito, ou não há nenhuma evidência |
| Não aplicável (só Anexo A) | Fica fora da média | Controle excluído de forma preliminar, a justificar depois na Declaração de Aplicabilidade |
Exemplo: se a cláusula 7 (5 perguntas) tem 2 em conformidade, 2 parciais e 1 não conforme, o resultado é (100 + 100 + 50 + 50 + 0) / 5 = 60%. O resumo usa um semáforo: vermelho abaixo de 50%, amarelo de 50 a 79% e verde a partir de 80%. As linhas ainda não avaliadas não entram no percentual; por isso o resumo mostra à parte quantas faltam.
O que fazer com o resultado
- Priorizar pela dependência, não pela facilidade: sem contexto (4.1), escopo (4.3) e metodologia de riscos (6.1.2) não dá para escolher bem os controles.
- Usar o status preliminar do Anexo A como rascunho da Declaração de Aplicabilidade, mas confirmá-lo com a avaliação de riscos.
- Agrupar as lacunas em pacotes de trabalho (governança, riscos, políticas e controles, pessoas, fornecedores, avaliação e melhoria) e colocá-las no plano com datas.
- Estimar o prazo a partir do resultado: muitas áreas em vermelho nas cláusulas 4 a 10 costumam alongar o projeto mais do que alguns controles técnicos pendentes.
- Repetir a autoavaliação antes da auditoria de certificação e compará-la com a auditoria interna (9.2): uma autoavaliação tende a ser otimista.
Erros comuns
- Marcar «Em conformidade» porque «a gente faz», sem evidência para mostrar.
- Usar «Não aplicável» nas cláusulas 4 a 10, que não podem ser excluídas.
- Excluir controles do Anexo A por conveniência, sem relação com os riscos: não vai se sustentar na Declaração de Aplicabilidade.
- Fazer só a partir da TI, sem RH, compras ou os donos dos processos.
- Deixar na gaveta: se não virar um plano com responsáveis e datas, não serve para nada.
Modelo: a autoavaliação de lacunas do kit ISO 27001
O kit ISO 27001 da NexoDocs em português inclui a autoavaliação ISMS-GAP-01: um arquivo Excel sem macros com as 29 perguntas das cláusulas 4 a 10 e os 93 controles do Anexo A já carregados, a evidência que o auditor costuma solicitar e o documento do kit que cobre cada linha, lista suspensa para o status, pontuação automática e um resumo por área com semáforo. O preenchimento leva de uma a duas horas. É a primeira tarefa do plano de projeto SGSI com gráfico de Gantt (ISMS-PRJ-01) do mesmo kit, e o resultado alimenta a avaliação de riscos e a Declaração de Aplicabilidade.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
Quanto tempo leva uma análise de lacunas ISO 27001?
Preencher o modelo leva de uma a duas horas com as pessoas certas na reunião. Reunir e revisar as evidências por trás de cada resposta pode levar mais alguns dias em uma organização de porte médio.
Qual a diferença entre análise de lacunas e auditoria interna?
A análise de lacunas é uma autoavaliação para planejar, sem formato obrigatório. A auditoria interna (cláusula 9.2) é obrigatória, é feita por pessoas objetivas e imparciais segundo um programa definido, e suas constatações são registradas como não conformidades ou observações.
Vale a pena se estamos migrando da ISO 27001:2013?
Sim. É uma boa forma de preparar a transição: o arquivo marca os controles novos da edição de 2022 e a pergunta sobre mudanças climáticas da emenda de 2024, que são o que mais falta.
A análise de lacunas substitui a avaliação de riscos?
Não. A análise de lacunas mede o status de requisitos e controles; a avaliação de riscos (6.1.2) é obrigatória e é ela que justifica quais controles são aplicados.
A análise de lacunas também serve para a LGPD?
Não diretamente. Ela mede o status em relação à ISO/IEC 27001:2022. As medidas de segurança que a LGPD exige para dados pessoais (art. 46) se apoiam em vários controles do Anexo A, mas a adequação à LGPD tem requisitos próprios, como bases legais, direitos dos titulares e encarregado. A certificação ISO 27001 é emitida por um organismo acreditado pela Cgcre/Inmetro.
Uma pontuação de 100% significa passar na auditoria?
Não. A certificação é decidida por um organismo de certificação após a auditoria dele; a análise de lacunas é uma autoavaliação que organiza o trabalho e mostra o progresso.
Guias relacionados
Documentos obrigatórios da ISO 27001:2022: lista por cláusula
As informações documentadas exigidas pela ISO/IEC 27001:2022, cláusula por cláusula (política, riscos, DA, objetivos, auditoria), e os documentos do Anexo A.
Ler o guia →Matriz de riscos ISO 27001: o que deve incluir e como usar
O que a ISO/IEC 27001:2022 exige na avaliação de riscos, quais colunas a matriz de riscos do SGSI deve ter e como calcular o nível de risco. Amostra grátis.
Ler o guia →Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
O que a Declaração de Aplicabilidade da ISO/IEC 27001:2022 deve conter para os 93 controles, como justificar exclusões e erros comuns. Com modelo em Excel.
Ler o guia →Atualizado: 2026-10-29