ISO 27001 para pequenas empresas e startups: um SGSI enxuto e sólido
Uma startup ou pequena empresa pode implementar a ISO/IEC 27001:2022 com um SGSI enxuto: os requisitos são os mesmos para qualquer porte, mas a forma de atendê-los se ajusta. As cláusulas 4 a 10 não podem ser excluídas (contexto, liderança, riscos, apoio, operação, avaliação e melhoria); os controles do Anexo A são escolhidos pela avaliação de riscos e toda exclusão é justificada na Declaração de Aplicabilidade. Em uma empresa de 5 a 50 pessoas, o essencial é um escopo estreito e claro (muitas vezes o produto e a plataforma em nuvem), um responsável pelo SGSI com tempo real e apoio da direção, medidas compensatórias onde há poucas pessoas para segregar funções e um bom uso dos controles dos seus provedores de nuvem. O tempo de auditoria também se ajusta: os organismos certificadores o definem principalmente pelo número de pessoas no escopo.
O que não muda com o porte da empresa
- Todas as cláusulas 4 a 10: contexto e escopo, liderança e política, avaliação e tratamento de riscos, competência e conscientização, operação, monitoramento, auditoria interna, análise crítica pela direção e melhoria contínua.
- As informações documentadas obrigatórias (escopo, política, metodologia de riscos, Declaração de Aplicabilidade, plano de tratamento de riscos, objetivos, registros de competência, monitoramento, auditoria interna e análise crítica).
- Evidência de que os controles funcionam há algum tempo antes da auditoria de certificação, não só documentos aprovados.
O que pode ser enxugado
| Área | Como uma empresa pequena costuma resolver |
|---|---|
| Escopo (cláusula 4.3) | Limitar ao que os clientes perguntam, por exemplo o produto, sua plataforma em nuvem e as pessoas que o operam |
| Papéis (5.3 e controle 5.2) | Um responsável pelo SGSI (muitas vezes o CTO ou o COO) e um pequeno comitê com os fundadores; responsabilidades em uma matriz RACI |
| Segregação de funções (controle 5.3) | Quando faltam pessoas, compensar com logs, alertas, revisão das mudanças por um colega e revisão periódica pela direção, registrando essa decisão na avaliação de riscos |
| Nuvem (controle 5.23) | Usar o modelo de responsabilidade compartilhada e os relatórios do provedor; a sua parte é configuração, acessos, backups e monitoramento |
| Segurança física (controles 7.1 a 7.14) | Com trabalho remoto ou coworking, muitos se aplicam aos data centers do provedor e aos notebooks; justifique as exclusões na Declaração de Aplicabilidade |
| Trabalho remoto (controle 6.7) | Regras curtas sobre dispositivos, criptografia de disco, bloqueio de tela e rede doméstica |
| Auditoria interna (9.2) | Por uma pessoa treinada que não audite o próprio trabalho, ou por um auditor externo durante poucos dias |
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)Erros comuns em empresas pequenas
- Copiar o escopo e os controles de uma grande empresa e acabar com políticas que ninguém segue.
- Excluir controles do Anexo A sem justificativa ligada à avaliação de riscos.
- Deixar o SGSI com uma pessoa sem tempo nem autoridade: o plano para no primeiro prazo.
- Escrever os documentos e iniciar a auditoria sem meses de registros (revisões de acesso, backups testados, incidentes, indicadores).
- Achar que o certificado do provedor de nuvem cobre a sua empresa: ele cobre a parte dele, não a sua configuração nem a sua equipe.
Um plano realista para 5 a 50 pessoas
- Fazer uma análise de lacunas em relação às cláusulas e aos 93 controles do Anexo A para ver onde vocês realmente estão.
- Combinar com os fundadores um escopo estreito e nomear o responsável pelo SGSI.
- Fazer a avaliação de riscos com quem conhece o produto e a infraestrutura e, a partir dela, decidir o tratamento e a Declaração de Aplicabilidade.
- Implementar primeiro as prioridades técnicas: MFA, revisões de acesso, backups testados, logs e alertas, configuração segura da nuvem.
- Operar e registrar evidências por alguns meses, fazer a auditoria interna e a análise crítica e então agendar as etapas 1 e 2.
O plano de referência da NexoDocs chega à etapa 2 em cerca de 30 semanas para 20 a 100 pessoas; uma equipe muito pequena com escopo estreito avança mais rápido na documentação, mas não no tempo que os controles precisam operar.
No Brasil: LGPD e agentes de pequeno porte
No Brasil, a Resolução CD/ANPD nº 2/2022 dá regras diferenciadas da LGPD para agentes de tratamento de pequeno porte, incluindo a possibilidade de uma política de segurança da informação simplificada, e a ANPD publicou um guia orientativo de segurança da informação para esses agentes. É um bom primeiro passo, mas não substitui um certificado ISO 27001 quando um cliente ou edital o exige: a norma pede as mesmas cláusulas para qualquer porte. Uma startup que atende empresas maiores costuma ser cobrada pela ISO 27001 nos questionários de fornecedores. Isto não é assessoria jurídica.
Modelo: o kit ISO 27001 para um SGSI enxuto
O kit ISO 27001 da NexoDocs em português entrega a uma equipe pequena os documentos já estruturados em Word e Excel editáveis, com exemplo completo: análise de lacunas (ISMS-GAP-01), plano de projeto com Gantt (ISMS-PRJ-01), metodologia e matriz de riscos, plano de tratamento (ISMS-RSK-03), Declaração de Aplicabilidade com os 93 controles, políticas do Anexo A e programa de auditoria interna. Você os adapta ao seu escopo em vez de começar do zero; o kit não substitui a operação dos controles nem a auditoria do organismo certificador, e nenhum kit pode assegurar o resultado.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
A ISO 27001 vale a pena para uma startup?
Vale quando clientes ou editais pedem, ou quando questionários de segurança atrasam as vendas. Se ninguém pede ainda, montar o básico (riscos, acessos, backups, incidentes) já prepara a empresa.
Uma empresa de 5 pessoas pode ser certificada?
Sim. A norma não tem porte mínimo. Valem as mesmas cláusulas, e a auditoria é mais curta porque depende principalmente do número de pessoas no escopo.
Quais controles do Anexo A uma empresa pequena pode excluir?
Qualquer controle, se a avaliação de riscos mostrar que não é necessário e a exclusão for justificada na Declaração de Aplicabilidade. As cláusulas 4 a 10 não podem ser excluídas.
Preciso de uma pessoa de segurança em tempo integral?
Normalmente não. É preciso um responsável com horas dedicadas toda semana e apoio da direção; tarefas específicas, como a auditoria interna, podem ser terceirizadas.
Guias relacionados
Quanto custa a ISO 27001? Kit, consultoria ou software
Quanto custa a ISO 27001 em uma pequena empresa: auditoria, consultoria, software de conformidade ou kit de modelos comparados, e quando cada opção faz sentido.
Ler o guia →Quanto tempo leva a ISO 27001? Plano de projeto em 8 fases para PMEs
Quanto tempo leva implementar e certificar a ISO/IEC 27001:2022 em uma PME: as 8 fases semana a semana, o que atrasa o projeto e como encurtar com segurança.
Ler o guia →Análise de lacunas ISO 27001: a que distância o seu SGSI está da norma?
Análise de lacunas (gap analysis) ISO/IEC 27001:2022: 29 perguntas das cláusulas 4 a 10, os 93 controles do Anexo A, pontuação com semáforo e próximos passos.
Ler o guia →Atualizado: 2026-10-30