Matriz de riscos ISO 27001: o que deve incluir e como usar
Uma matriz de riscos ISO 27001 é a ferramenta em que uma organização identifica os riscos à confidencialidade, integridade e disponibilidade de suas informações, atribui um responsável (dono do risco), estima impacto e probabilidade, calcula um nível de risco e o compara com critérios de aceitação definidos previamente. A norma (seção 6.1.2) não impõe um formato: exige um processo repetível e documentado; um Excel bem estruturado basta para a maioria das pequenas e médias empresas.
O que a ISO/IEC 27001:2022 pede sobre a avaliação de riscos
A seção 6.1.2 pede definir e aplicar um processo de avaliação de riscos de segurança da informação. Em resumo, esse processo deve:
- Estabelecer critérios de aceitação de riscos e critérios para realizar as avaliações.
- Produzir resultados consistentes e comparáveis quando repetido.
- Identificar os riscos de perda de confidencialidade, integridade e disponibilidade dentro do escopo do SGSI.
- Atribuir um dono a cada risco.
- Analisar consequências e probabilidade realista, e determinar o nível de risco.
- Avaliar e priorizar os riscos para tratamento.
Além disso, a seção 8.2 pede repetir a avaliação em intervalos planejados ou quando houver mudanças significativas, e reter os resultados como informação documentada. O tratamento (seção 6.1.3) usa esses resultados para escolher controles e compor a Declaração de Aplicabilidade.
Colunas mínimas de uma matriz de riscos do SGSI
| Coluna | Para que serve |
|---|---|
| ID do risco | Rastreabilidade com o plano de tratamento e a Declaração de Aplicabilidade |
| Processo ou ativo | Situa o risco dentro do escopo |
| Cenário de risco | Descreve o que pode acontecer (uma ameaça explora uma vulnerabilidade) |
| Ameaça e vulnerabilidade | Permitem justificar a análise para o auditor |
| Propriedade afetada (C, I, D) | Confidencialidade, integridade ou disponibilidade |
| Controles existentes | A análise considera o que já está implementado |
| Impacto e probabilidade | Escalas definidas nos critérios (por exemplo, de 1 a 4) |
| Nível e categoria | Resultado do cálculo e comparação com os critérios de aceitação |
| Dono do risco e tratamento | Quem decide e qual opção é escolhida: mitigar, transferir, evitar ou aceitar |
Como calcular o nível de risco?
O método mais usado em pequenas e médias empresas é multiplicar impacto por probabilidade em escalas de 1 a 4, o que gera níveis de 1 a 16. Os critérios da organização definem a partir de que nível um risco é médio, alto ou crítico; por exemplo, médio a partir de 6, alto a partir de 9 e crítico em 16. O importante não é a fórmula exata, e sim que ela esteja documentada, aprovada e seja aplicada igual em cada avaliação.
O mapa de calor resume quantos riscos existem em cada combinação de impacto e probabilidade e ajuda a direção a ver de relance onde concentrar o esforço.
Abordagem por cenários ou por ativos?
A ISO/IEC 27001:2022 não obriga a partir de um inventário de ativos. Muitas organizações avaliam cenários de risco por processo, porque é mais rápido e fácil de entender; outras preferem a abordagem por ativos, que se conecta diretamente ao inventário. Quem trata dados pessoais pode usar a mesma matriz para registrar riscos ligados à LGPD. O recomendável é escolher uma abordagem, documentá-la na metodologia e mantê-la.
Erros comuns apontados pelos auditores
- Riscos sem dono ou com um dono genérico como "TI".
- Escalas de impacto e probabilidade sem definição escrita.
- Riscos copiados de outra empresa sem adaptação ao próprio contexto.
- Controles existentes não registrados, o que infla os níveis.
- Avaliar uma vez e não repetir após mudanças significativas.
Modelo: a matriz de riscos do kit NexoDocs
A matriz do kit NexoDocs em português é um Excel sem macros com abordagem por cenários e por ativos, critérios configuráveis, cálculo automático do nível e da categoria, mapa de calor, registro de riscos do próprio SGSI e de exceções. Você pode baixar grátis uma versão reduzida (10 cenários, mapa de calor e critérios, em inglês) para testar antes de comprar o kit completo.
Perguntas frequentes
A ISO 27001 exige uma matriz de riscos em Excel?
Não. Exige um processo de avaliação de riscos definido, aplicado e documentado. O Excel é uma forma prática de documentá-lo, mas outras ferramentas também servem.
Qual escala de impacto e probabilidade usar?
Uma escala de 1 a 4 ou de 1 a 5 é a mais comum em pequenas e médias empresas. O essencial é que cada valor tenha uma definição escrita e aprovada.
Com que frequência atualizar a matriz?
Em intervalos planejados (por exemplo, uma vez por ano) e sempre que houver mudanças significativas na organização, na tecnologia ou nas ameaças.
Um modelo garante passar na auditoria?
Não. A certificação depende de como o SGSI é implementado e da auditoria de um organismo certificador; um bom modelo organiza o trabalho e deixa evidências claras.
Guias relacionados
- Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
- Documentos obrigatórios da ISO 27001:2022: lista por cláusula
- O que é um SGSI e como implementá-lo com a ISO 27001?
Atualizado: 2026-10-20