O que é um SGSI e como implementá-lo com a ISO 27001?
Um SGSI (sistema de gestão da segurança da informação) é o conjunto de políticas, processos, responsabilidades e controles com que uma organização decide, documenta e revisa como protege suas informações. A ISO/IEC 27001:2022 define os requisitos de um SGSI nas seções 4 a 10 e traz no Anexo A uma lista de 93 controles de referência; uma organização pode se certificar se um organismo certificador verificar que seu SGSI atende a esses requisitos.
Para que serve um SGSI?
Um SGSI organiza a segurança da informação como um sistema de gestão: definem-se objetivos, avaliam-se riscos, aplicam-se controles e mede-se se eles funcionam. Assim a segurança deixa de depender de esforços isolados e passa a ser repetível, mensurável e demonstrável para clientes, auditores e reguladores.
A estrutura da ISO/IEC 27001:2022
| Seção | Tema | O que se trabalha |
|---|---|---|
| 4 | Contexto | Questões internas e externas, partes interessadas e escopo do SGSI |
| 5 | Liderança | Comprometimento da direção, política e papéis |
| 6 | Planejamento | Avaliação e tratamento de riscos, Declaração de Aplicabilidade e objetivos |
| 7 | Apoio | Recursos, competência, conscientização, comunicação e informação documentada |
| 8 | Operação | Execução dos controles e avaliações de risco periódicas |
| 9 | Avaliação de desempenho | Monitoramento e medição, auditoria interna e análise crítica pela direção |
| 10 | Melhoria | Não conformidades, ações corretivas e melhoria contínua |
Os 93 controles do Anexo A
A versão 2022 agrupa os controles em quatro temas: 37 organizacionais, 8 de pessoas, 14 físicos e 34 tecnológicos. Nem todos se aplicam a todas as organizações: a Declaração de Aplicabilidade (SoA) indica quais se aplicam, por quê e em que estágio estão.
Quais documentos um SGSI precisa?
- Escopo do SGSI e política de segurança da informação.
- Metodologia e resultados da avaliação de riscos, e plano de tratamento.
- Declaração de Aplicabilidade.
- Objetivos de segurança da informação e evidências de competência do pessoal.
- Resultados de monitoramento e medição.
- Programa e resultados de auditoria interna, e análise crítica pela direção.
- Registro de não conformidades e ações corretivas.
Além disso, cada organização documenta o que considerar necessário para a eficácia do SGSI, por exemplo políticas temáticas (controle de acesso, backup, fornecedores) e procedimentos.
SGSI e LGPD
A LGPD (Lei 13.709/2018) exige no art. 46 que os agentes de tratamento adotem medidas de segurança técnicas e administrativas para proteger dados pessoais. A lei não exige a certificação ISO 27001, mas um SGSI oferece uma estrutura organizada para definir essas medidas, aplicá-las e guardar as evidências caso a ANPD ou um cliente as solicite.
Como funciona a certificação?
A certificação é concedida por um organismo certificador acreditado (no Brasil, pela Cgcre/Inmetro), normalmente em duas etapas: uma revisão da documentação e depois uma auditoria da implementação. O certificado é mantido com auditorias de manutenção anuais. A norma é vendida pela ISO ou, no Brasil, pela ABNT como ABNT NBR ISO/IEC 27001; os kits de modelos não a incluem.
Por onde começar
Defina o escopo, obtenha o comprometimento da direção e faça a avaliação de riscos: dela saem os controles necessários e a Declaração de Aplicabilidade. Modelos editáveis economizam tempo na redação, mas cada documento deve ser adaptado à realidade da organização. O kit NexoDocs em português reúne 84 arquivos Word e Excel organizados por etapas, e você pode testar grátis a matriz de riscos (amostra em inglês).
Perguntas frequentes
SGSI e ISO 27001 são a mesma coisa?
Não. O SGSI é o sistema de gestão da organização; a ISO/IEC 27001 é a norma que define os requisitos que esse sistema deve atender para ser certificado.
Quantos controles tem a ISO 27001:2022?
O Anexo A tem 93 controles em quatro temas: 37 organizacionais, 8 de pessoas, 14 físicos e 34 tecnológicos.
Uma pequena empresa pode implementar um SGSI?
Sim. A norma se aplica a organizações de qualquer porte; o escopo e a documentação se ajustam à realidade de cada uma.
Quanto tempo leva para implementar um SGSI?
Depende do escopo e dos recursos; em pequenas e médias empresas costuma levar vários meses entre o planejamento, a implementação dos controles e a primeira auditoria interna.
Guias relacionados
- Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
- Documentos obrigatórios da ISO 27001:2022: lista por cláusula
- Matriz de riscos ISO 27001: o que deve incluir e como usar
Atualizado: 2026-10-20