Políticas da ISO 27001:2022: a política obrigatória e as políticas específicas por tema
A ISO/IEC 27001:2022 exige explicitamente uma única política nas suas cláusulas: a política de segurança da informação (cláusula 5.2), estabelecida pela alta direção, documentada e comunicada. O controle 5.1 do Anexo A acrescenta as políticas específicas por tema (controle de acesso, backup, criptografia, fornecedores, trabalho remoto etc.), obrigatórias apenas se a sua Declaração de Aplicabilidade marcar o controle correspondente como aplicável. Na prática, uma empresa média chega à política geral mais 10 a 20 políticas específicas, conforme os seus riscos. O kit NexoDocs em português contém 1 política geral e 22 políticas específicas (ISMS-POL-00 a ISMS-POL-22).
A política obrigatória: cláusula 5.2
A cláusula 5.2 pede que a alta direção estabeleça uma política de segurança da informação apropriada ao propósito da organização, que inclua objetivos de segurança da informação (ou uma estrutura para defini-los) e dois compromissos: atender aos requisitos aplicáveis e melhorar continuamente o SGSI.
- Ela deve estar disponível como informação documentada.
- Deve ser comunicada dentro da organização.
- Deve estar disponível para as partes interessadas, conforme apropriado (clientes, fornecedores, auditores).
- Mantenha-a curta (2 a 4 páginas) e remeta às políticas específicas para os detalhes.
Um erro comum é uma política geral de 30 páginas cheia de regras técnicas: é difícil de aprovar, ninguém lê e cada mudança precisa voltar para a diretoria.
As políticas específicas: controle 5.1 do Anexo A
O controle 5.1 pede que se definam a política de segurança da informação e as políticas específicas por tema, aprovadas pela direção, publicadas, comunicadas às pessoas relevantes (que confirmam o recebimento) e analisadas criticamente em intervalos planejados ou quando ocorrerem mudanças significativas. As orientações da ISO/IEC 27002:2022 citam temas como controle de acesso, segurança física, gestão de ativos, transferência de informações, dispositivos endpoint, segurança de redes, incidentes, backup, criptografia, classificação, vulnerabilidades técnicas e desenvolvimento seguro.
A norma não define uma lista fechada nem um formato: você pode escrever uma política por tema, agrupar vários temas em um documento ou colocar as regras em procedimentos. O que o auditor verifica é se cada controle aplicável tem regras definidas, aprovadas, comunicadas e atualizadas.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)Lista das políticas e dos controles que elas cobrem
| Política do kit | Controles do Anexo A | Quando você precisa? |
|---|---|---|
| ISMS-POL-00 Política de Segurança da Informação | Cláusula 5.2 e 5.1 | Sempre. |
| ISMS-POL-01 Uso Aceitável de Ativos | 5.10 | Quase sempre: todos usam equipamentos e dados. |
| ISMS-POL-02 Inventário e Gestão de Ativos | 5.9, 5.11 | Sempre que houver ativos de informação (ou seja, sempre). |
| ISMS-POL-03 Classificação e Rotulagem da Informação | 5.12, 5.13 | Se você trata informações de sensibilidades diferentes. |
| ISMS-POL-04 Controle de Acesso e Gestão de Identidades | 5.15 a 5.18, 8.2 a 8.5 | Sempre. |
| ISMS-POL-05 Segurança de Fornecedores | 5.19 a 5.22 | Se terceiros acessam suas informações ou sistemas. |
| ISMS-POL-06 Uso de Serviços em Nuvem | 5.23 | Se você usa e-mail, armazenamento ou aplicações em nuvem. |
| ISMS-POL-07 Gestão de Incidentes de Segurança da Informação | 5.24 a 5.28, 6.8 | Sempre. |
| ISMS-POL-08 Continuidade de Negócios e Prontidão de TIC | 5.29, 5.30 | Quase sempre. |
| ISMS-POL-09 Conformidade Legal e Proteção de Dados Pessoais | 5.31 a 5.34 | Sempre que tratar dados pessoais. |
| ISMS-POL-10 Segurança em Recursos Humanos | 6.1 a 6.6 | Sempre que houver colaboradores. |
| ISMS-POL-11 Trabalho Remoto | 6.7 | Se houver trabalho remoto ou híbrido. |
| ISMS-POL-12 Mesa Limpa e Tela Limpa | 7.7 | Se houver escritórios ou espaços compartilhados. |
| ISMS-POL-13 Mídias de Armazenamento e Descarte Seguro | 7.10, 7.14, 8.10 | Se você usa mídias removíveis ou descarta equipamentos. |
| ISMS-POL-14 Dispositivos Endpoint do Usuário | 8.1 | Se a equipe usa notebooks ou celulares com dados da empresa. |
| ISMS-POL-15 Proteção contra Malware | 8.7 | Sempre. |
| ISMS-POL-16 Gestão de Vulnerabilidades Técnicas | 8.8 | Sempre que operar ou administrar sistemas. |
| ISMS-POL-17 Backup das Informações | 8.13 | Sempre. |
| ISMS-POL-18 Registros de Log e Monitoramento | 8.15, 8.16 | Se você administra servidores, nuvem ou aplicações. |
| ISMS-POL-19 Criptografia | 8.24 | Se você criptografa dados ou comunicações (quase sempre). |
| ISMS-POL-20 Gestão de Mudanças e Desenvolvimento Seguro | 8.25 a 8.29, 8.32 | Se você desenvolve software ou altera sistemas em produção. |
| ISMS-POL-21 Segurança Física e do Ambiente | 7.1 a 7.13 | Se houver escritórios, sala de servidores ou equipamentos próprios. |
| ISMS-POL-22 Segurança de Redes e Operações | 8.20 a 8.22 | Se você administra redes próprias. |
Essa é a estrutura do kit ISO 27001 da NexoDocs em português: a política geral ISMS-POL-00 na pasta «03_Lideranca» e 22 políticas específicas em «03_POLITICAS_E_CONTROLES», cada uma citando seus controles pelo número. A coluna «Quando você precisa?» é apenas uma referência: a decisão final vem da sua avaliação de riscos e da Declaração de Aplicabilidade.
Como decidir quais políticas a sua empresa precisa
- Parta da avaliação de riscos (6.1.2) e da Declaração de Aplicabilidade (6.1.3): cada controle aplicável precisa de regras escritas em algum lugar.
- Agrupe temas em uma empresa pequena: trabalho remoto, dispositivos endpoint e mesa limpa cabem em uma única política do posto de trabalho.
- Não escreva políticas para controles excluídos: se você não desenvolve software, justifique a exclusão de 8.25 a 8.28 na Declaração de Aplicabilidade.
- Escreva o que vocês realmente fazem: o auditor compara a política com a prática e com os registros.
- Dê a cada política um responsável, uma data de revisão e uma versão.
No Brasil: LGPD, ANPD e agentes de pequeno porte
A LGPD pede medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais (art. 46) e incentiva programas de governança em privacidade com políticas e salvaguardas (art. 50). Uma política de segurança da informação aprovada pela direção, com as políticas específicas de controle de acesso, incidentes, backup e fornecedores, é uma das evidências mais citadas dessas medidas. Para agentes de tratamento de pequeno porte, a Resolução CD/ANPD nº 2/2022 admite uma política de segurança da informação simplificada; a ISO 27001 continua exigindo a política da cláusula 5.2 e as regras de cada controle aplicável, mas você pode agrupar temas. Isto não é assessoria jurídica.
O que o auditor verifica nas suas políticas
- Aprovação da direção (assinatura, ata ou registro de aprovação) e versão vigente.
- Evidência de comunicação: e-mail, intranet, integração de novos colaboradores ou ciência dos colaboradores.
- Análise crítica em intervalos planejados: data da última revisão e alterações registradas.
- Coerência com a Declaração de Aplicabilidade: nenhum controle aplicável sem regras e nenhuma política para controles excluídos.
- Prática igual ao texto: se a política diz backup diário testado a cada trimestre, devem existir os registros desses testes.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
Quantas políticas a ISO 27001 exige?
Apenas uma é exigida explicitamente nas cláusulas: a política de segurança da informação (5.2). As políticas específicas do controle 5.1 dependem dos controles do Anexo A que você declarar aplicáveis; não há número fixo.
As políticas específicas precisam ser documentos separados?
Não. A norma exige que existam e sejam aprovadas, comunicadas e revisadas, mas não define formato. Uma empresa pequena pode agrupar vários temas em um único documento.
Com que frequência as políticas devem ser revisadas?
Em intervalos planejados e quando houver mudanças significativas. A prática comum é uma revisão anual antes da análise crítica pela direção.
A política de segurança da ISO 27001 serve para a LGPD?
Ajuda a demonstrar as medidas de segurança do art. 46, mas a LGPD exige outras coisas (bases legais, direitos dos titulares, encarregado). Use a política como parte do programa de governança, não como substituto.
Um modelo de política é suficiente?
Como ponto de partida, sim: economiza estrutura e redação base. Ainda é preciso adaptá-lo ao que a empresa realmente faz; um modelo não adaptado é uma constatação típica de auditoria.
Guias relacionados
Documentos obrigatórios da ISO 27001:2022: lista por cláusula
As informações documentadas exigidas pela ISO/IEC 27001:2022, cláusula por cláusula (política, riscos, DA, objetivos, auditoria), e os documentos do Anexo A.
Ler o guia →Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
O que a Declaração de Aplicabilidade da ISO/IEC 27001:2022 deve conter para os 93 controles, como justificar exclusões e erros comuns. Com modelo em Excel.
Ler o guia →Checklist de auditoria interna ISO 27001: estrutura, classificação e modelo
Checklist de auditoria interna ISO/IEC 27001:2022: cláusulas 4 a 10 e 93 controles do Anexo A, como classificar constatações e quais evidências pedir.
Ler o guia →Atualizado: 2026-10-30