--- id: CP-376 slug: iso-27001-27002-sgsi lang: pt title: "ISO 27001 e 27002: o sistema de gestão da segurança da informação" description: O que um sistema de gestão da segurança da informação muda para um colaborador e para a sua direção, com recursos do NIST e do NCSC. canonical_url: https://startbrain.io/cyberpedia/pt/articles/iso-27001-27002-sgsi/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/iso-27001-27002-sgsi.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «ISO 27001 e 27002: o sistema de gestão da segurança da informação», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/iso-27001-27002-sgsi/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-032 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/iso-27001-27002-sgsi/ fr: https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi/ en: https://startbrain.io/cyberpedia/en/articles/iso-27001-27002-isms/ de: https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/ es: https://startbrain.io/cyberpedia/es/articles/iso-27001-27002-sgsi/ it: https://startbrain.io/cyberpedia/it/articles/iso-27001-27002-sgsi/ nl: https://startbrain.io/cyberpedia/nl/articles/iso-27001-27002-isms-nl/ sources: - "n": 1 title: Security and Privacy Controls for Information Systems and Organizations publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" - "n": 2 title: Risk management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/risk-management published: "2023-06-23" accessed: "2026-11-03" - "n": 3 title: Cyber Security Toolkit for Boards publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/board-toolkit published: "2023-03-30" accessed: "2026-11-03" - "n": 4 title: Guide for Conducting Risk Assessments publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/30/r1/final accessed: "2026-11-03" - "n": 5 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 6 title: CSF 2.0 Resources publisher: NIST url: https://www.nist.gov/cyberframework/resources published: "2024-03-06" accessed: "2026-11-03" - "n": 7 title: Cybersecurity Best Practices publisher: CISA url: https://www.cisa.gov/topics/cybersecurity-best-practices accessed: "2026-11-03" - "n": 8 title: Cybersecurity and Privacy Reference Tool CPRT publisher: NIST url: https://csrc.nist.gov/projects/cprt/catalog accessed: "2026-11-03" --- # ISO 27001 e 27002: o sistema de gestão da segurança da informação Esta ficha trata da gestão da segurança da informação numa organização (SGSI), do ponto de vista de um colaborador e da sua direção. Só uma das fontes citadas aqui menciona uma norma ISO, a ISO/IEC 27001:2022 [1]. As fontes citadas aqui provêm de organismos públicos americanos e britânicos (NIST, NCSC, CISA). Não reproduzem o texto das normas ISO, nem o da diretiva NIS 2, nem as publicações da ANSSI. Estes pontos não são, por isso, descritos aqui: a ficha limita-se ao que estas fontes estabelecem sobre a gestão do risco, o papel da direção e os referenciais de medidas. ## Em 30 segundos - Onde acontece: em qualquer organização que gere o risco cibernético de forma estruturada, tanto ao nível da direção como das equipas. - O que pretende: decidir as medidas de segurança em função dos riscos reais da organização, e não para cumprir uma exigência formal [2]. - O reflexo: se uma atividade ou um comportamento lhe parecer suspeito, comunique-o, porque o simples ato de comunicar conta [7]. ## Perguntas diretas ### O que é, concretamente, um SGSI? As fontes citadas aqui não definem o termo. O NCSC descreve uma abordagem próxima: conceitos de base e, depois, etapas de alto nível que podem servir de alicerce a qualquer processo de gestão do risco cibernético [2]. ### Qual é a relação com a ISO 27001 e a 27002? As fontes citadas aqui não descrevem estas normas. Só uma as menciona: o NIST publica uma correspondência entre o seu catálogo de medidas SP 800-53 Rev. 5 e a ISO/IEC 27001:2022 [1]. O NIST acrescenta que estes quadros dão uma indicação geral de cobertura, que não se deve presumir uma equivalência a partir deles e que as correspondências nem sempre são termo a termo [1]. ### O que deve fazer a direção? O NCSC redigiu um conjunto de ferramentas para os conselhos de administração. Acompanha um código de boas práticas de governação cibernética e pretende ajudar os conselhos a integrar a resiliência e a gestão do risco nas pessoas, nos sistemas, nos processos e nas tecnologias da organização [3]. ### O que deve fazer um colaborador? A CISA inclui na higiene de base as palavras-passe robustas, a atualização do software, a prudência perante ligações suspeitas e a autenticação multifator [7]. Escreve que estas bases valem tanto para particulares como para organizações [7]. Convida também a comunicar qualquer comportamento suspeito [7]. ## O que muda para os colaboradores Para um colaborador, um sistema de gestão nota-se sobretudo nas regras do dia a dia e em saber a quem recorrer. A CISA cita os gestos de higiene de base: palavras-passe robustas, atualizações, prudência com ligações, autenticação multifator [7]. Propõe também formações e workshops, por exemplo um workshop de iniciação para responsáveis locais sobre as ameaças comuns e as práticas de base [7]. A comunicação de incidentes faz parte da abordagem. A CISA afirma que cada pessoa pode ajudar a afastar uma ameaça comunicando uma atividade suspeita ou um comportamento estranho [7]. As fontes citadas aqui não indicam o procedimento interno de uma empresa em concreto: depende da organização, que é quem o divulga. ## O que muda para a direção O NCSC escreve que a melhoria dos resultados da atividade deve ser o principal motor da gestão do risco cibernético. Defende uma gestão «que ilumine os riscos cibernéticos reais» da organização, em vez de técnicas que procuram apenas satisfazer requisitos de conformidade [2]. Precisa que o seu guia não é prescritivo e que nenhuma técnica serve para todas as situações [2]. Para os conselhos de administração, o NCSC publicou um conjunto de ferramentas organizado em torno do Cyber Governance Code of Practice. Contém dois módulos de introdução, um deles para quem está a descobrir a cibersegurança, bem como um documento de perguntas que o conselho pode colocar para avaliar o desempenho da organização [3]. No seu guia SP 800-30 Rev. 1 (setembro de 2012), o NIST descreve a análise de riscos como parte de um processo global de gestão do risco, que fornece aos dirigentes a informação para decidir [4]. ## O que diz o texto Os textos ISO não constam das fontes citadas aqui: o seu conteúdo preciso (requisitos, medidas, âmbito, declaração de aplicabilidade, desenrolar de uma certificação) não é, por isso, resumido aqui. As fontes fornecem, em contrapartida, elementos sobre referenciais próximos. O catálogo SP 800-53 Rev. 5 do NIST (publicado em setembro de 2020) reúne medidas de segurança e de proteção da privacidade para proteger as operações, os ativos e as pessoas contra ameaças variadas, entre as quais ataques hostis, erros humanos e catástrofes naturais [1]. Inclui famílias de medidas como o controlo de acessos, a sensibilização e formação, a resposta a incidentes ou a avaliação de riscos [1]. O Cybersecurity Framework do NIST, na sua versão 2.0, é apresentado como uma ferramenta para reduzir os riscos cibernéticos, com guias de arranque rápido, perfis e tabelas de correspondência com outros recursos [5]. Um guia de arranque destinado às pequenas e médias empresas propõe recursos para lançar uma estratégia de gestão do risco [6]. Por fim, o NIST propõe uma ferramenta de referência em linha sobre cibersegurança e privacidade, o CPRT [8]. ## Em que ponto está a aplicação Nenhuma das fontes citadas aqui trata da aplicação da NIS 2, da regulamentação europeia ou dos recursos da ANSSI. Nenhuma indica a duração nem o calendário de uma certificação ISO 27001. Estes elementos continuam por documentar com fontes adequadas. O que as fontes permitem dizer sobre o estado dos referenciais citados: o NIST publicou uma versão menor do SP 800-53, a 5.2.0, em 27 de agosto de 2025, com novas medidas e revisões de medidas existentes [1]. Colocou também em linha três cursos de introdução em autoformação sobre o catálogo SP 800-53, os seus procedimentos de avaliação (SP 800-53A) e os seus níveis de referência (SP 800-53B) [6]. O NCSC indica para o seu conjunto de ferramentas uma versão 3.0, revista em 8 de abril de 2025 [3]. ## Fontes 1. NIST, «Security and Privacy Controls for Information Systems and Organizations». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consultado em 3 de novembro de 2026) 2. NCSC (Royaume-Uni), «Risk management», 23 de junho de 2023. https://www.ncsc.gov.uk/collection/risk-management (consultado em 3 de novembro de 2026) 3. NCSC (Royaume-Uni), «Cyber Security Toolkit for Boards», 30 de março de 2023. https://www.ncsc.gov.uk/collection/board-toolkit (consultado em 3 de novembro de 2026) 4. NIST, «Guide for Conducting Risk Assessments». https://csrc.nist.gov/pubs/sp/800/30/r1/final (consultado em 3 de novembro de 2026) 5. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado em 3 de novembro de 2026) 6. NIST, «CSF 2.0 Resources», 6 de março de 2024. https://www.nist.gov/cyberframework/resources (consultado em 3 de novembro de 2026) 7. CISA, «Cybersecurity Best Practices». https://www.cisa.gov/topics/cybersecurity-best-practices (consultado em 3 de novembro de 2026) 8. NIST, «Cybersecurity and Privacy Reference Tool CPRT». https://csrc.nist.gov/projects/cprt/catalog (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/iso-27001-27002-sgsi/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.