ISO 27001 e 27002: o sistema de gestão da segurança da informação
O que um sistema de gestão da segurança da informação muda para um colaborador e para a sua direção, com recursos do NIST e do NCSC.
Em 30 segundos
- Onde acontece
- Em qualquer organização que gere o risco cibernético de forma estruturada, tanto ao nível da direção como das equipas.
- O que pretende
- Decidir as medidas de segurança em função dos riscos reais da organização, e não para cumprir uma exigência formal2.
- O reflexo
- Se uma atividade ou um comportamento lhe parecer suspeito, comunique-o, porque o simples ato de comunicar conta7.
Do que se trata
Esta ficha trata da gestão da segurança da informação numa organização (SGSI), do ponto de vista de um colaborador e da sua direção. Só uma das fontes citadas aqui menciona uma norma ISO, a ISO/IEC 27001:20221.
As fontes citadas aqui provêm de organismos públicos americanos e britânicos (NIST, NCSC, CISA). Não reproduzem o texto das normas ISO, nem o da diretiva NIS 2, nem as publicações da ANSSI. Estes pontos não são, por isso, descritos aqui: a ficha limita-se ao que estas fontes estabelecem sobre a gestão do risco, o papel da direção e os referenciais de medidas.
Perguntas diretas
O que é, concretamente, um SGSI?
As fontes citadas aqui não definem o termo. O NCSC descreve uma abordagem próxima: conceitos de base e, depois, etapas de alto nível que podem servir de alicerce a qualquer processo de gestão do risco cibernético2.
Qual é a relação com a ISO 27001 e a 27002?
As fontes citadas aqui não descrevem estas normas. Só uma as menciona: o NIST publica uma correspondência entre o seu catálogo de medidas SP 800-53 Rev. 5 e a ISO/IEC 27001:20221. O NIST acrescenta que estes quadros dão uma indicação geral de cobertura, que não se deve presumir uma equivalência a partir deles e que as correspondências nem sempre são termo a termo1.
O que deve fazer a direção?
O NCSC redigiu um conjunto de ferramentas para os conselhos de administração. Acompanha um código de boas práticas de governação cibernética e pretende ajudar os conselhos a integrar a resiliência e a gestão do risco nas pessoas, nos sistemas, nos processos e nas tecnologias da organização3.
O que deve fazer um colaborador?
A CISA inclui na higiene de base as palavras-passe robustas, a atualização do software, a prudência perante ligações suspeitas e a autenticação multifator7. Escreve que estas bases valem tanto para particulares como para organizações7. Convida também a comunicar qualquer comportamento suspeito7.
1O que muda para os colaboradores1 min
Para um colaborador, um sistema de gestão nota-se sobretudo nas regras do dia a dia e em saber a quem recorrer. A CISA cita os gestos de higiene de base: palavras-passe robustas, atualizações, prudência com ligações, autenticação multifator7. Propõe também formações e workshops, por exemplo um workshop de iniciação para responsáveis locais sobre as ameaças comuns e as práticas de base7.
A comunicação de incidentes faz parte da abordagem. A CISA afirma que cada pessoa pode ajudar a afastar uma ameaça comunicando uma atividade suspeita ou um comportamento estranho7. As fontes citadas aqui não indicam o procedimento interno de uma empresa em concreto: depende da organização, que é quem o divulga.
2O que muda para a direçãoDireção1 min
O NCSC escreve que a melhoria dos resultados da atividade deve ser o principal motor da gestão do risco cibernético. Defende uma gestão «que ilumine os riscos cibernéticos reais» da organização, em vez de técnicas que procuram apenas satisfazer requisitos de conformidade2. Precisa que o seu guia não é prescritivo e que nenhuma técnica serve para todas as situações2.
Para os conselhos de administração, o NCSC publicou um conjunto de ferramentas organizado em torno do Cyber Governance Code of Practice. Contém dois módulos de introdução, um deles para quem está a descobrir a cibersegurança, bem como um documento de perguntas que o conselho pode colocar para avaliar o desempenho da organização3.
No seu guia SP 800-30 Rev. 1 (setembro de 2012), o NIST descreve a análise de riscos como parte de um processo global de gestão do risco, que fornece aos dirigentes a informação para decidir4.
3O que diz o textoTexto oficial1 min
Os textos ISO não constam das fontes citadas aqui: o seu conteúdo preciso (requisitos, medidas, âmbito, declaração de aplicabilidade, desenrolar de uma certificação) não é, por isso, resumido aqui.
As fontes fornecem, em contrapartida, elementos sobre referenciais próximos. O catálogo SP 800-53 Rev. 5 do NIST (publicado em setembro de 2020) reúne medidas de segurança e de proteção da privacidade para proteger as operações, os ativos e as pessoas contra ameaças variadas, entre as quais ataques hostis, erros humanos e catástrofes naturais1. Inclui famílias de medidas como o controlo de acessos, a sensibilização e formação, a resposta a incidentes ou a avaliação de riscos1.
O Cybersecurity Framework do NIST, na sua versão 2.0, é apresentado como uma ferramenta para reduzir os riscos cibernéticos, com guias de arranque rápido, perfis e tabelas de correspondência com outros recursos5. Um guia de arranque destinado às pequenas e médias empresas propõe recursos para lançar uma estratégia de gestão do risco6.
Por fim, o NIST propõe uma ferramenta de referência em linha sobre cibersegurança e privacidade, o CPRT8.
4Em que ponto está a aplicação1 min
Nenhuma das fontes citadas aqui trata da aplicação da NIS 2, da regulamentação europeia ou dos recursos da ANSSI. Nenhuma indica a duração nem o calendário de uma certificação ISO 27001. Estes elementos continuam por documentar com fontes adequadas.
O que as fontes permitem dizer sobre o estado dos referenciais citados: o NIST publicou uma versão menor do SP 800-53, a 5.2.0, em 27 de agosto de 2025, com novas medidas e revisões de medidas existentes1. Colocou também em linha três cursos de introdução em autoformação sobre o catálogo SP 800-53, os seus procedimentos de avaliação (SP 800-53A) e os seus níveis de referência (SP 800-53B)6. O NCSC indica para o seu conjunto de ferramentas uma versão 3.0, revista em 8 de abril de 20253.
Ficha
- Identificador
- CP-376
- Ala
- 6. Governação e GRC
- Competência Brain
- Proteger os dados (safeguard_data)
- Reflexo Brain
- cr-032
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
- NIST, «Security and Privacy Controls for Information Systems and Organizations». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Risk management», 23 de junho de 2023. https://www.ncsc.gov.uk/collection/risk-management (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Cyber Security Toolkit for Boards», 30 de março de 2023. https://www.ncsc.gov.uk/collection/board-toolkit (consultado em 3 de novembro de 2026)
- NIST, «Guide for Conducting Risk Assessments». https://csrc.nist.gov/pubs/sp/800/30/r1/final (consultado em 3 de novembro de 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado em 3 de novembro de 2026)
- NIST, «CSF 2.0 Resources», 6 de março de 2024. https://www.nist.gov/cyberframework/resources (consultado em 3 de novembro de 2026)
- CISA, «Cybersecurity Best Practices». https://www.cisa.gov/topics/cybersecurity-best-practices (consultado em 3 de novembro de 2026)
- NIST, «Cybersecurity and Privacy Reference Tool CPRT». https://csrc.nist.gov/projects/cprt/catalog (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «ISO 27001 e 27002: o sistema de gestão da segurança da informação», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp376_pt_2026,
author = {Brain},
title = {ISO 27001 e 27002: o sistema de gestão da segurança da informação},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/iso-27001-27002-sgsi/},
note = {CC BY 4.0}
}