ISO/IEC 27005: gestão de riscos de segurança da informação

Resposta direta: a ISO/IEC 27005 é a norma de apoio que orienta como identificar, analisar, avaliar e tratar riscos de segurança da informação. Ela não é certificável: quem gera certificado é a ISO 27001 (SGSI). Na prática, a 27005 alimenta a avaliação de riscos exigida pela 27001, o plano de tratamento e a Declaração de Aplicabilidade (SoA).

Guia Certificação ISO (Templum). Hub ISO 27001 · requisitos · implementar · certificação · consultoria.

Respostas diretas: ISO/IEC 27005 e gestão de riscos

Resumo para quem precisa decidir rápido ou citar o método; o passo a passo comentado está nas seções abaixo.

• O que é a ISO/IEC 27005: guia internacional de gestão de riscos de segurança da informação, alinhado ao SGSI da 27001. Não substitui a norma certificável.
• ISO 27005 é certificável? Não. Certificado de SGSI sai de auditoria da ISO/IEC 27001 por organismo acreditado.
• Para que serve na ISO 27001: estruturar avaliação e tratamento de riscos (cláusulas 6.1 e 8.2), escolher controles do Anexo A com justificativa na SoA.
• Passos essenciais: definir contexto e critérios, identificar riscos sobre confidencialidade, integridade e disponibilidade, analisar, avaliar, tratar, aceitar residual e revisar periodicamente.
• Documentos típicos: metodologia de risco, registro de critérios, resultado da avaliação, plano de tratamento, aceites formais, SoA ligada aos riscos.
• Matriz de riscos: ferramenta comum, não obrigatória; o auditor exige processo repetível, não planilha vazia. Matriz de riscos: o que é.
• PME: mesmo fluxo, menos ativos e critérios simples; foco no que guarda dado de cliente e no que para a operação. ISO 27001 para pequenas empresas.

O que é a ISO/IEC 27005

A ISO/IEC 27005 descreve atividades e conceitos de gestão de riscos aplicados à segurança da informação: ativos de informação, ameaças, vulnerabilidades, impacto e tratamento. Ela conversa com a estrutura de alto nível da família ISO/IEC 27000 e detalha o que a ISO 27001 exige de forma genérica em planejamento e operação.

Empresas em projeto de SGSI usam a 27005 para não inventar método na hora da auditoria: critérios de probabilidade e impacto definidos antes da análise, dono de risco nomeado, revisão após incidente ou mudança relevante. Consultoria costuma adaptar o guia ao porte; certificadora audita se o que está no papel aparece na operação.

ISO 27001, ISO 27002 e ISO 27005: quem faz o quê

As três normas se complementam, mas só uma gera certificado. Entender o papel de cada uma evita comprar “certificação 27005” ou confundir lista de controles com sistema de gestão.

• ISO/IEC 27001: requisitos do SGSI (cláusulas 4 a 10) e referência ao Anexo A. É a norma certificável.
• ISO/IEC 27002: guia de implementação dos controles do Anexo A. Não gera certificado.
• ISO/IEC 27005: guia de gestão de riscos que sustenta a escolha e a profundidade dos controles. Não gera certificado.

Na auditoria de certificação, o foco está na 27001: escopo, riscos, SoA, evidência de controles e ciclo PDCA. A 27005 entra como referência de boa prática para o requisito de avaliação de riscos, não como norma auditada separada.

Passos da gestão de riscos (visão ISO/IEC 27005 no SGSI)

A ordem abaixo é a que funciona na maioria dos projetos de implementação ISO 27001: pular etapas (principalmente critérios e inventário) produz SoA desconectada da operação.

1. Estabelecer contexto. Escopo do SGSI, partes interessadas e ativos de informação relevantes (incluindo SaaS e terceiros).
2. Definir critérios de risco. Escalas de impacto e probabilidade, limiar de aceitação e quem pode aceitar risco residual. Escrever antes de preencher a matriz.
3. Identificar riscos. Cenários que afetam confidencialidade, integridade ou disponibilidade, em linguagem de negócio.
4. Analisar e avaliar. Priorizar riscos com os critérios acordados; registrar dono de cada risco.
5. Tratar. Reduzir, transferir, evitar ou aceitar; escolher controles (Anexo A) proporcionais ao tratamento.
6. Comunicar e monitorar. Revisão periódica, após incidente grave ou mudança de escopo/tecnologia.
7. Atualizar a SoA. Cada controle incluído ou excluído com justificativa ligada a risco ou requisito legal/contratual.

Detalhe do projeto completo: 11 etapas de implementação. Mapeamento Anexo A: Anexo A para políticas.

Que documentação a gestão de riscos costuma gerar

A 27001 não impõe modelo único; impõe que o processo exista, seja coerente e deixe registro. Estes artefatos aparecem na maioria dos SGSI auditáveis e espelham a lógica da 27005.

• Procedimento ou metodologia de avaliação de riscos (critérios, frequência de revisão, papéis).
• Resultado da avaliação de riscos (requisito 8.2 da 27001).
• Plano de tratamento com responsável, prazo e status.
• Registros de aceitação de risco residual por autoridade adequada.
• SoA completa, com status de implementação e ligação risco-controle.

Auditoria interna deve amostrar se tratamentos foram executados, não só aprovados no papel. Auditoria ISO 27001 · checklist de auditoria interna.

ISO 27005 e PME: simplificar sem enfraquecer

Pequena empresa não precisa de GRC enterprise no dia 1. Precisa de inventário honesto (onde estão contratos, financeiro, backups, acessos), critérios de risco em uma página e tratamento dos cenários que derrubam cliente ou operação.

Boas práticas para PME: revisar riscos quando entra novo sistema ou fornecedor crítico; manter SoA enxuta com exclusões justificadas; usar a mesma cadência de indicadores e auditoria interna já prevista na 27001. Guia ISO 27001 para pequenas empresas · LGPD e ISO 27001.

Da gestão de riscos ao certificado

Risco bem conduzido reduz achados no estágio 2, mas não substitui operação com registro nem auditoria interna. Depois do SGSI rodando, a empresa contrata organismo acreditado (Inmetro/Cgcre) em contrato separado da consultoria. Certificação ISO 27001: etapas, prazo e custo · Como escolher certificadora ISO confiável · Acreditação de certificadoras.

Quer SGSI com risco bem amarrado? Consultoria Templum ISO 27001 · Diagnóstico gratuito · Hub ISO 27001