Requisitos da ISO 27001: as cláusulas 4 a 10 explicadas

Quem procura os requisitos da ISO 27001 costuma esbarrar em duas confusões. A primeira é achar que os requisitos são os controles do Anexo A — não são. A segunda é procurar uma lista de tecnologias obrigatórias — que também não existe.

Os requisitos auditáveis da norma estão nas cláusulas 4 a 10. As cláusulas 1, 2 e 3 (escopo, referências normativas e termos) são introdutórias e não geram não conformidade. Este artigo percorre cláusula por cláusula e mostra como elas viram um projeto.

Neste artigo:

• As cláusulas 4 a 10, uma a uma
• Por que o Anexo A não é um requisito no mesmo sentido
• Como os requisitos viram um projeto de implementação
• Os erros que mais geram não conformidade
• Dúvidas frequentes

As cláusulas 4 a 10, uma a uma

• 4. Contexto da organização — identificar as questões internas e externas que afetam a segurança da informação, mapear as partes interessadas e suas exigências, e definir o escopo do SGSI. É aqui que se decide o que entra e o que fica de fora do certificado. Veja como delimitar o escopo sem se enforcar depois;
• 5. Liderança — comprometimento da alta direção, a política de segurança da informação e a definição formal de papéis, responsabilidades e autoridades. Auditor verifica evidência, não intenção: ata de reunião, política assinada, organograma do SGSI;
• 6. Planejamento — o coração da norma. Inclui a avaliação de riscos de segurança da informação, o plano de tratamento de riscos e a Declaração de Aplicabilidade (SoA), além dos objetivos de segurança e do planejamento de mudanças;
• 7. Apoio — recursos, competência das pessoas, conscientização, comunicação e controle da informação documentada. É a cláusula que sustenta todas as outras no dia a dia;
• 8. Operação — colocar em prática o que foi planejado: controle operacional dos processos, execução da avaliação de riscos em intervalos definidos e implementação do plano de tratamento;
• 9. Avaliação de desempenho — monitoramento e medição, auditoria interna e análise crítica pela direção. Sem essas três evidências não existe auditoria de certificação;
• 10. Melhoria — melhoria contínua e o tratamento de não conformidades com ação corretiva, atacando causa e não sintoma.

Por que o Anexo A não é um requisito no mesmo sentido

O Anexo A lista 93 controles de segurança na versão 2022 da norma, agrupados em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. (Na edição de 2013 eram 114 controles em 14 seções — essa versão saiu de circulação em outubro de 2025.)

A diferença é decisiva: a empresa não é obrigada a aplicar os 93. Ela avalia quais são pertinentes aos riscos que identificou e justifica cada exclusão na Declaração de Aplicabilidade. O que a cláusula 6 exige é que essa escolha seja fundamentada — não que a lista inteira seja implementada.

Como implementar cada controle está detalhado na ISO/IEC 27002, que é guia e não é certificável. Veja o detalhamento dos quatro temas do Anexo A.

Como os requisitos viram um projeto de implementação

Na prática de projeto, as cláusulas se organizam em cinco etapas:

1. Entender o contexto da organização

Como a empresa lida hoje com segurança da informação? Já existe algum SGSI? Qual o nível de comprometimento da liderança? Perguntas como essas definem o ponto de partida e o escopo.

2. Avaliação de riscos

A ISO 27001 é, antes de tudo, uma norma de gestão de riscos. Nesta etapa avaliam-se os processos internos e os riscos de segurança da informação associados, criando uma classificação para cada ponto identificado. É dela que sai o plano de tratamento e a SoA.

3. Controles operacionais

Implementação dos controles escolhidos, com a finalidade de eliminar, reduzir ou aceitar de forma consciente os riscos identificados.

4. Análise da eficácia

Monitoramento, medição e avaliação — incluindo a auditoria interna e a análise crítica pela direção. É o momento de descobrir os problemas antes que o auditor externo descubra.

5. Melhoria

As ações corretivas identificadas viram melhoria. E a melhoria continua depois do certificado: manter a conformidade é um ciclo, não um evento.

Os erros que mais geram não conformidade

• Escopo largo demais. Colocar a empresa inteira no certificado quando só uma unidade precisa multiplica o esforço sem retorno;
• SoA de fachada. Marcar controles como aplicáveis sem evidência de implementação é a não conformidade mais comum na auditoria de estágio 2;
• Avaliação de riscos genérica. Uma matriz copiada de modelo, sem os ativos e processos reais da empresa, não sobrevive à primeira pergunta do auditor;
• Análise crítica que nunca aconteceu. A cláusula 9.3 exige registro da direção analisando o desempenho do SGSI — e é um dos itens mais esquecidos;
• Tratar sintoma como causa. A cláusula 10 pede ação corretiva sobre a causa-raiz; trocar a senha vazada sem investigar como vazou não fecha a não conformidade.

Quer o quadro completo da norma? Veja o guia da ISO 27001: o que é, requisitos e como certificar, ou fale com quem já fez isso: como funciona a consultoria de ISO 27001.

Perguntas frequentes

Quantos requisitos tem a ISO 27001?

Os requisitos auditáveis estão em sete cláusulas, da 4 à 10: contexto, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. As cláusulas 1 a 3 são introdutórias e não são auditadas. Isso não se confunde com os 93 controles do Anexo A.

O Anexo A da ISO 27001 é obrigatório?

Não na forma de uma lista fechada. A empresa avalia quais dos 93 controles são pertinentes aos riscos que identificou e justifica as exclusões na Declaração de Aplicabilidade (SoA). O que é obrigatório é justificar a escolha — não implementar tudo.

Qual a diferença entre os requisitos e os controles da ISO 27001?

Os requisitos (cláusulas 4 a 10) definem como o sistema de gestão deve funcionar: quem responde, como se avalia risco, como se audita. Os controles (Anexo A) são as medidas concretas de segurança que tratam os riscos encontrados. Sem os requisitos, os controles viram uma lista solta.

Quais documentos a ISO 27001 exige?

Os obrigatórios incluem o escopo do SGSI, a política de segurança da informação, a metodologia e os resultados da avaliação de riscos, o plano de tratamento de riscos, a Declaração de Aplicabilidade, os objetivos de segurança, os registros de competência e conscientização, os resultados de monitoramento, o programa e os relatórios de auditoria interna, as atas de análise crítica pela direção e os registros de não conformidade e ação corretiva.

A ISO 27001 exige alguma tecnologia específica?

Não. A norma é interpretativa: diz o que precisa ser controlado, não com qual ferramenta. Firewall, antivírus, gestor de senhas ou SIEM podem ser a resposta certa para um risco identificado — mas nenhum deles é exigido por si só. Veja que infraestrutura a ISO 27001 realmente exige.

Webinar gratuito · ao vivoAnálise Crítica pela DireçãoQuarta, 19/08, às 16h (Brasília)Quero minha vaga