SGSI: o que é o Sistema de Gestão da Segurança da Informação

SGSI é a sigla de Sistema de Gestão da Segurança da Informação: o conjunto de política, processos, papéis e controles com que uma organização decide, de forma consciente e documentada, quanto risco de informação ela aceita correr — e o que faz para manter esse risco no tamanho escolhido.

A definição importa por causa do que ela exclui. SGSI não é firewall, não é antivírus, não é o time de TI e não é a pasta de políticas. Tecnologia é um dos meios pelos quais um SGSI trata risco; a maior parte dele é decisão, processo e comportamento. Empresa com muita ferramenta e nenhum critério de risco tem investimento em segurança, não tem SGSI.

O que é um SGSI, na prática

Um SGSI faz três coisas que a segurança feita por reação não faz:

Decide antes. Em vez de proteger o que apareceu no último incidente, o sistema identifica os riscos sobre as informações que importam, mede consequência e probabilidade com critério escrito e prioriza. O que vira controle é o que o risco apontou — não o que estava na promoção do fornecedor.

Atribui dono. Cada informação e cada risco tem alguém com nome que responde por ele. Segurança sem dono vira "responsabilidade da TI", e a TI não decide quem pode ver a folha de pagamento nem quanto tempo o jurídico guarda contrato.

Prova. O sistema gera registro do que aconteceu: acesso revisado, incidente tratado, backup restaurado em teste, fornecedor avaliado, pessoa treinada. É esse rastro que diferencia um SGSI de uma intenção — e é ele que um cliente, um auditor ou um regulador pedem.

A informação em questão não é só a digital. Contrato em armário, conversa em sala de reunião, crachá emprestado, papel na impressora e o que uma pessoa leva na cabeça quando sai da empresa estão todos dentro do escopo de um SGSI.

Confidencialidade, integridade e disponibilidade

O SGSI protege três propriedades da informação, e a maioria das discussões de segurança melhora quando alguém pergunta "qual das três estamos tratando?".

• Confidencialidade — a informação só é acessada por quem tem autorização. É a que todo mundo lembra;
• Integridade — a informação está correta e completa, e mudanças são rastreáveis. Um dado alterado sem registro pode custar mais que um dado vazado;
• Disponibilidade — a informação está lá quando é necessária. Ransomware ataca esta, não a primeira: o problema não é que alguém leu, é que ninguém mais consegue ler.

Boa parte dos controles de um SGSI trata mais de integridade e disponibilidade do que de sigilo — e é por isso que um SGSI que só olha para vazamento cobre um terço do problema.

Do que um SGSI é feito

• Escopo — o que está dentro: processos, unidades, pessoas, ativos e as interfaces com quem está fora (provedor de nuvem, terceiro, matriz);
• Política de segurança da informação — aprovada pela direção, curta o suficiente para ser lida, com regras que alguém consegue seguir;
• Inventário de ativos de informação — que informação existe, onde nasce, por onde trafega, quem acessa, onde é guardada, quando é descartada, e quem é o dono;
• Processo de gestão de riscos — critérios definidos antes dos resultados, riscos identificados e analisados, plano de tratamento e riscos residuais aceitos por quem tem autoridade;
• Controles — organizacionais, de pessoas, físicos e tecnológicos, escolhidos a partir do risco;
• Papéis e responsabilidades — quem responde pelo sistema, quem responde por cada ativo, quem aceita risco;
• Competência e conscientização — as pessoas sabem o que se espera delas, e há como verificar isso;
• Medição — indicadores que provocam decisão, não painel;
• Gestão de incidentes — como registrar, tratar, comunicar e aprender;
• Auditoria interna e análise crítica — os dois mecanismos que impedem o sistema de virar pasta parada.

SGSI e ISO 27001: qual é a relação

A ISO 27001 é a norma internacional que especifica os requisitos de um SGSI — e a única contra a qual uma organização se certifica nesse tema. A relação é direta: o SGSI é o sistema; a 27001 é a régua que diz o que ele precisa ter.

Três esclarecimentos que economizam confusão:

• Dá para ter SGSI sem certificar. Muita empresa implanta o sistema pela redução de risco e só busca o certificado quando um cliente exige. O sistema funciona igual; o que o certificado acrescenta é a verificação independente;
• A norma não exige tecnologia. Ela exige que o risco seja avaliado e tratado. Os 93 controles do Anexo A da ISO/IEC 27001:2022 se dividem em 37 organizacionais, 8 de pessoas, 14 físicos e 34 tecnológicos — a maioria não se compra;
• Cada norma tem seu papel. A 27001 define os requisitos; a ISO/IEC 27002 orienta a implementação dos controles; a ISO/IEC 27005 trata da gestão de riscos. Só a primeira é certificável.

A versão vigente é a ISO/IEC 27001:2022 com a Emenda 1:2024, que acrescentou a determinação sobre mudanças climáticas no contexto. A validade dos certificados emitidos na edição de 2013 se encerrou em outubro de 2025. Os requisitos item por item estão em requisitos da ISO 27001: as cláusulas 4 a 10.

Escopo: o SGSI não precisa cobrir a empresa inteira

Ao contrário do que se supõe, o SGSI pode cobrir uma parte da organização — um serviço, uma unidade, um produto. É uma das decisões mais estratégicas do sistema, porque o que ficar de fora não é auditado nem coberto pelo certificado.

Os dois erros são simétricos: escopo largo demais multiplica esforço, custo de auditoria e chance de achado; escopo estreito demais entrega um certificado que não resolve a exigência comercial que motivou o projeto — quando o cliente pede a 27001 para o serviço que ele contrata e aquele serviço ficou fora. O passo a passo está em como definir o escopo do SGSI.

Escopo parcial exige explicitar interfaces: o que entra e sai do perímetro, e quem responde pelo que está do outro lado — principalmente em nuvem, onde o provedor cuida de uma parte e você continua respondendo pela sua.

Como um SGSI se mantém vivo

Todo sistema de gestão segue a lógica do ciclo PDCA, e no SGSI ela é bem concreta: planejar (contexto, escopo, riscos, objetivos), executar (controles, competência, operação), verificar (medição, auditoria interna, análise crítica pela direção) e agir (não conformidade, ação corretiva, melhoria).

O que mata um SGSI depois do primeiro ano não é ataque — é o sistema parar de ser usado. Os sinais são sempre os mesmos: a avaliação de riscos com data do projeto inicial, o inventário de ativos sem os sistemas contratados no ano passado, o registro de incidente vazio, a revisão de acesso que ninguém faz desde a auditoria. O que fazer entre auditorias está em como manter o SGSI depois da certificação.

SGSI e LGPD

O SGSI é o caminho mais direto para atender ao que a LGPD chama de medidas de segurança técnicas e administrativas (art. 46) — e para conseguir provar essas medidas, que é a parte difícil. Mas as duas coisas não se substituem: a LGPD trata do dado pessoal e dos direitos do titular, e exige base legal, finalidade, atendimento a titular, encarregado e comunicação de incidente — nada disso é requisito da 27001.

O SGSI protege qualquer informação relevante para o negócio, seja ela pessoal ou não. Onde uma cobre a outra e onde não, com o que a norma resolve e o que ela deixa em aberto, está em LGPD e ISO 27001.

Como saber se o seu SGSI existe de verdade

Quatro perguntas, e as respostas costumam ser rápidas:

• Qual foi o último risco de informação que a direção aceitou formalmente? Se ninguém aceita risco, ninguém está decidindo — está torcendo;
• Quem é o dono da informação mais crítica da empresa? Se a resposta for "a TI", o sistema ainda não saiu da tecnologia;
• Qual foi o último teste de restauração de backup? Backup nunca restaurado é plano, não controle;
• Quantos incidentes foram registrados nos últimos 12 meses? Zero raramente significa segurança; costuma significar ausência de registro.

Se as quatro têm resposta com data e nome, existe um SGSI. Se não, existe boa vontade — e o caminho para transformar uma coisa na outra está em como implementar a ISO 27001.

Leia mais

• ISO 27001: o que é, requisitos e como certificar
• Requisitos da ISO 27001: as cláusulas 4 a 10 explicadas
• Como implementar a ISO 27001: o passo a passo
• Como definir o escopo do SGSI
• Segurança da informação: o que é, riscos e como proteger
• Auditoria ISO 27001: o que o auditor pede
• LGPD e ISO 27001: onde uma cobre a outra e onde não
• Quais empresas precisam da ISO 27001