Análise de gaps ISO/IEC 27001
Uma análise de gaps da ISO/IEC 27001 mostra o quanto seu sistema de gestão de segurança da informação (SGSI) está longe da certificação. Este guia cobre as seções de gestão e os controles do Anexo A, com checklist e ferramenta grátis.
A lista de verificação está em inglês.
01O que a norma exige
A ISO/IEC 27001:2022 tem duas partes a avaliar. As seções 4 a 10 definem os requisitos do sistema de gestão: escopo, liderança, avaliação e tratamento de riscos, apoio, operação, monitoramento e melhoria. O Anexo A lista 93 controles em quatro temas: organizacionais (37), de pessoas (8), físicos (14) e tecnológicos (34). Você decide quais controles se aplicam na sua Declaração de Aplicabilidade (SoA).
Uma emenda de 2024 acrescentou o requisito de considerar se a mudança do clima é uma questão pertinente no seu contexto (seção 4.1) e para as partes interessadas (4.2).
02Como fazer a análise de gaps
- Defina o escopo e os limites do SGSI.
- Verifique cada requisito das seções 4–10 e classifique, com evidências.
- Revise seu método de avaliação de riscos e se existe um registro de riscos atualizado.
- Percorra os controles do Anexo A e elabore ou atualize a SoA.
- Transforme os gaps em um plano de tratamento priorizado, com responsáveis e prazos.
03Gaps comuns
- 6.1.2–6.1.3: não há avaliação de riscos repetível, ou os riscos não estão ligados aos controles.
- SoA sem justificativas para os controles excluídos.
- 7.5: informação documentada sem controle.
- 9.2–9.3: sem programa de auditoria interna ou análise crítica pela direção.
- Anexo A 5.23 (serviços em nuvem) e 8.28 (codificação segura), incluídos na edição de 2022, sem tratamento.
04Por que uma ferramenta privada importa aqui
Uma análise de gaps de segurança já é sensível por si só: ela lista suas fraquezas. A avaliação de gaps do Paperwing roda no seu navegador e guarda tudo localmente, então suas constatações nunca são enviadas. Você pode exportar o relatório e um backup criptografado.
Perguntas frequentes
O checklist inclui o Anexo A?
Tanto o checklist quanto a ferramenta on-line cobrem as seções 4–10 e os quatro temas do Anexo A. Para o detalhe controle a controle, trabalhe com sua Declaração de Aplicabilidade.
Quantos controles há no Anexo A?
93 na edição de 2022, contra 114 na de 2013.
A certificação ISO 27001 é obrigatória?
Em geral não, mas clientes e contratos pedem cada vez mais.