ISO 27002: o que é, para que serve e a diferença para a ISO 27001

A ISO 27002 (ISO/IEC 27002:2022) é a norma internacional que fornece diretrizes detalhadas para implementar os controles de segurança da informação, cibersegurança e proteção de privacidade. Publicada pela ISO em parceria com a IEC, ela funciona como o guia prático da ISO 27001: enquanto a 27001 define os requisitos do Sistema de Gestão de Segurança da Informação (SGSI) e é certificável, a 27002 detalha como selecionar e aplicar cada controle. Veja o que é a ISO 27001. A versão vigente, de 2022, reorganizou a norma em 93 controles distribuídos em 4 temas.

Neste artigo você vai entender para que serve a ISO 27002, qual a diferença entre ela e a ISO 27001, o que mudou na revisão de 2022, por que não existe certificação ISO 27002 e como a norma apoia a conformidade com a LGPD.

O que é a ISO 27002 e para que serve?

De acordo com a publicação oficial da ISO, a ISO/IEC 27002 é um conjunto de referência de controles de segurança da informação com orientações de implementação baseadas nas melhores práticas reconhecidas internacionalmente.

Na prática, ela serve para responder a pergunta que aparece logo depois que a organização decide estruturar sua segurança: quais controles aplicar e como aplicar cada um. A norma orienta a seleção, a implementação e o gerenciamento dos controles considerando o ambiente de risco de cada organização, cobrindo processos, tecnologia e pessoas.

Ela pode ser usada de duas formas: como apoio direto à implementação de um SGSI em conformidade com a ISO 27001, ou como referência para organizações que querem estruturar suas próprias diretrizes de segurança da informação antes de buscar qualquer certificação.

Qual a diferença entre a ISO 27001 e a ISO 27002?

Essa é a dúvida mais comum sobre as duas normas, e a resposta cabe em uma frase: a ISO 27001 diz o que a organização precisa fazer, a ISO 27002 orienta como fazer.

As duas normas trabalham juntas: os controles listados no Anexo A da ISO 27001 são exatamente os controles que a ISO 27002 detalha. Quem implementa um SGSI usa a 27001 como régua e a 27002 como manual.

O que mudou na ISO 27002:2022?

A revisão de 2022 foi a maior reestruturação da norma desde que ela recebeu o número 27002, em 2007 (antes disso, era a ISO 17799). As principais mudanças:

• De 14 seções para 4 temas: os controles deixaram de ser organizados em 14 grupos e passaram a 4 temas: Organizacionais (37 controles, como políticas e papéis de segurança), Pessoas (8, como trabalho remoto e acordos de confidencialidade), Físicos (14, como áreas seguras e manutenção de instalações) e Tecnológicos (34, como criptografia, segurança de redes e desenvolvimento seguro);
• De 114 para 93 controles: a lista foi consolidada (24 controles foram mesclados, 58 revisados) e modernizada com 11 controles inteiramente novos;
• Atributos de controle: cada controle ganhou atributos (tipo, propriedade de segurança, conceito de cibersegurança) que facilitam filtrar e priorizar conforme o contexto da organização.

Quais são os 11 controles novos da versão 2022?

Os controles novos refletem as ameaças que ganharam peso desde a versão anterior: nuvem, cadeia de suprimentos digital e vazamento de dados.

Para quem mantém um SGSI certificado, essa mudança não é teórica: a ISO 27001:2022 incorporou a nova estrutura de controles no Anexo A, e as organizações certificadas precisaram adequar a declaração de aplicabilidade à nova organização dos controles.

Existe certificação da norma 27002?

Não. A ISO 27002 é um código de prática, não uma norma de requisitos, e por isso não existe certificado ISO 27002 para empresas. A confusão é comum porque a norma já foi um padrão de referência interno em muitas equipes de TI, mas o caminho formal de certificação em segurança da informação é a ISO 27001. Veja o que é a ISO 27001.

Isso tem uma consequência prática para quem está planejando investimento em segurança: aplicar as boas práticas da 27002 sem estruturar o SGSI da 27001 melhora a segurança, mas não gera o atestado que clientes, editais e reguladores pedem. O movimento mais eficiente costuma ser implementar as duas em conjunto, usando a 27002 como guia técnico dentro do projeto de certificação da 27001.

Como a norma apoia a conformidade com a LGPD?

A LGPD exige que as organizações adotem medidas técnicas e organizacionais para proteger dados pessoais, mas não descreve quais medidas são essas nem como implementá-las. É exatamente essa lacuna que a ISO 27002 preenche: ela traduz a exigência genérica da lei em controles concretos de acesso, criptografia, gestão de incidentes, segurança física e conscientização de pessoas.

Dois pontos importantes para não misturar as coisas:

• A LGPD é lei e vale para toda organização que trata dados pessoais no Brasil. As normas ISO são voluntárias. Seguir a ISO 27002 ajuda a comprovar diligência, mas não substitui a conformidade com a lei;
• Para privacidade de dados pessoais especificamente, existe a ISO 27701, que é uma extensão da ISO 27001 com controles de gestão de privacidade. Veja o que é a ISO 27701. Ela não pode ser implementada sozinha: depende do SGSI da 27001 como base.

Veja mais sobre essa combinação no nosso guia de requisitos da ISO 27001 para a LGPD.

Para o caminho completo, veja também o guia de ISO 27001 para adequação à LGPD.

Como aplicar os 93 controles na empresa?

A norma lista 93 controles, mas isso não significa implementar os 93 de uma vez. O erro mais comum é tratar a lista como checklist obrigatório em vez de menu de referência. O caminho que recomendamos:

1. Diagnóstico e avaliação de riscos: entender quais ativos de informação existem, quais ameaças importam no seu contexto e onde estão as lacunas;
2. Seleção de controles proporcional ao risco: priorizar os controles que tratam os riscos críticos do negócio, usando os atributos da 27002 para filtrar;
3. Implementação com dono e prazo: cada controle com responsável definido, integrado aos processos existentes da gestão de segurança da informação;
4. Medição e melhoria contínua: auditorias internas e indicadores para verificar se os controles funcionam de fato, não só no papel.

A Promove atua na implementação e auditoria de sistemas de gestão de segurança da informação com auditores líderes ISO 27001, começando sempre pelo diagnóstico, não pela ferramenta. Fale com um especialista para avaliar quais controles fazem sentido para o momento da sua empresa.

Perguntas frequentes sobre ISO 27002