Ir para o conteúdo
EU Rules Finder
Português (Brasil) (Idioma)

Modelos ISO 27001 preenchidos para você: Declaração de Aplicabilidade, registro de riscos e política

Um sistema de gestão da segurança da informação segundo a ISO/IEC 27001:2022 assenta em alguns documentos centrais: o escopo, a política, a avaliação de riscos e o seu plano de tratamento, a Declaração de Aplicabilidade e os objetivos. Responda às perguntas uma vez; o kit escreve-os em arquivos Word em inglês, alemão, espanhol, francês, polonês ou italiano, calcula o nível de cada risco e lista os 93 controles do anexo A com as suas decisões.

Verificado em relação às fontes em 25 de outubro de 2026

Organização
Contexto e escopo
O que ele abrange, por exemplo: desenvolvimento, hospedagem e suporte da plataforma de reservas Acme.
Um por linha.
Um por linha. Deixe vazio se nada ficar de fora.
Atividades fora do escopo ou feitas por outros de que ele depende, por exemplo hospedagem em nuvem ou folha de pagamento. Uma por linha.
O que, dentro da organização, afeta a segurança, por exemplo uma equipe de TI pequena ou um sistema legado. Uma por linha.
Fatores externos, por exemplo as regras NIS2, exigências dos clientes, ataques ao seu setor. Um por linha.
A Emenda 1 de 2024 pede que toda organização decida isso, por exemplo sim para um data center com risco de inundação.
Uma por linha, por exemplo Clientes: cláusulas de segurança nos contratos; Autoridade de proteção de dados: RGPD.
Política de segurança da informação
Nome e função.
Por exemplo o diretor-geral.
Uma por linha, por exemplo Controle de acesso, Backup, Uso aceitável, Trabalho remoto.
Um número inteiro de 1 a 36; 12 é o habitual.
SOC 2 e NIS2

O kit acrescenta sete políticas por tema, uma planilha dos critérios SOC 2 e um registro do artigo 21.º da NIS2. Segurança está sempre na planilha; marque as outras categorias SOC 2 que o seu relatório vai cobrir.

Riscos

Riscos com nível (probabilidade × impacto) até este número podem ser aceitos, por exemplo 8.
Risco R1
Por exemplo o banco de dados de clientes.
Por exemplo uma senha de administrador roubada, sem segundo fator.

Nível de risco: avalie a probabilidade e o impacto

Números da lista abaixo, por exemplo 5.17, 8.5.

Declaração de Aplicabilidade: os 93 controles

Para cada controle: incluído ou excluído, por quê, e se está implementado. Um controle citado num risco acima é justificado por esse risco.

0 de 93 decididos.

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

Objetivos

Objetivo 1
Por exemplo login com autenticação multifator em todas as contas de administrador.
Como você vai saber, por exemplo 100 % das contas de administrador.
Idioma dos documentos

Nada do que você digita é enviado. Os dados da sua empresa ficam neste navegador para a próxima vez.

O que está nos arquivos

  • o escopo do SGSI, com as questões internas e externas, a questão das alterações climáticas da Emenda 1:2024, as partes interessadas e os seus requisitos, os locais, o que fica de fora e as interfaces (cláusulas 4.1 a 4.3);
  • a política de segurança da informação com os compromissos da alta direção, os papéis e as suas políticas específicas por tema (5.2);
  • a avaliação de riscos: o método, as escalas de 1 a 5, o seu nível de aceitação e o registro com probabilidade × impacto calculado para cada risco (6.1.2);
  • o plano de tratamento de riscos com a opção, os controles do anexo A, a ação, quem e quando, e uma coluna para a aprovação de cada proprietário do risco (6.1.3);
  • a Declaração de Aplicabilidade: os 93 controles do anexo A, incluídos ou excluídos, a justificativa (os riscos que um controle trata são preenchidos para você) e se está implementado (6.1.3 d), também em arquivo CSV para uma planilha;
  • os objetivos de segurança da informação com medida, recursos, responsável e data (6.2), e um leia-me que lista o que a norma pede além destes arquivos.

Verificações que o kit faz

Um nível de risco só é calculado a partir de classificações inteiras de 1 a 5; qualquer outra coisa fica marcada a completar. Um número de controle que não está no anexo A aparece como recusado, não adivinhado. Um controle que você exclui enquanto um dos seus riscos depende dele é assinalado no formulário e na Declaração de Aplicabilidade. Nada fica em branco sem aviso: cada lacuna diz TO COMPLETE.

ISO 27001 e NIS2

A Diretiva NIS2 (UE) 2022/2555 não exige certificação ISO/IEC 27001. O seu artigo 21.º exige que as entidades essenciais e importantes tomem medidas de gestão dos riscos, tendo em conta, se for caso disso, as normas europeias e internacionais pertinentes, e o artigo 25.º pede aos Estados-Membros que incentivem o seu uso. Uma avaliação de riscos, uma política e uma Declaração de Aplicabilidade são uma forma comum de mostrar como essas medidas foram escolhidas. Como o kit associa as suas políticas ao SOC 2 e ao artigo 21.º: políticas SOC 2 e NIS2.

O que o kit não faz

Não contém o texto da norma: os nomes dos controles são palavras curtas nossas, e você precisa do seu próprio exemplar da ISO/IEC 27001 para ler os requisitos. Não escreve os procedimentos por trás de cada controle, não faz a sua auditoria interna nem a análise crítica pela direção, e não certifica nada: só uma auditoria de um organismo de certificação acreditado leva a um certificado. Os documentos estão em inglês, alemão, espanhol, francês, polonês e italiano.

Nada do que digita sai do seu navegador; os arquivos são gerados no seu dispositivo. Modelos, não aconselhamento jurídico.

Fontes