Número de referência
191 páginas
© ISO/IEC 2022 – © ABNT 2022
ABNT NBR ISO/IEC 27002:2022
ABNT NBR
ISO/IEC
27002
Terceira edição
05.10.2022
Segurança da informação, segurança cibernética
e proteção à privacidade — Controles de segurança
da informação
Information security, cybersecurity and privacy protection — Information
security controls
NORMA
BRASILEIRA
ICS 35.040 ISBN 978-85-07-09276-6
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
ii
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
© ISO/IEC 2022
Todos os direitos reservados. A menos que especifcado de outro modo, nenhuma parte desta publicação pode ser
reproduzida ou utilizada por qualquer meio, eletrônico ou mecânico, incluindo fotocópia e microflme, sem permissão por
escrito da ABNT, único representante da ISO no território brasileiro.
© ABNT 2022
Todos os direitos reservados. A menos que especifcado de outro modo, nenhuma parte desta publicação pode ser
reproduzida ou utilizada por qualquer meio, eletrônico ou mecânico, incluindo fotocópia e microflme, sem permissão por
escrito da ABNT.
ABNT
Av. Treze de Maio, 13 – 28º andar
20031-901 – Rio de Janeiro – RJ
Tel.: + 55 21 3974-2300
Fax: + 55 21 3974-2346
abnt@abnt.org.br
www.abnt.org.br
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
iii
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Sumário Página
Prefácio Nacional ……………………………………………………………………………………………………………….vi
Introdução………………………………………………………………………………………………………………………….ix
1 Escopo ………………………………………………………………………………………………………………..1
2 Referências normativas………………………………………………………………………………………..1
3 Termos e defnições……………………………………………………………………………………………..1
4 Estrutura deste documento…………………………………………………………………………………..9
4.1 Seções…………………………………………………………………………………………………………………9
4.2 Temas e atributos…………………………………………………………………………………………………9
4.3 Layout dos controles………………………………………………………………………………………….10
5 Controles organizacionais ………………………………………………………………………………….11
5.1 Políticas de segurança da informação…………………………………………………………………11
5.2 Papéis e responsabilidades pela segurança da informação …………………………………13
5.3 Segregação de funções………………………………………………………………………………………15
5.4 Responsabilidades da direção…………………………………………………………………………….16
5.5 Contato com autoridades……………………………………………………………………………………17
5.6 Contato com grupos de interesse especial………………………………………………………….18
5.7 Inteligência de ameaças ……………………………………………………………………………………..19
5.8 Segurança da informação no gerenciamento de projetos…………………………………….20
5.9 Inventário de informações e outros ativos associados ………………………………………..22
5.10 Uso aceitável de informações e outros ativos associados……………………………………24
5.11 Devolução de ativos……………………………………………………………………………………………26
5.12 Classifcação das informações……………………………………………………………………………27
5.13 Rotulagem de informações …………………………………………………………………………………28
5.14 Transferência de informações …………………………………………………………………………….30
5.15 Controle de acesso …………………………………………………………………………………………….33
5.16 Gestão de identidade………………………………………………………………………………………….35
5.17 Informações de autenticação………………………………………………………………………………37
5.18 Direitos de acesso………………………………………………………………………………………………39
5.19 Segurança da informação nas relações com fornecedores ………………………………….41
5.20 Abordagem da segurança da informação nos contratos de fornecedores…………….43
5.21 Gestão da segurança da informação na cadeia de fornecimento de TIC……………….46
5.22 Monitoramento, análise crítica e gestão de mudanças dos serviços
de fornecedores …………………………………………………………………………………………………48
5.23 Segurança da informação para uso de serviços em nuvem………………………………….50
5.24 Planejamento e preparação da gestão de incidentes de segurança da informação….53
5.25 Avaliação e decisão sobre eventos de segurança da informação …………………………55
5.26 Resposta a incidentes de segurança da informação…………………………………………….56
5.27 Aprendizado com incidentes de segurança da informação…………………………………..57
5.28 Coleta de evidências…………………………………………………………………………………………..58
5.29 Segurança da informação durante a disrupção……………………………………………………59
5.30 Prontidão de TIC para continuidade de negócios…………………………………………………60
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
iv
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
5.31 Requisitos legais, estatutários, regulamentares e contratuais ……………………………..61
5.32 Direitos de propriedade intelectual ……………………………………………………………………..63
5.33 Proteção de registros …………………………………………………………………………………………65
5.34 Privacidade e proteção de DP……………………………………………………………………………..66
5.35 Análise crítica independente da segurança da informação…………………………………..67
5.36 Conformidade com políticas, regras e normas para segurança da informação……..69
5.37 Documentação dos procedimentos de operação …………………………………………………70
6 Controles de pessoas…………………………………………………………………………………………71
6.1 Seleção………………………………………………………………………………………………………………71
6.2 Termos e condições de contratação ……………………………………………………………………73
6.3 Conscientização, educação e treinamento em segurança da informação……………..74
6.4 Processo disciplinar…………………………………………………………………………………………..76
6.5 Responsabilidades após encerramento ou mudança da contratação……………………77
6.6 Acordos de confdencialidade ou não divulgação………………………………………………..78
6.7 Trabalho remoto …………………………………………………………………………………………………79
6.8 Relato de eventos de segurança da informação…………………………………………………..81
7 Controles físicos ………………………………………………………………………………………………..83
7.1 Perímetros de segurança física …………………………………………………………………………..83
7.2 Entrada física……………………………………………………………………………………………………..84
7.3 Segurança de escritórios, salas e instalações……………………………………………………..86
7.4 Monitoramento de segurança física…………………………………………………………………….87
7.5 Proteção contra ameaças físicas e ambientais…………………………………………………….88
7.6 Trabalho em áreas seguras…………………………………………………………………………………89
7.7 Mesa limpa e tela limpa ………………………………………………………………………………………90
7.8 Localização e proteção de equipamentos ……………………………………………………………91
7.9 Segurança de ativos fora das instalações da organização……………………………………92
7.10 Mídia de armazenamento…………………………………………………………………………………….94
7.11 Serviços de infraestrutura…………………………………………………………………………………..96
7.12 Segurança do cabeamento………………………………………………………………………………….97
7.13 Manutenção de equipamentos…………………………………………………………………………….98
7.14 Descarte seguro ou reutilização de equipamentos ………………………………………………99
8 Controles tecnológicos …………………………………………………………………………………….100
8.1 Dispositivos endpoint do usuário ……………………………………………………………………..100
8.2 Direitos de acessos privilegiados ……………………………………………………………………..103
8.3 Restrição de acesso à informação …………………………………………………………………….105
8.4 Acesso ao código-fonte…………………………………………………………………………………….107
8.5 Autenticação segura…………………………………………………………………………………………108
8.7 Proteção contra malware………………………………………………………………………………….. 111
8.8 Gestão de vulnerabilidades técnicas …………………………………………………………………113
8.9 Gestão de confguração ……………………………………………………………………………………117
8.10 Exclusão de informações………………………………………………………………………………….120
8.11 Mascaramento de dados …………………………………………………………………………………..121
8.12 Prevenção de vazamento de dados……………………………………………………………………123
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
v
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
8.13 Backup das informações…………………………………………………………………………………..125
8.14 Redundância dos recursos de tratamento de informações…………………………………127
8.15 Log…………………………………………………………………………………………………………………..128
8.16 Atividades de monitoramento……………………………………………………………………………131
8.17 Sincronização do relógio…………………………………………………………………………………..134
8.18 Uso de programas utilitários privilegiados ………………………………………………………..135
8.19 Instalação de software em sistemas operacionais……………………………………………..136
8.20 Segurança de redes ………………………………………………………………………………………….137
8.21 Segurança dos serviços de rede ……………………………………………………………………….139
8.22 Segregação de redes ………………………………………………………………………………………..140
8.23 Filtragem da web………………………………………………………………………………………………141
8.24 Uso de criptografa……………………………………………………………………………………………142
8.25 Ciclo de vida de desenvolvimento seguro………………………………………………………….145
8.26 Requisitos de segurança da aplicação ………………………………………………………………146
8.27 Princípios de arquitetura e engenharia de sistemas seguros ……………………………..148
8.28 Codifcação segura …………………………………………………………………………………………..151
8.29 Testes de segurança em desenvolvimento e aceitação………………………………………154
8.30 Desenvolvimento terceirizado …………………………………………………………………………..156
8.31 Separação dos ambientes de desenvolvimento, teste e produção………………………157
8.32 Gestão de mudanças ………………………………………………………………………………………..159
8.33 Informações de teste ………………………………………………………………………………………..160
8.34 Proteção de sistemas de informação durante os testes de auditoria…………………..161
Anexo A (informativo) Uso de atributos………………………………………………………………………………163
A.1 Geral ………………………………………………………………………………………………………………..163
A.2 Visões organizacionais……………………………………………………………………………………..175
Anexo B (informativo) Correspondência com a ABNT NBR ISO/IEC 27002:2013…………………..177
Bibliografa………………………………………………………………………………………………………………………188
Tabelas
Tabela 1 – Diferenças entre a política de segurança da informação e a política específca
por tema …………………………………………………………………………………………………………….13
Tabela A.1 – Matriz de controles e valores de atributos……………………………………………………..163
Tabela A.2 – Visão de controles #Corretivo ……………………………………………………………………….173
Tabela B.1 – Correspondência entre os controles deste documento e os controles
da ABNT NBR ISO/IEC 27002:2013 …………………………………………………………………….177
Tabela B.2 – Correspondência entre os controles da ABNT NBR ISO/IEC 27002:2013 e
os controles deste documento ………………………………………………………………………….181
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
vi
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Prefácio Nacional
A Associação Brasileira de Normas Técnicas (ABNT) é o Foro Nacional de Normalização. As Normas
Brasileiras, cujo conteúdo é de responsabilidade dos Comitês Brasileiros (ABNT/CB), dos Organismos
de Normalização Setorial (ABNT/ONS) e das Comissões de Estudo Especiais (ABNT/CEE), são
elaboradas por Comissões de Estudo (CE), formadas pelas partes interessadas no tema objeto
da normalização.
Os Documentos Técnicos internacionais adotados são elaborados conforme as regras da
ABNT Diretiva 3.
A ABNT chama a atenção para que, apesar de ter sido solicitada manifestação sobre eventuais direitos
de patentes durante a Consulta Nacional, estes podem ocorrer e devem ser comunicados à ABNT
a qualquer momento (Lei nº 9.279, de 14 de maio de 1996).
Os Documentos Técnicos ABNT, assim como as Normas Internacionais (ISO e IEC), são voluntários
e não incluem requisitos contratuais, legais ou estatutários. Os Documentos Técnicos ABNT não
substituem Leis, Decretos ou Regulamentos, aos quais os usuários devem atender, tendo precedência
sobre qualquer Documento Técnico ABNT.
Ressalta-se que os Documentos Técnicos ABNT podem ser objeto de citação em Regulamentos
Técnicos. Nestes casos, os órgãos responsáveis pelos Regulamentos Técnicos podem determinar
as datas para exigência dos requisitos de quaisquer Documentos Técnicos ABNT.
A ABNT NBR ISO/IEC 27002 foi elaborada no Comitê Brasileiro de Tecnologias da Informação e
Transformação Digital (ABNT/CB-021), pela Comissão de Estudo de Segurança da Informação,
Segurança Cibernética e Proteção da Privacidade (CE-021:004.027). O Projeto de Revisão circulou
em Consulta Nacional conforme Edital nº 07, de 19.07.2022 a 17.08.2022.
A ABNT NBR ISO/IEC 27002 é uma adoção idêntica, em conteúdo técnico, estrutura e redação, à
ISO/IEC 27002:2022, que foi elaborada pelo Joint Technical Committee Information Technology
(ISO/JTC 1), Subcommittee Information security, Cybersecurity and Privacy Protection (SC 27).
A ABNT NBR ISO/IEC 27002:2022 cancela e substitui a ABNT NBR ISO/IEC 27002:2012, a qual
foi tecnicamente revisada.
A ABNT NBR ISO/IEC 27002:2022 relaciona a seguir os termos que foram mantidos integral ou
parcialmente na língua inglesa, com a sua descrição, por não possuírem tradução equivalente para
a língua portuguesa, e por serem de uso comum no âmbito da segurança da informação, segurança
cibernética e proteção da privacidade.
— Anti-malware: sistema de proteção contra softwares maliciosos (“malware”)
— Ataques de scripting entre sites: tipo de ataque de injeção de código ou script malicioso em sites
— Backup: cópia de segurança
— Botnet: rede de computadores infectados controlados remotamente para realizar ataques.
— Buffer overfow: qualquer técnica de ataque que explore uma vulnerabilidade de software ou
hardware de computador em que não é verifcada a ultrapassagem dos limites de uma área de
armazenamento quando os dados são gravados nessa área.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
vii
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
— Feeds de vídeo: transmissão contínua de dados em formato de vídeo.
— Firewall: dispositivo ou sistema que controla o tráfego de entrada e saída de informações entre
as redes conectadas em suas interfaces.
— Gateway: dispositivo ou sistema que permite interligar redes distintas. Por exemplo, conectar
à rede interna da organização à Internet.
— Hardening do sistema: processo de aplicação de confgurações de segurança e outras medidas
técnicas que tornam o sistema mais seguro.
— Hashing: processo de geração de um código de tamanho fxo a partir da aplicação de uma fórmula
matemática (função hash) a um dado de tamanho variável. É usado, por exemplo, no controle de
senhas, permitindo que se possa validar uma senha sem a necessidade de armazená-la (o que
fca na base de dados é o resultado da função hash).
— Honeypots: armadilha destinada a atrair intrusos que tentam invadir um sistema
— Wipe: método que visa destruir completamente todos os dados que residem em uma unidade
de disco rígido ou outra mídia digital, usando “0 e 1” para sobrescrever os dados em todos os setores
do dispositivo, em um processo irreversível.
— Logging: processo de registro sistemático de informações sobre eventos que ocorreram em
sistemas e recursos de TIC.
— Malware: termo genérico para se referir a software criado com intenção maliciosa, projetado para
infltrar um sistema computacional com a intenção de roubar dados ou danifcar aplicativos ou
o sistema operacional
— Patches: atualizações e correções efetuadas em um programa, sistema ou equipamento existente,
com intenção de corrigir uma vulnerabilidade específca.
— Parâmetros de host: parâmetros de confguração e customização de ferramentas, aplicativos
ou sistemas operacionais em um determinado equipamento (chamado de “host”).
— Phishing: técnica de ataque cibernético utilizada para tentar adquirir dados confdenciais dos
usuários, como números e senhas de contas bancárias, por meio de uma solicitação fraudulenta
por mensagens de e-mail ou em sites da web, na qual o perpetrador se disfarça de empresa
— Bollards: barreiras físicas que impedem o acesso a determinadas áreas que necessitam desse
tipo de proteção.
— Programas de recompensa por bugs: programa que autoriza terceiros a realizarem avaliações
de segurança em seus ativos tecnológicos, com o intuito de identifcar falhas e, em troca, oferecem
recompensas.
— Refactoring: processo de melhoria no sistema de software, de forma que sua estrutura interna
seja aprimorada, sem que o comportamento ou funcionalidades do sistema sejam alterados.
— Salt function: valor único adicionado a uma senha, normalmente em seu fnal, para alterar e,
consequentemente, proteger o resultado do hash contra-ataques de força bruta que visem descobrir
as senhas armazenadas em uma base.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
viii
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
— Scripts: conjunto de instruções, em geral escritos para automatizar alguma atividade. São também
conhecidos como linguagem de scripting ou linguagem de extensão.
— Single Sign On (SSO): processo de autenticação que permite o acesso a diversos sistemas
com o uso das mesmas credenciais de acesso.
— Slots de cartão SD: dispositivos que permitem a leitura e escrita em cartões do tipo SD (Secure
Digital), muito comuns em dispositivos portáteis.
O Escopo da ABNT NBR ISO/IEC 27002 em inglês é o seguinte:
Scope
This document provides a reference set of generic information security controls including implementation
guidance. This document is designed to be used by organizations:
a) within the context of an information security management systems (ISMS) based on
ABNT NBR ISO/IEC 27001;
b) for implementing information security controls based on internationally recognized best practices;
c) for developing organization-specifc information security management guidelines.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
ix
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Introdução
0.1 Histórico e contexto
Este documento é projetado para organizações de todos os tipos e tamanhos. É para ser usado
como referência para determinar e implementar controles para tratamento de riscos de segurança
da informação em um sistema de gestão de segurança da informação (SGSI) baseado na
ABNT NBR ISO/IEC 27001. Também pode ser usado como um documento de orientação para
organizações determinando e implementando controles de segurança da informação comumente
aceitos. Além disso, este documento é destinado a ser utilizado no desenvolvimento de diretrizes de
gestão de segurança da informação específcas para a indústria e a organização, considerando seu
ambiente específco de riscos de segurança da informação. Controles organizacionais ou específcos
do ambiente que não sejam os incluídos neste documento podem ser determinados através do
processo de avaliação de riscos, conforme necessário.
Organizações de todos os tipos e tamanhos (incluindo setor público e privado, comercial e sem fns
lucrativos) criam, coletam, tratam, armazenam, transmitem e descartam informações de diversas
formas, incluindo eletrônica, física e verbal (por exemplo, conversas e apresentações).
O valor da informação vai além das palavras, escritas, números e imagens: conhecimentos, conceitos,
ideias e marcas são exemplos de formas intangíveis de informação. Em um mundo interconectado,
informações e outros ativos associados merecem ou requerem proteção contra várias fontes de risco,
sejam naturais, acidentais ou deliberadas.
A segurança da informação é alcançada por meio da implementação de um conjunto adequado de
controles, incluindo políticas, regras, processos, procedimentos, estruturas organizacionais e funções
de software e hardware. Para atender aos seus objetivos específcos de segurança e negócios, convém
que a organização defna, implemente, monitore, analise criticamente e aprimore esses controles
quando necessário. Um SGSI como o especifcado na ABNT NBR ISO/IEC 27001 tem uma visão
holística e coordenada dos riscos de segurança da informação da organização, a fm de determinar
e implementar um conjunto abrangente de controles de segurança da informação na estrutura geral
de um sistema de gestão coerente.
Muitos sistemas de informação, incluindo de gestão e operações, não foram projetados para serem
seguros em termos de um SGSI conforme especifcado na ABNT NBR ISO/IEC 27001 e neste
documento. O nível de segurança que só pode ser alcançado por meio de medidas tecnológicas é
limitado e convém que seja apoiado por atividades de gestão e processos organizacionais adequados.
Identifcar quais controles convém que estejam implementados requer um planejamento cuidadoso e
atenção aos detalhes durante a realização do tratamento de riscos.
Um SGSI bem-sucedido requer o apoio de todo o pessoal da organização. Também pode requerer
a participação de outras partes interessadas, como acionistas ou fornecedores. Assessoria de
especialistas no assunto também pode ser necessária.
Um sistema de gestão da segurança da informação apropriado, adequado e efcaz fornece garantia
à direção da organização e a outras partes interessadas de que suas informações e outros ativos
associados estão mantidos razoavelmente seguros e protegidos contra ameaças e danos, permitindo
assim que a organização atinja os objetivos de negócios declarados.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
x
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
0.2 Requisitos de segurança da informação
É essencial que a organização determine seus requisitos de segurança da informação. Existem três
principais fontes de requisitos de segurança da informação:
a) a avaliação de riscos da organização, considerando a estratégia e os objetivos globais de negócios
da organização. Isso pode ser facilitado ou apoiado por meio de um processo de avaliação de
riscos específco de segurança da informação. Convém que isso resulte na determinação dos
controles necessários para assegurar que o risco residual à organização atenda aos seus critérios
de aceitação de riscos;
b) os requisitos legais, estatutários, regulamentares e contratuais que uma organização e suas
partes interessadas (parceiros comerciais, prestadores de serviços etc.) têm que cumprir e seu
ambiente sociocultural;
c) o conjunto de princípios, objetivos e requisitos de negócios para todas as etapas do ciclo de vida
de informações que uma organização desenvolveu para apoiar suas operações.
0.3 Controles
Um controle é defnido como uma medida que modifca ou mantém o risco. Alguns dos controles deste
documento são controles que modifcam o risco, enquanto outros mantêm o risco. Uma política de
segurança da informação, por exemplo, só pode manter o risco, enquanto o cumprimento da política
de segurança da informação pode modifcar o risco. Além disso, alguns controles descrevem a mesma
medida genérica em diferentes contextos de riscos. Este documento fornece uma mistura genérica de
controles organizacionais, de pessoas e de segurança da informação física e tecnológica derivados
de melhores práticas reconhecidas internacionalmente.
0.4 Determinando controles
A determinação dos controles é dependente das decisões da organização após um processo de
avaliação de riscos, com um escopo claramente defnido. Convém que as decisões relacionadas aos
riscos identifcados se baseiem nos critérios de aceitação de riscos, nas opções de tratamento de
riscos e na abordagem de gestão de riscos aplicada pela organização. Convém que a determinação
dos controles também considere todas as legislações e regulamentações nacionais e internacionais
relevantes. A determinação do controle também depende da forma como os controles interagem entre
si para fornecer defesa em profundidade.
A organização pode projetar controles conforme necessário ou identifcá-los de qualquer fonte.
Ao especifcar estes controles, convém que as organizações considerem os recursos e investimentos
necessários para implementar e operar um controle comparado com o valor de negócios realizado.
Ver o ISO/IEC TR 27016 para orientação sobre as decisões relativas ao investimento em um SGSI
e as consequências econômicas dessas decisões no contexto de requisitos concorrentes para
os recursos.
Convém que exista um equilíbrio entre os recursos alocados para a implementação de controles e o
potencial impacto nos negócios resultantes de incidentes de segurança na ausência desses controles.
Convém que os resultados de uma avaliação de riscos ajude a orientar e determinar as ações de gestão
adequadas, as prioridades para gerenciar riscos de segurança da informação e para implementar
os controles determinados para proteger contra esses riscos.
Alguns dos controles deste documento podem ser considerados como princípios orientadores para
a gestão da segurança da informação e como aplicáveis para a maioria das organizações. Mais
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
xi
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
informações sobre a determinação de controles e outras opções de tratamento de risco podem ser
encontradas na ABNT NBR ISO/IEC 27005.
0.5 Desenvolvendo diretrizes específcas da organização
Este documento pode ser considerado como um ponto de partida para o desenvolvimento de diretrizes
específcas da organização. Nem todos os controles e orientações deste documento podem ser
aplicáveis a todas as organizações. Controles e diretrizes adicionais não incluídas neste documento
também podem ser necessários para atender às necessidades específcas da organização e aos
riscos identifcados. Quando documentos são elaborados contendo diretrizes ou controles adicionais,
pode ser útil incluir referências cruzadas às seções deste documento para referência futura.
0.6 Considerações do ciclo de vida
A informação tem um ciclo de vida natural, da criação ao descarte. O valor e os riscos para as
informações podem variar ao longo deste ciclo de vida (por exemplo, divulgação indevida ou roubo
dos resultados fnanceiros de uma empresa não é signifcativa depois de serem publicadas, mas
a integridade permanece crítica) portanto, a segurança da informação permanece importante em
alguma medida em todas as etapas.
Os sistemas de informação e outros ativos relevantes para a segurança da informação possuem
ciclos de vida dentro dos quais são concebidos, especifcados, projetados, desenvolvidos, testados,
implementados, usados, mantidos e eventualmente retirados do serviço e descartados. Convém que
a segurança da informação seja considerada em todas as etapas. Novos projetos de desenvolvimento
de sistemas e mudanças nos sistemas existentes oferecem oportunidades para melhorar os controles
de segurança, considerando os riscos e lições aprendidas com os incidentes.
0.7 Normas relacionadas
Embora este documento ofereça orientações sobre uma ampla gama de controles de segurança da
informação que são comumente aplicados em muitas organizações diferentes, outros documentos da
família ISO/IEC 27000 fornecem orientações ou requisitos complementares sobre outros aspectos do
processo global de gestão da segurança da informação.
Ver a ISO/IEC 27000 para uma introdução geral ao SGSI e à família de documentos. A ISO/IEC 27000
fornece um glossário, defnindo a maioria dos termos utilizados em toda a família de documentos
ISO/IEC 27000, e descreve o escopo e objetivos para cada membro da família.
Existem normas setoriais específcas que têm controles adicionais que visam abordar áreas específcas
(por exemplo, ABNT NBR ISO/IEC 27017, para serviços em nuvem, ABNT NBR ISO/IEC 27701, para
privacidade, ISO/IEC 27019, para energia, ISO/IEC 27011, para organizações de telecomunicações
e ISO 27799, para saúde). Estas normas estão incluídas na Bibliografa e algumas delas são
referenciadas nas seções de orientação e outras informações nas Seções 5 a 8.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
NORMA BRASILEIRA ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados 1
Segurança da informação, segurança cibernética e proteção à privacidade —
Controles de segurança da informação
1 Escopo
Este documento fornece um conjunto de referência de controles genéricos de segurança da
informação, incluindo orientação para implementação. Este documento foi projetado para ser usado
pelas organizações:
a) no contexto de um sistema de gestão de segurança da informação (SGSI) baseado na
ABNT NBR ISO/IEC 27001;
b) para a implementação de controles de segurança da informação com base em melhores práticas
reconhecidas internacionalmente;
c) para o desenvolvimento de diretrizes específcas de gestão de segurança da informação da
organização.
2 Referências normativas
Não há referências normativas neste documento.
3 Termos e defnições
Para os efeitos deste documento, aplicam-se os seguintes termos e defnições.
3.1 Termos e defnições
Para efeitos deste documento, aplicam-se os seguintes termos e defnições.
O ISO e a IEC mantêm bases de dados terminológicos para uso na normalização nos seguintes
endereços:
— ISO Online browsing plataforma: disponível em http://www.iso.org.obp
— IEC Electropedia: disponível em http://www.electropedia.org/
3.1.1
controle de acesso
signifca assegurar que o acesso físico e lógico aos ativos (3.1.2) seja autorizado e restrito com base
em requisitos de negócio e de segurança da informação
3.1.2
ativo
qualquer coisa que tenha valor para a organização
Nota 1 de entrada: No contexto da segurança da informação, dois tipos de ativos podem ser distinguidos:
— os ativos primários:
— informação;
— processos (3.1.27) de negócios e atividades;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
2
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
— os ativos de suporte (dos quais os ativos primários dependem) de todos os tipos, por exemplo:
— hardware;
— software;
— rede;
— pessoal (3.1.20);
— local;
— estrutura da organização.
3.1.3
ataque
tentativa não autorizada, bem-sucedida ou malsucedida, de destruir, alterar, desabilitar, obter acesso
a um ativo (3.1.2) ou qualquer tentativa de expor, roubar ou fazer uso não autorizado de um ativo (3.1.2)
3.1.4
autenticação
provisão de garantia de que uma característica alegada de uma entidade (3.1.11) está correta
3.1.5
autenticidade
propriedade que uma entidade (3.1.11) é o que ela alega ser
3.1.6
cadeia de custódia
demonstrável posse, movimento, manuseio e localização de material de um ponto no tempo até outro
Nota 1 de entrada: Material inclui informações e outros ativos (3.1.2) associados no contexto da
ABNT NBR ISO/IEC 27002.
[FONTE: ISO/IEC 27050-1:2019, 3.1, modifcada – “Nota 1 de entrada” adicionada]
3.1.7
informações confdenciais
informações que não se destinam a ser disponibilizadas ou divulgadas a indivíduos, entidades (3.1.11)
ou processos (3.1.27) não autorizados
3.1.8
controle
medida que mantém e/ou modifca o risco
Nota 1 de entrada: Controles incluem, mas não estão limitados a, qualquer processo (3.1.27), política (3.1.24),
dispositivo, prática ou outras condições e/ou ações que mantêm e/ou modifcam o risco.
Nota 2 de entrada: Controles podem nem sempre exercer o efeito modifcador pretendido ou presumido.
[FONTE: ABNT NBR ISO 31000:2018, 3.8]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
3
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
3.1.9
disrupção
incidente, seja previsto ou imprevisto, que causa um desvio, não planejado e negativo da expectativa
de entrega de produtos e serviços de acordo com os objetivos da organização
[FONTE: ABNT NBR ISO 22301:2020, 3.10]
3.1.10
dispositivo endpoint
dispositivo de hardware de tecnologia da informação e comunicação (TIC) conectado à rede
Nota 1 de entrada: Dispositivo endpoint pode se referir a computadores desktop, laptops, smartphones,
tablets, thin clients, impressoras ou outros hardwares especializados, incluindo medidores inteligentes e
dispositivos de Internet das Coisas (IoT).
3.1.11
entidade
item relevante para o propósito de operação de um domínio que tem existência reconhecidamente
distinta
Nota 1 de entrada: Uma entidade pode ter uma personifcação física ou lógica.
EXEMPLO Uma pessoa, uma organização, um dispositivo, um grupo desses itens, um assinante humano
de um serviço de telecomunicações, um cartão SIM, um passaporte, um cartão de interface de rede, uma
aplicação de software, um serviço ou um website.
[FONTE: ISO/IEC 24760-1:2019, 3.1.1]
3.1.12
ambiente de tratamento de informações
qualquer sistema de tratamento de informações, serviço ou infraestrutura, ou a localização física que
o abriga
[FONTE: ISO/IEC 27000:2018, 3.27, modifcado – “facilities” foi substituído por ambiente.]
3.1.13
violação de segurança da informação
comprometimento de segurança da informação que leva à destruição indesejada, perda, alteração,
divulgação de, ou acesso a, informações protegidas transmitidas, armazenadas ou tratadas de
diversas formas
3.1.14
evento de segurança da informação
ocorrência indicando uma possível violação de segurança da informação (3.1.13) ou falha de
controles (3.1.8)
[FONTE: ISO/IEC 27035-1:2016, 3.3]
NOTA BRASILEIRA A informação de substituição do termo “breach of information security” por “information
security breach” foi excluída tendo em vista que não é aplicável na língua portuguesa.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
4
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
3.1.15
incidente de segurança da informação
um ou múltiplos eventos de segurança da informação (3.1.14) relacionados e identifcados que podem
prejudicar os ativos (3.1.2) da organização ou comprometer suas operações
[FONTE: ISO/IEC 27035-1:2016, 3.4]
3.1.16
gestão de incidentes de segurança da informação
exercício de uma abordagem consistente e efcaz para o manuseio de incidentes de segurança da
informação (3.1.15)
[FONTE: ISO/IEC 27035-1:2016, 3.5]
3.1.17
sistema de informação
conjunto de aplicações, serviços, ativos (3.1.2) de tecnologia da informação ou outros componentes
de manuseio de informações
[FONTE: ISO/IEC 27000:2018, 3.35]
3.1.18
parte interessada
stakeholder
pessoa ou organização interessada que pode afetar, ser afetada ou perceber-se afetada por, uma
decisão ou atividade
[FONTE: ISO/IEC 27000:2018, 3.37]
3.1.19
não repúdio
capacidade de comprovar a ocorrência de um evento ou ação declarada e suas entidades (3.1.11)
originárias
3.1.20
pessoal
pessoas que executam trabalho sob a direção da organização
Nota 1 de entrada: O conceito de pessoal inclui os membros da organização, como o órgão diretivo, a Alta
Direção, os funcionários, a equipe de temporários, os fornecedores e os voluntários.
3.1.21
dados pessoais
DP
qualquer informação que (a) possa ser usada para identifcar a pessoa natural à qual tal informação
se relaciona ou (b) é ou pode ser direta ou indiretamente vinculada a uma pessoa natural
Nota 1 de entrada: A “pessoa natural” na defnição é o titular de DP (3.1.22). Para determinar se um titular
de DP é identifcável, convém que sejam considerados todos os meios que possam ser razoavelmente
usados pela parte interessada privacidade, detentora dos dados, ou por qualquer outra parte, para identifcar
a pessoa natural.
[FONTE: ABNT NBR ISO/IEC 29100:2020, 2.7]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
5
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
3.1.22
titular de DP
pessoa natural a quem se referem os dados pessoais (DP) (3.1.21)
Nota 1 de entrada: Dependendo da jurisdição e da legislação específca de proteção de dados e privacidade,
o sinônimo de “sujeito dos dados” pode ser usado em vez do termo “titular de DP”.
[FONTE: ABNT NBR ISO/IEC 29100:2020, 2.9]
3.1.23
operador de DP
parte interessada na privacidade, que faz o tratamento dos dados pessoais (DP) (3.1.21) em benefício
e de acordo com as instruções de um controlador de DP
[FONTE: ABNT NBR ISO/IEC 29100:2020, 2.10]
3.1.24
política
intenções e direção de uma organização, expressa formalmente por sua Alta Direção
[FONTE: ISO/IEC 27000:2018, 3.53]
3.1.25
análise de impacto de privacidade
PIA
processo (3.1.27) geral de identifcação, análise, avaliação, consultoria, comunicação e planejamento
do tratamento de potenciais impactos à privacidade com relação ao tratamento de DP (3.1.21), contidos
em uma estrutura mais ampla de gestão de riscos da organização
[FONTE: ABNT NBR ISO/IEC 29134:2020, 3.7, modifcado – Nota 1 de entrada removida.]
3.1.26
procedimento
modo especifcado de realizar uma atividade ou um processo (3.1.27)
[FONTE: ISO 30000:2009, 3.12]
3.1.27
processo
conjunto de atividades inter-relacionadas ou interativas que utilizam entradas para entregar um
resultado pretendido
[FONTE: ABNT NBR ISO 9000:2015, 3.4.1, modifcado – Notas de entrada removidas.]
3.1.28
registro
informações criadas, recebidas e mantidas como evidência e como um ativo (3.1.2) por uma
organização ou pessoa, em busca de obrigações legais ou na transação de negócios
Nota 1 de entrada: As obrigações legais neste contexto incluem todos os requisitos legais, estatutários,
regulamentares e contratuais.
[FONTE: ISO 15489-1:2016, 3.14, modifcado – “Nota 1 de entrada” adicionada.]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
6
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
3.1.29
ponto objetivado de recuperação
RPO
ponto em uma linha de tempo em que os dados sejam recuperados após a ocorrência de uma
disrupção (3.1.9)
[FONTE: ISO/IEC 27031:2011, 3.12, modifcado – “devem ser (must)” substituído por “sejam (are to be)”.]
3.1.30
tempo objetivado de recuperação
RTO
período de tempo dentro do qual os níveis mínimos de serviços e/ou produtos e os sistemas de
suporte, aplicações ou funções sejam recuperados após a ocorrência de uma disrupção (3.1.9)
[FONTE: ISO/IEC 27031:2011, 3.13, modifcado – “devem ser (must)” substituído por “sejam (are to be)”.]
3.1.31
confabilidade
propriedade de comportamento e resultados pretendidos consistentes
3.1.32
regra
princípio ou instrução aceita que declara as expectativas da organização sobre o que é necessário
que seja feito, o que é permitido ou não permitido
Nota 1 de entrada: Regras podem ser expressas formalmente em políticas específcas por tema (3.1.35)
e em outros tipos de documentos.
3.1.33
informações sensíveis
informações que precisam ser protegidas contra indisponibilidade, acesso, modifcação ou divulgação
pública não autorizada devido a potenciais efeitos adversos em um indivíduo, organização, segurança
nacional ou segurança pública
3.1.34
ameaça
causa potencial de um incidente indesejado, que pode resultar em danos a um sistema ou organização
[FONTE: ISO/IEC 27000:2018, 3.74]
3.1.35
política específca por tema
intenções e direção sobre um assunto ou tema específco, como formalmente expressos pelo nível
apropriado de gestão
Nota 1 de entrada: As políticas específcas por tema podem expressar formalmente regras (3.1.32) ou normas
da organização.
Nota 2 de entrada: Algumas organizações usam outros termos para essas políticas específcas por tema.
Nota 3 de entrada: As políticas específcas por tema neste documento estão relacionadas à segurança
da informação.
EXEMPLO A política específca para o controle de acesso (3.1.1), política específca de mesa e tela limpa.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
7
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
3.1.36
usuário
partes interessadas (3.1.18) com acesso aos sistemas de informação (3.1.17) da organização
EXEMPLO Pessoal (3.1.20), clientes, fornecedores.
3.1.37
dispositivo endpoint do usuário
dispositivo endpoint (3.1.10) usado pelos usuários para acessar serviços de tratamento de informações
Nota 1 de entrada: O dispositivo endpoint do usuário pode se referir a computadores desktop, laptops,
smartphones, tablets, thin clients etc.
3.1.38
vulnerabilidade
fraqueza de um ativo (3.1.2) ou controle (3.1.8) que pode ser explorado por uma ou mais ameaças (3.1.34)
[FONTE: ISO/IEC 27000:2018, 3.77]
3.2 Termos abreviados
ABAC controle de acesso baseado em atributos (attribute-based access control)
ACL lista de controle de acesso (access control list)
BIA análise de impacto nos negócios (business impact analysis)
BYOD traga seu próprio dispositivo (bring your own device)
CAPTCHA teste de Turing (completely automated public Turing test to tell computers and humans
apart)
CPU unidade central de processamento (central processing unit)
DAC controle de acesso discricionário (discretionary access control)
DNS sistema de nome de domínio (domain name system)
GPS sistema de posicionamento global (global positioning system)
IAM gestão de identidade e acesso (identity and access management)
TIC tecnologia da informação e comunicação (information and communication technology)
ID identifcador (identifer)
IDE ambiente de desenvolvimento integrado (integrated development environment)
IDS sistema de detecção de intrusão (intrusion detection system)
IoT internet das coisas (internet of things)
IP protocolo de internet (internet protocol)
IPS sistema de prevenção de intrusão (intrusion prevention system)
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
8
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
TI tecnologia da informação (information technology)
SGSI sistema de gestão de segurança da informação (information security management
system)
MAC controle de acesso obrigatório (mandatory access control)
NTP protocolo de tempo de rede (network time protocol)
PIA análise de impacto de privacidade (privacy impact assessment)
DP dados pessoais (personally identifable information)
PIN número de identifcação pessoal (personal identifcation number)
PKI infraestrutura de chave pública (public key infrastructure)
PTP protocolo de tempo de precisão (precision time protocol)
RBAC controle de acesso baseado em papel (role-based access control)
RPO ponto objetivado de recuperação (recovery point objective)
RTO tempo objetivado de recuperação (recovery time objective)
SAST teste de segurança de aplicações estáticas (static application security testing)
SD digital segura (secure digital)
SDN redes defnidas por software (software-defned networking)
SD-WAN rede WAN defnida por software (software-defned wide area networking)
SIEM gerenciamento de eventos de segurança da informação (security information and event
management)
SMS serviço de mensagem curta (short message service)
SQL linguagem de consulta estruturada (structured query language)
SSO identifcação única (single sign-on)
SWID identifcação de software (software identifcation)
UEBA análise de comportamento do usuário e da entidade (user and entity behaviour analytics)
UPS fonte de energia ininterrupta (uninterruptible power supply)
URL localizador de recursos uniforme (uniform resource locator)
USB barramento serial universal (universal serial bus)
VM máquina virtual (virtual machine)
VPN rede virtual privada (virtual private network)
WiFi rede sem fo (wireless fdelity)
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
9
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
4 Estrutura deste documento
4.1 Seções
Este documento está estruturado da seguinte forma:
a) Controles organizacionais (Seção 5).
b) Controles de pessoas (Seção 6).
c) Controles físicos (Seção 7).
d) Controles tecnológicos (Seção 8).
Existem dois anexos informativos:
— Anexo A –Uso de atributos
— Anexo B – Correspondência com a ABNT NBR ISO/IEC 27002:2013
O Anexo A explica como uma organização pode usar atributos (ver 4.2) para criar suas próprias visões
com base nos atributos de controle defnidos neste documento ou de sua própria criação.
O Anexo B mostra a correspondência entre os controles nesta edição da ABNT NBR ISO/IEC 27002
e da edição anterior de 2013.
4.2 Temas e atributos
A categorização dos controles dados nas Seções 5 a 8 é referida como temas. Os controles são
categorizados como:
a) pessoas, se eles dizem respeito a pessoas individuais;
b) físico, se eles dizem respeito a objetos físicos;
c) tecnológico, se eles dizem respeito à tecnologia;
d) caso contrário, eles são categorizados como organizacionais.
A organização pode usar atributos para criar diferentes visões que são categorizações diferentes dos
controles, vistas de uma perspectiva diferente dos temas. Atributos podem ser usados para fltrar,
classifcar ou apresentar controles em diferentes pontos de vista para diferentes públicos. O Anexo A
explica como isso pode ser alcançado e fornece um exemplo de uma visão.
Por exemplo, cada controle neste documento foi associado a cinco atributos com valores de atributo
correspondentes (precedidos por “#” para torná-los pesquisáveis), da seguinte forma:
a) Tipo de controle
O tipo de controle é um atributo para visualizar controles sob a perspectiva de quando e como
o controle modifca o risco em relação à ocorrência de um incidente de segurança da informação.
Os valores de atributo consistem em Preventivo (o controle que se destina a evitar a ocorrência de
um incidente de segurança da informação), Detectivo (o controle age quando ocorre um incidente
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
10
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
de segurança da informação) e Corretivo (o controle age após um incidente de segurança
da informação ocorrer).
b) Propriedades de segurança da informação
As propriedades de segurança da informação são um atributo para visualizar controles na perspectiva
de qual característica das informações o controle contribuirá para a preservação. Os valores dos
atributos consistem em Confdencialidade, Integridade e Disponibilidade.
c) Conceitos de segurança cibernética
Os conceitos de segurança cibernética são um atributo para visualizar os controles sob a perspectiva
da associação de controles aos conceitos de segurança cibernética defnidos no quadro de
segurança cibernética descrito no ISO/IEC TS 27110. Os valores dos atributos consistem em
Identifcar, Proteger, Detectar, Responder e Recuperar.
d) Capacidades operacionais
As capacidades operacionais são um atributo para visualizar controles da perspectiva do praticante
sobre os recursos de segurança da informação. Os valores de atributos consistem em Governança,
Gestão_de_ativos, Proteção_da_informação, Segurança_em_recursos_humanos, Segurança_
física, Segurança_de_sistemas_e_redes, Segurança_de_aplicações, Confguração_segura,
Gestão_de_identidade_e_acesso, Gestão_de_ameaças_e_vulnerabilidades, Continuidade,
Segurança_do_relacionamento_na_cadeia_de_suprimentos, Legal_e_compliance, Gestão_de_
eventos_de_segurança_da_informação e Garantia_de_segurança_da_informação.
e) Domínios de segurança
Os domínios de segurança são um atributo para visualizar controles na perspectiva de quatro
domínios de segurança da informação: “Governança_e_Ecossistema” inclui “Governança do
Sistema de Segurança da Informação e Gestão de Riscos” e “Gestão de segurança cibernética
do ecossistema” (incluindo partes interessadas internas e externas); “Proteção” inclui “Arquitetura
de Segurança de TI”, “Administração de Segurança de TI”, “Gestão de identidade e acesso”,
“Manutenção de Segurança de TI” e “Segurança física e ambiental”; “Defesa” inclui “Detectar” e
“Gestão de Incidente de segurança computacional”; Resiliência inclui “Operações de continuidade”
e “Gestão de crises”. Os valores de atributos consistem em Governança_e_Ecossistema,
Proteção, Defesa e Resiliência.
Os atributos dados neste documento são selecionados porque são considerados genéricos o sufciente
para serem usados por diferentes tipos de organizações. As organizações podem optar por ignorar
um ou mais dos atributos dados neste documento. Eles também podem criar atributos próprios (com
os valores de atributo correspondentes) para criar suas próprias visões organizacionais. A Seção A.2
inclui exemplos destes atributos.
4.3 Layout dos controles
O layout para cada controle contém o seguinte:
— Título do controle: Nome curto do controle;
— Tabela de atributos: Uma tabela mostra o(s) valor(es) de cada atributo para o controle dado;
— Controle: Qual é o controle;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
11
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
— Propósito: Por que convém que o controle seja implementado;
— Orientação: Como convém que o controle seja implementado;
— Outras informações: Texto explicativo ou referências a outros documentos relacionados.
Subtítulos são usados no texto de orientação para alguns controles para auxiliar a legibilidade onde a
orientação é longa e aborda vários tópicos. Tais títulos não são necessariamente usados em todos os
textos de orientação. Subtítulos são sublinhados.
5 Controles organizacionais
5.1 Políticas de segurança da informação
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios
de segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Governança #Governança_e_Ecosistema #Resiliência

Controle
Convém que a política de segurança da informação e as políticas específcas por tema sejam defnidas,
aprovadas pela direção, publicadas, comunicadas e reconhecidas pelo pessoal pertinente e partes
interessadas pertinentes, e analisadas criticamente em intervalos planejados e se ocorrer mudanças
signifcativas.
Propósito
Assegurar a adequação contínua, sufciência, efetividade da direção de gestão e suporte à segurança
da informação de acordo com os requisitos comerciais, legais, estatutários, regulamentares e contratuais.
Orientação
No mais alto nível, convém que a organização defna uma “política de segurança da informação”
aprovada pela Alta Direção e que estabeleça a abordagem da organização para gerenciar sua
segurança da informação.
Convém que a política de segurança da informação considere os requisitos derivados de:
a) estratégia e requisitos de negócios;
b) regulamentações, legislação e contratos;
c) riscos e ameaças atuais e projetados para a segurança da informação.
Convém que a política de segurança da informação contenha declarações relativas a:
a) defnição de segurança da informação;
b) objetivos de segurança da informação ou a estrutura para defnir objetivos de segurança da
informação;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
12
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
c) princípios para orientar todas as atividades relacionadas à segurança da informação;
d) comprometimento de satisfazer os requisitos aplicáveis relacionados à segurança da informação;
e) comprometimento com a melhoria contínua do sistema de gestão da segurança da informação;
f) atribuição de responsabilidades para a gestão da segurança da informação para funções defnidas;
g) procedimentos para tratamento de isenções e exceções.
Convém que a Alta Direção aprove quaisquer alterações na política de segurança da informação.
Em um nível mais baixo, convém que a política de segurança da informação seja apoiada por políticas
específcas por tema, conforme necessário para obrigar ainda mais a implementação de controles
de segurança da informação. As políticas específcas por tema são tipicamente estruturadas para
atender às necessidades de determinados grupos-alvo dentro de uma organização ou para cobrir
determinadas áreas de segurança. Convém que as políticas específcas por tema sejam alinhadas e
complementares à política de segurança da informação da organização.
Exemplos destes temas incluem:
a) controle de acesso;
b) segurança física e do ambiente;
c) gestão de ativos;
d) transferência de informações;
e) confguração e manuseio seguros de dispositivos endpoint do usuário;
f) segurança de redes;
g) gestão de incidentes de segurança da informação;
h) backup;
i) criptografa e gerenciamento de chaves;
j) classifcação e tratamentos de informações;
k) gestão de vulnerabilidades técnicas;
l) desenvolvimento seguro.
Convém que a responsabilidade pelo desenvolvimento, análise crítica e aprovação das políticas
específcas por tema seja atribuída ao pessoal pertinente com base no seu nível adequado de
autoridade e competência técnica. Convém que a análise crítica inclua a avaliação de oportunidades
de melhoria da política de segurança da informação da organização e das políticas de específcas por
tema e a gestão da segurança da informação em resposta às mudanças no seguinte:
a) estratégia de negócios da organização;
b) ambiente técnico da organização;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
13
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
c) regulamentos, estatutos, legislação e contratos;
d) riscos à segurança da informação;
e) ambiente atual e projetado de ameaça à segurança da informação;
f) lições aprendidas com eventos e incidentes de segurança da informação.
Convém que a análise crítica da política de segurança da informação e das políticas específcas
por tema considere os resultados das análises críticas pela direção e das auditorias. Convém que
a análise crítica e atualização de outras políticas relacionadas sejam consideradas quando uma
política é alterada para manter a consistência.
Convém que a política de segurança da informação e as políticas específcas por tema sejam
comunicadas ao pessoal pertinente e às partes interessadas de forma pertinente, acessível e
compreensível ao leitor pretendido. Convém que os destinatários das políticas sejam requeridos a
reconhecer que entendem e concordam em cumprir as políticas quando aplicável. A organização pode
determinar os formatos e nomes desses documentos de políticas que atendam às necessidades da
organização. Em algumas organizações, a política de segurança da informação e políticas específcas
por tema podem estar em um único documento. A organização pode nomear essas políticas específcas
por tema para tópicos como normas, diretivas, políticas ou outras.
Se a política de segurança da informação ou qualquer política específca por tema for distribuída fora
da organização, convém que os cuidados sejam tomados para não divulgar informações confdenciais.
A Tabela 1 ilustra as diferenças entre a política de segurança da informação e a política específca
por tema.
Tabela 1 – Diferenças entre a política de segurança da informação e a política específca por tema
Política de segurança
da informação
Política específca por tema
Nível de detalhamento Geral ou de alto nível Específco ou detalhado
Formalmente aprovado e
documentado por
Alta Direção Nível apropriado de direção
Outras informações
As políticas específcas por tema podem variar entre as organizações.
5.2 Papéis e responsabilidades pela segurança da informação
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Governança #Governança_e_

ecossistema #Proteção

Resiliência

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Governança #Gestão_de_

identidade_e_acesso

Governança_e_

ecossistema
Controle
Convém que funções confitantes e áreas de responsabilidade sejam segregados.
Propósito
Reduzir o risco de fraude, erro e desvio de controles de segurança da informação.
Orientação
A segregação de funções e áreas de responsabilidade visa separar as funções confitantes entre
diferentes indivíduos, a fm de evitar que um indivíduo execute potenciais funções confitantes por
conta própria.
Convém que a organização determine quais funções e áreas de responsabilidade precisam ser
segregadas. Os seguintes são exemplos de atividades que podem exigir segregação:
a) iniciar, aprovar e executar uma mudança;
b) solicitar, aprovar e implementar os direitos de acesso;
c) projetar, implementar e revisar códigos;
d) desenvolver software e administrar os sistemas de produção;
e) utilizar e administrar as aplicações;
f) utilizar aplicações e administrar os bancos de dados;
g) projetar, auditar e garantir os controles de segurança da informação.
Convém que a possibilidade de conluio seja considerada na concepção dos controles de segregação.
Pequenas organizações podem achar difícil alcançar a segregação de funções, mas convém que o
princípio seja aplicado na medida do possível e praticável. Sempre que for difícil segregar, convém
considerar outros controles, como monitoramento de atividades, trilhas de auditoria e supervisão da
direção.
Convém que seja tomado cuidado ao usar sistemas de controle de acesso baseados em papéis
para assegurar que não sejam concedidos papéis confitantes para o pessoal. Quando há um grande
número de funções, convém que as organizações considerem o uso de ferramentas automatizadas para
identifcar confitos e facilitar sua remoção. Convém que os papéis sejam cuidadosamente defnidos
e provisionados para minimizar os problemas de acesso se um papel for removido ou redesignado.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
16
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Outras informações
Não há outra informação.
5.4 Responsabilidades da direção
Tipo de
controle
Propriedades de
segurança da
informação
Conceitos de
segurança
cibernética
Capacidades
operacionais
Domínios de segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Governança #Governança_e_ecossistema

Controle
Convém que a direção requeira que todo o pessoal aplique a segurança da informação de acordo
com a política de segurança da informação estabelecida, com as políticas específcas por tema e com
os procedimentos da organização.
Propósito
Assegurar que a direção entenda seu papel na segurança da informação e realize ações com o objetivo
de assegurar que todo o pessoal esteja ciente e cumpra suas responsabilidades pela segurança da
informação.
Orientação
Convém que a direção demonstre apoio à política de segurança da informação, políticas específcas
por tema, procedimentos e controles de segurança da informação.
Convém que as responsabilidades da direção incluam a garantia de que o pessoal:
a) seja devidamente informado sobre seus papéis e responsabilidades de segurança da informação
antes de ser concedido acesso às informações da organização e outros ativos associados;
b) tenha recebido as diretrizes que afrmam as expectativas de segurança da informação em seu
papel dentro da organização;
c) seja obrigado a cumprir a política de segurança da informação e políticas específcas por tema
da organização;
d) alcance um nível de consciência da segurança da informação relevante para seus papéis e
responsabilidades dentro da organização (ver 6.3);
e) esteja de acordo com os termos e condições de trabalho, contrato ou acordo, incluindo a política
de segurança da informação da organização e os métodos apropriados de trabalho;
f) continue a ter as habilidades e qualifcações de segurança da informação adequadas através de
educação profssional contínua;
g) sempre que possível, seja fornecido com um canal confdencial para relatar violações da política
de segurança da informação, políticas específcas por temas ou procedimentos para segurança
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
17
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
da informação (“denúncia”). Isso pode permitir denúncias anônimas ou ter disposições para
assegurar que o conhecimento da identidade do denunciante seja conhecido apenas por aqueles
que precisam lidar com estes relatórios;
h) seja fornecido com recursos adequados e tempo de planejamento de projetos para a implementação
dos processos e controles relacionados à segurança da organização.
Outras informações
Não há outra informação.
5.5 Contato com autoridades
Tipo de
controle
Propriedades de
segurança da
informação
Conceitos de
segurança
cibernética
Capacidades
operacionais
Domínios de segurança

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Responder

Recuperar

Governança #Defesa #Resiliência

Controle
Convém que a organização estabeleça e mantenha contato com as autoridades relevantes.
Propósito
Assegurar o fuxo adequado de informações referentes à segurança da informação entre a organização
e as autoridades legais, regulatórias e fscalizadoras relevantes.
Orientação
Convém que a organização especifque quando e por quem é recomendado que as autoridades
(por exemplo, os representantes da lei, os órgãos reguladores, as autoridades de supervisão) sejam
contatadas e como é recomendado que os incidentes identifcados de segurança da informação sejam
relatados em tempo hábil.
Convém que os contatos com autoridades também sejam usados para facilitar o entendimento sobre
as expectativas atuais e futuras dessas autoridades (por exemplo, regulamentações de segurança
da informação aplicáveis).
Outras informações
As organizações sob ataque podem solicitar que as autoridades tomem medidas contra a fonte
de ataque.
Manter esses contatos pode ser um requisito para apoiar a gestão de incidentes de segurança da
informação (ver 5.24 a 5.28) ou o processo de planejamento de contingência e continuidade de
negócios (ver 5.29 e 5.30). Os contatos com órgãos reguladores também são úteis para antecipar e se
preparar para as próximas mudanças nas leis ou regulamentos relevantes que afetam a organização.
Os contatos com outras autoridades incluem serviços públicos, serviços de emergência, fornecedores
de energia elétrica e de saúde e segurança [por exemplo, corpo de bombeiros (em conexão com
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
18
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
a continuidade de negócios), provedores de telecomunicações (em conexão com roteamento e
disponibilidade de linhas) e fornecedores de água (em conexão com instalações de resfriamento para
equipamentos)].
5.6 Contato com grupos de interesse especial
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios
de segurança

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Responder

Recuperar

Governança #Defesa

Controle
Convém que a organização estabeleça e mantenha contato com grupos de interesse especial ou
outros fóruns de especialistas em segurança e associações profssionais.
Propósito
Assegurar que ocorra o fuxo adequado de informações relacionadas à segurança da informação.
Orientação
Convém que a adesão a grupos ou fóruns de interesse especial seja considerada como um meio para:
a) melhorar o conhecimento sobre as melhores práticas e manter-se atualizado com as informações
relevantes sobre segurança;
b) assegurar que a compreensão do ambiente de segurança da informação esteja atual;
c) receber avisos antecipados de alertas, aconselhamentos e correções relativos a ataques e
vulnerabilidades;
d) obter acesso a consultoria especializada em segurança da informação;
e) compartilhar e trocar informações sobre novas tecnologias, produtos, serviços, ameaças ou
vulnerabilidades;
f) fornecer contatos adequados quando lidar com incidentes de segurança da informação (ver 5.24
a 5.28).
Outras informações
Não há outra informação.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
19
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
5.7 Inteligência de ameaças
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios
de segurança

Preventivo

Detectivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Detectar

Responder

Gestão_de_

ameaças_e_
vulnerabilidades

Defesa #Resiliência

Controle
Convém que as informações relacionadas a ameaças à segurança da informação sejam coletadas e
analisadas para produzir inteligência de ameaças.
Propósito
Conscientizar sobre o ambiente de ameaças da organização para que as ações de mitigação
adequadas possam ser tomadas.
Orientação
Informações sobre ameaças existentes ou emergentes são coletadas e analisadas com objetivo de:
a) facilitar ações informadas para evitar que as ameaças causem danos à organização;
b) reduzir o impacto dessas ameaças.
A inteligência de ameaças pode ser dividida em três camadas, e convém que todas sejam consideradas:
a) inteligência estratégica de ameaças: troca de informações de alto nível sobre o cenário de
ameaças em mudança (por exemplo, tipos de atacantes ou tipos de ataques);
b) inteligência tática de ameaças: informações sobre as metodologias dos atacantes, ferramentas
e tecnologias envolvidas;
c) inteligência operacional de ameaças: detalhes sobre ataques específcos, incluindo indicadores
técnicos.
Convém que a inteligência de ameaças seja:
a) relevante (ou seja, relacionada à proteção da organização);
b) perspicaz (ou seja, fornecendo à organização uma compreensão precisa e detalhada do cenário
de ameaças);
c) contextual, para proporcionar consciência situacional (ou seja, agregar contexto às informações
com base na sequência dos eventos, onde eles ocorreram, experiências anteriores e prevalência
em organizações semelhantes);
d) acionável (ou seja, a organização pode agir sobre as informações de forma rápida e efcazmente).
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
20
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que as atividades de inteligência de ameaças incluam:
a) estabelecer os objetivos para a produção de inteligência de ameaças;
b) identifcar, vetar e selecionar fontes de informação internas e externas que sejam necessárias e
adequadas para fornecer as informações necessárias para a produção de inteligência de ameaças;
c) coletar informações de fontes selecionadas, que podem ser internas e externas;
d) tratar informações coletadas para prepará-las para análise (por exemplo, traduzindo, formatando
ou corroborando as informações);
e) analisar a informação para entender como ela se relaciona e é signifcativa para a organização;
f) comunicar e compartilhá-la para indivíduos relevantes em um formato que possa ser entendido.
Convém que a inteligência de ameaças seja analisada e posteriormente usada:
a) por meio da implementação de processos para incluir informações coletadas de fontes de inteligência
de ameaças nos processos de gestão de riscos de segurança da informação da organização;
b) como entrada adicional para controles técnicos preventivos e de detectivos, como frewalls,
sistema de detecção de intrusões ou soluções anti-malware;
c) como entrada nos processos e técnicas de teste de segurança da informação.
Convém que as organizações compartilhem informações sobre inteligência de ameaças com outras
organizações em uma base mútua, a fm de melhorar a inteligência geral de ameaças.
Outras informações
As organizações podem usar a inteligência de ameaças para prevenir, detectar ou responder a ameaças.
As organizações podem produzir inteligência de ameaças, mas normalmente recebem e fazem uso
de inteligência de ameaças produzida por outras fontes.
A inteligência de ameaças é frequentemente fornecida por provedores ou consultores independentes,
agências governamentais ou grupos colaborativos de inteligência de ameaças.
A efcácia de controles como 5.25, 8.7, 8.16 ou 8.23, depende da qualidade da informação disponível
sobre as ameaças.
5.8 Segurança da informação no gerenciamento de projetos
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios
de segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Governança #Governança_e_

ecossistema

Proteção

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Gestão_de_ativos #Governança_e_

ecossistema

Proteção

Controle
Convém que um inventário de informações e outros ativos associados, incluindo proprietários, seja
desenvolvido e mantido.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
23
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Propósito
Identifcar as informações da organização e outros ativos associados, a fm de preservar a sua
segurança da informação e atribuir a propriedade adequada.
Orientação
Inventário
Convém que a organização identifque suas informações e outros ativos associados e determine sua
importância em termos de segurança da informação. Convém que a documentação seja mantida em
inventários dedicados ou existentes, conforme apropriado.
Convém que o inventário de informações e outros ativos associados seja preciso, atualizado, consistente
e alinhado com outros inventários. As opções para assegurar a exatidão de um inventário de informações
e outros ativos associados incluem:
a) conduzir análises críticas regulares de informações identifcadas e outros ativos associados
contra o inventário de ativos;
b) impor automaticamente uma atualização de inventário no processo de instalação, alteração ou
remoção de um ativo.
Convém que a localização de um ativo seja incluída no inventário conforme apropriado.
O inventário não precisa ser uma única lista de informações e outros ativos associados. Convém que
o inventário seja mantido pelas funções relevantes, que pode ser visto como um conjunto de inventários
dinâmicos, como inventários de ativos de informação, hardware, software, máquinas virtuais (VM),
instalações, pessoal, competências, capacidades e registros.
Convém que cada ativo seja classifcado de acordo com a classifcação das informações (ver 5.12)
associadas a esse ativo.
Convém que a granularidade do inventário de informações e outros ativos associados estejam em
um nível adequado para as necessidades da organização. Às vezes, casos específcos de ativos no
ciclo de vida da informação não são viáveis de serem documentados devido à natureza do ativo. Um
exemplo de um ativo de curta duração é uma instância VM cujo ciclo de vida pode ser de curta duração.
Propriedade
Convém que para as informações identifcadas e outros ativos associados, a propriedade do ativo seja
atribuída a um indivíduo ou a um grupo e a classifcação seja identifcada (ver 5.12, 5.13). Convém que
um processo para assegurar a cessão oportuna de propriedade de ativos seja implementada. Convém
que a propriedade seja atribuída quando os ativos são criados ou quando os ativos são transferidos
para a organização. Convém que a propriedade de ativos seja reatribuída conforme necessário quando
os atuais proprietários de ativos deixarem ou mudarem de atribuições.
Deveres do proprietário
Convém que o proprietário do ativo seja responsável pela gestão adequada de um ativo ao longo de
todo o ciclo de vida útil do ativo, assegurando que:
a) as informações e outros ativos associados sejam inventariados;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
24
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
b) as informações e outros ativos associados sejam devidamente classifcados e protegidos;
c) a classifcação seja analisada criticamente de forma periódica;
d) os componentes que apoiam os ativos tecnológicos estejam listados e vinculados, como banco
de dados, armazenamento, componentes de software e subcomponentes;
e) os requisitos para o uso aceitável de informações e outros ativos associados (ver 5.10) estejam
estabelecidos;
f) as restrições de acesso correspondam à classifcação e que sejam efcazes e analisados
criticamente de forma periódica;
g) as informações e outros ativos associados, quando excluídos ou descartados, sejam tratados
de forma segura e removidos do inventário;
h) eles estejam envolvidos na identifcação e gestão de riscos associados com o(s) seu(s) ativo(s);
i) eles apoiem o pessoal que tem os papéis e responsabilidades de gerenciar suas informações.
Outras informações
Inventários de informações e outros ativos associados são muitas vezes necessários para assegurar
a proteção efetiva das informações e podem ser requeridos para outros fns, como saúde e segurança,
seguros ou razões fnanceiras. Inventario de informações e outros ativos associados também apoiam
a gestão de riscos, atividades de auditoria, gerenciamento de vulnerabilidades, resposta a incidentes
e planejamento de recuperação.
Tarefas e responsabilidades podem ser delegadas (por exemplo, a um custodiante que cuida dos
ativos diariamente), mas a pessoa ou grupo que os delegou permanece responsabilizada.
Pode ser útil designar grupos de informações e outros ativos associados que atuam em conjunto para
fornecer um determinado serviço. Neste caso, o proprietário deste serviço é responsabilizado pela
prestação do serviço, incluindo a operação de seus ativos.
Ver a ISO/IEC 19770-1, para obter informações adicionais sobre gestão de ativos de TI. Ver a
ABNT NBR ISO 55001, para obter informações adicionais sobre gestão de ativos.
5.10 Uso aceitável de informações e outros ativos associados
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Gestão_de_ativos

Proteção_da_

informação

Governança_e_

Ecossistema

Proteção

Controle
Convém que regras para o uso aceitável e procedimentos para o manuseio de informações e outros
ativos associados sejam identifcados, documentados e implementados.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
25
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Propósito
Assegurar que as informações e outros ativos associados sejam devidamente protegidos, usados
e manuseados.
Orientação
Convém que pessoas e usuários externos que usem ou tenham acesso às informações da organização
e outros ativos associados estejam conscientes dos requisitos de segurança da informação para
proteger e lidar com as informações da organização e outros ativos associados. Convém que eles
sejam responsáveis pelo uso de qualquer recurso de tratamento das informações.
Convém que a organização estabeleça uma política específca por tema sobre o uso aceitável de
informações e outros ativos associados e comunique a qualquer pessoa que use ou manuseie
informações e outros ativos associados. Convém que a política específca por tema sobre uso aceitável
forneça uma direção clara sobre como espera-se que os indivíduos usem as informações e outros
ativos associados. Convém que a política específca por tema declare:
a) comportamentos esperados e inaceitáveis dos indivíduos do ponto de vista de segurança da
informação;
b) uso permitido e proibido de informações e outros ativos associados;
c) atividades de monitoramento que estão sendo realizadas pela organização.
Convém que os procedimentos de uso aceitáveis sejam elaborados para o ciclo de vida completo
das informações de acordo com sua classifcação (ver 5.12) e os riscos determinados. Convém que
os seguintes itens sejam considerados:
a) restrições de acesso que apoiam os requisitos de proteção para cada nível de classifcação;
b) manutenção de registro dos usuários autorizados de informações e outros ativos associados;
c) proteção de cópias temporárias ou permanentes de informações a um nível consistente com
a proteção das informações originais;
d) armazenamento de ativos associados a informações de acordo com as especifcações dos
fabricantes (ver 7.8);
e) marcação clara de todas as cópias de mídia de armazenamento (eletrônico ou físico) para
a atenção do destinatário autorizado (ver 7.10);
f) autorização de descarte de informações e outros ativos associados e métodos de descarte de
apoio (ver 8.10).
Outras informações
Pode ser o caso de que os ativos em questão não pertençam diretamente à organização, como serviços
públicos em nuvem. Convém que o uso desses ativos de terceiros e quaisquer ativos da organização
associados a estes ativos externos (por exemplo, informações, software) sejam identifcados como
aplicáveis e controlados, por exemplo, por meio de acordos com provedores de serviços em nuvem.
Convém que cuidados também sejam tomados quando um ambiente colaborativo de trabalho é usado.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
26
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
5.11 Devolução de ativos
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Gestão_de_ativos #Proteção

Controle
Convém que o pessoal e outras partes interessadas, conforme apropriado, devolvam todos os ativos
da organização em sua posse após a mudança ou encerramento da contratação ou acordo.
Propósito
Proteger os ativos da organização como parte do processo de mudança ou encerramento da
contratação ou acordo.
Orientação
Convém que o processo de alteração ou rescisão seja formalizado para incluir a devolução de todos
os ativos físicos e eletrônicos previamente emitidos, de propriedade ou confados à organização.
Nos casos em que o pessoal e outras partes interessadas comprem os equipamentos da organização
ou utilizem seus próprios equipamentos pessoais, convém que sejam seguidos procedimentos para
assegurar que todas as informações relevantes sejam rastreadas e transferidas para a organização
e excluídas com segurança do equipamento (ver 7.14).
Nos casos em que o pessoal e outras partes interessadas tenham conhecimento importante das
operações em andamento, convém que essas informações sejam documentadas e transferidas para
a organização.
Durante o período de aviso prévio e posteriormente, convém que a organização impeça a cópia não
autorizada de informações relevantes (por exemplo, propriedade intelectual) pelo pessoal que está
sob aviso de rescisão.
Convém que a organização identifque e documente claramente todas as informações e outros ativos
associados a serem devolvidos, que podem incluir:
a) dispositivos endpoint do usuário;
b) dispositivos de armazenamento portáteis;
c) equipamentos especializados;
d) hardware de autenticação (por exemplo, chaves mecânicas, tokens físicos e smartcards) para
sistemas de informação, sites e arquivos físicos;
e) cópias físicas de informações.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
27
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Outras informações
Pode ser difícil devolver informações sobre ativos que não pertencem à organização. Nesses casos,
é necessário restringir o uso de informações utilizando outros controles de segurança da informação,
como gestão de direitos de acesso (5.18) ou uso de criptografa (8.24).
5.12 Classifcação das informações
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Proteção_da_informação #Proteção

Defesa

Controle
Convém que as informações sejam classifcadas de acordo com as necessidades de segurança da
informação da organização com base na confdencialidade, integridade, disponibilidade e requisitos
relevantes das partes interessadas.
Propósito
Assegurar a identifcação e o entendimento das necessidades de proteção das informações de acordo
com a sua importância para a organização.
Orientação
Convém que organização estabeleça uma política específca por tema sobre classifcação e comunicação
de informações para todas as partes interessadas pertinentes.
Convém que a organização considere os requisitos de confdencialidade, integridade e disponibilidade
no esquema de classifcação.
Convém que as classifcações e controles de proteção associados às informações considerem as
necessidades dos negócios para compartilhar ou restringir informações, para proteger a integridade
das informações e para assegurar a disponibilidade, bem como os requisitos legais relativos à
confdencialidade, integridade ou disponibilidade das informações. Outros ativos que não sejam as
informações também podem ser classifcados em conformidade com a classifcação das informações,
que são armazenadas, processadas ou manuseadas ou protegidas pelo ativo.
Convém que os proprietários de informações sejam responsabilizados por sua classifcação.
Convém que o regime de classifcação inclua convenções para classifcação e critérios para análise
crítica da classifcação ao longo do tempo. Convém que os resultados da classifcação sejam
atualizados de acordo com as alterações do valor, sensibilidade e criticidade das informações ao longo
de seu ciclo de vida.
Convém que o esquema esteja alinhado à política específca por tema sobre controle de acesso
(ver 5.1) e seja capaz de atender às necessidades específcas de negócios da organização.
A classifcação pode ser determinada pelo nível de impacto que seu comprometimento teria para
a organização. Convém que a cada nível defnido no esquema seja dado um nome que faça sentido
no contexto da aplicação do regime de classifcação.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
28
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que o esquema seja consistente em toda a organização e esteja incluído em seus
procedimentos para que todos classifquem as informações e apliquem outros ativos associados da
mesma forma. Desta forma, todos têm uma compreensão comum dos requisitos de proteção e para
que todos apliquem a proteção adequada.
O esquema de classifcação utilizado dentro da organização pode ser diferente dos esquemas
utilizados por outras organizações, mesmo que os nomes para níveis sejam semelhantes. Além disso,
as informações que se movem entre as organizações podem variar de classifcação dependendo de
seu contexto em cada organização, mesmo que seus esquemas de classifcação sejam idênticos.
Portanto, os acordos com outras organizações que incluem o compartilhamento de informações
podem incluir procedimentos para identifcar a classifcação dessas informações e interpretar os
níveis de classifcação de outras organizações. A correspondência entre diferentes esquemas pode
ser determinada buscando equivalência nos métodos de manuseio e proteção associados.
Outras informações
A classifcação fornece às pessoas que lidam com informações com uma indicação concisa de como
manuseá-la e protegê-la. Criar grupos de informações com necessidades de proteção semelhantes
e especifcar procedimentos de segurança da informação que se aplicam a todas as informações
em cada grupo facilita isso. Esta abordagem reduz as necessidades de avaliar riscos caso a caso
e customizar o projeto de controles.
As informações podem deixar de ser sensíveis ou críticas após um determinado período de tempo.
Por exemplo, quando as informações forem tornadas públicas, ela não tem mais requisitos de
confdencialidade, mas ainda pode requerer proteção para suas propriedades de integridade e
disponibilidade. Convém que esses aspectos sejam levados em conta, pois a superclassifcação pode
levar à implementação de controles desnecessários que resultem em despesas adicionais ou, pelo
contrário, a subclassifcação pode levar a controles insufcientes para proteger as informações de
comprometimento.
Um exemplo de um esquema de classifcação de confdencialidade de informações pode ser baseado
em quatro níveis, conforme a seguir:
a) a divulgação não causa danos;
b) a divulgação causa pequenos danos à reputação ou pequenos impactos operacionais;
c) a divulgação tem um impacto signifcativo de curto prazo nas operações ou objetivos de negócios;
d) a divulgação tem um impacto sério em objetivos de negócios de longo prazo ou coloca a
sobrevivência da organização em risco.
5.13 Rotulagem de informações
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Proteção_da_

informação

Defesa

Proteção

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Gestão_de_ativos

Proteção_da_informação

Proteção

Controle
Convém que regras, procedimentos ou acordos de transferência de informações sejam implementados
para todos os tipos de recursos de transferência dentro da organização e entre a organização e outras
partes.
Propósito
Manter a segurança das informações transferidas dentro de uma organização e com qualquer parte
interessada externa.
Orientação
Geral
Convém que a organização estabeleça e comunique uma política específca por tema sobre transferência
de informações para todas as partes interessadas pertinentes. Convém que regras, procedimentos e
acordos para proteger informações em trânsito refitam a classifcação das informações envolvidas.
Convém que quando as informações forem transferidas entre a organização e terceiros, os acordos
de transferência (incluindo a autenticação do destinatário) sejam estabelecidos e mantidos para
proteger as informações em todas as formas em trânsito (ver 5.10).
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
31
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
A transferência de informações pode acontecer através de transferência eletrônica, transferência
de mídia de armazenamento físico e transferência verbal.
Convém que para todos os tipos de transferência de informações, regras, procedimentos e acordos
incluam:
a) controles projetados para proteger informações transferidas contra interceptação, acesso
não autorizado, cópia, modifcação, desvio, destruição e negação de serviço, incluindo níveis
de controle de acesso proporcionais à classifcação das informações envolvidas e quaisquer
controles especiais necessários para proteger informações sensíveis, como o uso de técnicas
criptográfcas (ver 8.24);
b) controles para assegurar a rastreabilidade e não repúdio, incluindo a manutenção de uma cadeia
de custódia de informações durante o trânsito;
c) identifcação de contatos apropriados relacionados à transferência, incluindo proprietários de
informações, proprietários de riscos, agentes de segurança e custodiantes de informações,
conforme aplicável;
d) responsabilidades, incluindo responsabilidade cível em caso de incidentes de segurança da
informação, como perda de mídia de armazenamento físico ou dados;
e) uso de um sistema de rotulagem acordado para informações sensíveis ou críticas, assegurando
que o signifcado dos rótulos seja imediatamente compreendido e que as informações sejam
adequadamente protegidas (ver 5.13);
f) confabilidade e disponibilidade do serviço de transferência;
g) política específca por tema ou diretrizes sobre o uso aceitável de recursos de transferência
de informações (ver 5.10);
h) diretrizes de retenção e descarte para todos os registros de negócios, incluindo mensagens;
NOTA A legislação e os regulamentos locais podem existir em relação à retenção e descarte de
registros de negócios.
i) consideração de quaisquer outros requisitos legais, estatutários, regulamentares e contratuais
relevantes (ver 5.31, 5.32, 5.33, 5.34) relacionados à transferência de informações (por exemplo,
requisitos para assinaturas eletrônicas).
Transferência eletrônica
Convém que regras, procedimentos e acordos também considerem os seguintes itens ao usar
instalações de comunicação eletrônica para transferência de informações:
a) detecção e proteção contra malware que pode ser transmitido através do uso de comunicações
eletrônicas (ver 8.7);
b) proteção de informações eletrônicas sensíveis comunicadas que estão na forma de um anexo;
c) prevenção contra o envio de documentos e mensagens em comunicações para o endereço errado
ou número;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
32
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
d) obtenção de aprovação antes do uso de serviços públicos externos, como mensagens instantâneas,
redes sociais, compartilhamento de arquivos ou armazenamento em nuvem;
e) níveis mais fortes de autenticação ao transferir informações através de redes de acesso público;
f) restrições associadas com os recursos de comunicação eletrônica (por exemplo, prevenindo
encaminhamento automático de correio eletrônico para endereços de correio externos);
g) aconselhamento de pessoal e outras partes interessadas a não enviar SMS ou mensagens
instantâneas com informações críticas, uma vez que elas podem ser lidas em locais públicos (e,
portanto, por pessoas não autorizadas) ou armazenadas em dispositivos não adequadamente
protegidos;
h) aconselhamento de pessoal e outras partes interessadas sobre os problemas de uso de máquinas
de fax ou serviços, ou seja:
1) acesso não autorizado a lojas de mensagens incorporadas para recuperar mensagens;
2) programação deliberada ou acidental de máquinas para enviar mensagens para números
específcos.
Transferência de mídia de armazenamento físico
Convém que ao transferir mídia de armazenamento físico (incluindo papel), regras, procedimentos
e acordos também sejam incluídos:
a) responsabilidades para controlar e notifcar transmissão, expedição e recebimento;
b) assegurar o endereçamento e o transporte corretos da mensagem;
c) embalagem protegendo o conteúdo de qualquer dano físico que possa surgir durante o trânsito e
de acordo com as especifcações de qualquer fabricante, por exemplo, protegendo contra quaisquer
fatores ambientais que podem reduzir a efcácia da restauração de meios de armazenamento,
como exposição ao calor, umidade ou campo eletromagnéticos; utilizando normas técnicas mínimas
para embalagem e transmissão (por exemplo, o uso de envelopes opacos);
d) lista de serviços postais confáveis autorizados, acordados pela direção;
e) normas de identifcação de serviço postal;
f) dependendo do nível de classifcação das informações nos meios de armazenamento a serem
transportadas, utilização de controles evidentes ou resistentes a adulterações (por exemplo,
sacos, recipientes);
g) procedimentos para verifcar a identifcação dos entregadores;
h) lista aprovada de terceiros que fornecem serviços de transporte ou postal, dependendo da
classifcação das informações;
i) manutenção de registros para identifcação do conteúdo dos meios de armazenamento, a proteção
aplicada, bem como o registro da lista de destinatários autorizados, os horários de transferência
para os custodiantes de trânsito e o recebimento no destino.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
33
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Transferência verbal
Convém que para proteger a transferência verbal de informações, o pessoal e outras partes interessadas
sejam lembrados de:
a) não ter conversas verbais confdenciais em locais públicos ou por canais de comunicação inseguros,
uma vez que estes podem ser ouvidos por pessoas não autorizadas;
b) não deixar mensagens contendo informações confdenciais em secretárias eletrônicas ou
mensagens de voz, uma vez que elas podem ser reproduzidas por pessoas não autorizadas,
armazenadas em sistemas comunitários ou armazenadas incorretamente como resultado de
discagem errada;
c) ser rastreado para o nível apropriado para ouvir a conversa;
d) assegurar que os controles apropriados de sala sejam implementados (por exemplo, à prova
de som, porta fechada);
e) iniciar quaisquer conversas sensíveis com um aviso para que os presentes saibam o nível de
classifcação e quaisquer requisitos de tratamento do que estão prestes a ouvir.
Outras informações
Não há outra informação.
5.15 Controle de acesso
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Proteção

Controle
Convém que a alocação e a gestão de informações de autenticação sejam controladas por uma
gestão de processo, incluindo aconselhar o pessoal sobre o manuseio adequado de informações de
autenticação.
Propósito
Assegurar a autenticação adequada da entidade e evitar falhas nos processos de autenticação.
Orientação
Alocação de informações de autenticação
Convém que o processo de alocação e gestão assegure que:
a) senhas pessoais ou números de identifcação pessoal (PIN) gerados automaticamente durante
os processos de inscrição como informações temporárias de autenticação secreta não sejam
fáceis de adivinhar e únicas para cada pessoa, e que os usuários sejam obrigados a alterá-las
após o primeiro uso;
b) procedimentos sejam estabelecidos para verifcar a identidade de um usuário antes de fornecer
informações novas, de substituição ou de autenticação temporária;
c) informações de autenticação, incluindo informações de autenticação temporária, sejam transmitidas
aos usuários de forma segura (por exemplo, em um canal autenticado e protegido) e que o uso
de mensagens eletrônicas desprotegidas (texto claro) é evitado;
d) usuários reconhecem o recebimento de informações de autenticação;
e) informações de autenticação-padrão conforme predefnidas ou fornecidas pelos fornecedores
são alteradas imediatamente após a instalação de sistemas ou softwares;
f) registros de eventos signifcativos relativos à alocação e gestão de informações de autenticação
sejam mantidos e sua confdencialidade assegurada, e que o método de registro seja aprovado
(por exemplo, usando uma ferramenta de cofre de senha aprovada).
Responsabilidades do usuário
Convém que qualquer pessoa com acesso ou usando informações de autenticação seja avisada para
assegurar que:
a) informações de autenticação secreta, como senhas, são mantidas em sigilo. Informações de
autenticação secreta pessoal não são compartilhadas com ninguém. As informações de autenticação
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
38
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
secreta utilizadas no contexto de identidades vinculadas a múltiplos usuários ou vinculadas
a entidades não pessoais são compartilhadas exclusivamente com pessoas autorizadas;
b) informações de autenticação afetadas ou comprometidas são alteradas imediatamente após
a notifcação ou qualquer outra indicação de um comprometimento;
c) quando senhas são usadas como informações de autenticação, senhas fortes de acordo com
as melhores práticas recomendadas são selecionadas, por exemplo:
1) as senhas não se baseiam em qualquer coisa que outra pessoa possa facilmente adivinhar
ou obter usando informações relacionadas à pessoa (por exemplo, nomes, números de telefone
e datas de nascimento);
2) as senhas não são baseadas em palavras de dicionário ou combinações dela;
3) usar frases de senha fáceis de lembrar e tentar incluir caracteres alfanuméricos e especiais;
4) as senhas têm um comprimento mínimo;
d) as mesmas senhas não são usadas em serviços e sistemas distintos;
e) a obrigação de seguir essas regras também são incluídas em termos e condições de emprego
(ver 6.2).
Sistema de gerenciamento de senhas
Convém que quando as senhas forem usadas como informações de autenticação, o sistema de
gerenciamento de senhas considere:
a) permitir que os usuários selecionem e alterem suas próprias senhas e incluam um procedimento
de confrmação para resolver erros de entrada;
b) impor senhas fortes de acordo com as recomendações de boas práticas [ver c) de
“Responsabilidades do Usuário];
c) forçar os usuários a alterarem suas senhas no primeiro login;
d) impor alterações de senha conforme necessário, por exemplo, após um incidente de segurança,
ou após a rescisão ou mudança de emprego quando um usuário tiver senhas conhecidas para
identidades que permanecem ativas (por exemplo, identidades compartilhadas);
e) impedir o reuso de senhas anteriores;
f) impedir o uso de senhas comumente usadas e nomes de usuário comprometidos, combinações
de senhas de sistemas hackeados;
g) não exibir senhas na tela ao ser inserido;
h) armazenar e transmitir senhas de forma protegida.
Convém que a criptografa de senha e o hashing sejam realizados de acordo com técnicas criptográfcas
aprovadas para senhas (ver 8.24).
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
39
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Outras informações
Senhas ou frases são um tipo de informação de autenticação comumente usada e são um meio
comum de verifcar a identidade de um usuário. Outros tipos de informações de autenticação são
chaves criptográfcas, dados armazenados em tokens de hardware (por exemplo, cartões inteligentes)
que produzem códigos de autenticação e dados biométricos, como varreduras de íris ou impressões
digitais. Informações adicionais podem ser encontradas na série ISO/IEC 24760.
Requerer mudança frequente de senhas pode ser problemático porque os usuários podem fcar
irritados com as mudanças frequentes, esquecer novas senhas, anotar em locais inseguros ou
escolher senhas inseguras. A provisão de sinal único (SSO) ou outras ferramentas de gestão de
autenticação (por exemplo, cofres de senha) reduz a quantidade de informações de autenticação
que os usuários são requeridos a proteger e, assim, pode aumentar a efcácia deste controle. No
entanto, essas ferramentas também podem aumentar o impacto da divulgação de informações de
autenticação.
Algumas aplicações exigem que senhas de usuário sejam atribuídas por uma autoridade independente.
Nesses casos, a), c) e d) de “Sistema de gerenciamento de senhas” não se aplicam.
5.18 Direitos de acesso
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Gestão_de_

identidade_e_acesso

Proteção

Controle
Convém que os direitos de acesso às informações e outros ativos associados sejam provisionados,
analisados criticamente, modifcados e removidos de acordo com a política de tema específco e
regras da organização para o controle de acesso.
Propósito
Assegurar que o acesso às informações e outros ativos associados esteja defnido e autorizado de
acordo com os requisitos do negócio.
Orientação
Provisão e revogação dos direitos de acesso
Convém que o processo de provisionamento para atribuição ou revogação de direitos de acesso físico
e lógico concedidos à identidade autenticada de uma entidade inclua:
a) obtenção de autorização do proprietário das informações e de outros ativos associados para
o uso das informações e outros ativos associados (ver 5.9). A aprovação separada dos direitos
de acesso pela direção também pode ser apropriada;
b) consideração dos requisitos do negócio e as regras e política específca por tema da organização
sobre controle de acesso;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
40
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
c) consideração da segregação de funções, incluindo a segregação dos papéis de aprovação e
implementação dos direitos de acesso e separação de papéis confitantes;
d) garantia de que os direitos de acesso sejam removidos quando alguém não precisar acessar
as informações e outros ativos associados, em particular assegurando que os direitos de acesso
dos usuários que deixaram a organização sejam removidos em tempo hábil;
e) consideração da ação de direitos temporários de acesso por um período limitado e revogação
deles na data de validade, em especial para pessoal temporário ou acesso temporário exigido
pelo pessoal;
f) verifcação de se o nível de acesso concedido está de acordo com as políticas específcas por
tema sobre controle de acesso (ver 5.15) e é consistente com outros requisitos de segurança da
informação, como a segregação de funções (ver 5.3);
g) garantia de que os direitos de acesso sejam ativados (por exemplo, por prestadores de serviços)
somente após a conclusão dos procedimentos de autorização bem sucedido;
h) manutenção de um registro central dos direitos de acesso concedidos a um ID do usuário (lógico
ou físico) para acessar informações e outros ativos associados;
i) modifcação dos direitos de acesso dos usuários que mudaram de função ou emprego;
j) remoção ou ajuste dos direitos de acesso físico e lógico, que podem ser feitos por remoção,
revogação ou substituição de chaves, informações de autenticação, cartões de identifcação ou
assinaturas;
k) manutenção de um registro de alterações nos direitos lógicos e físicos de acesso dos usuários.
Análise crítica dos direitos de acesso
Convém que as análises críticas regulares dos direitos de acesso físico e lógico considerem o seguinte:
a) direitos de acesso dos usuários após qualquer alteração dentro da mesma organização (por
exemplo, mudança de emprego, promoção, rebaixamento) ou rescisão do emprego (ver 6.1 a 6.5);
b) autorizações para direitos de acesso privilegiados.
Consideração antes de alteração ou rescisão do emprego
Convém que os direitos de acesso de um usuário às informações e outros ativos associados sejam
analisados criticamente e ajustados ou removidos antes de qualquer alteração ou rescisão de emprego
com base na avaliação de fatores de risco como:
a) se a rescisão ou alteração é iniciada pelo usuário ou pela direção e o motivo da rescisão;
b) as responsabilidades atuais do usuário;
c) o valor dos ativos atualmente acessíveis.
Outras informações
Convém que seja considerado o estabelecimento de funções de acesso ao usuário com base nos
requisitos de negócios que resumem uma série de direitos de acesso em perfs típicos de acesso ao
usuário. Solicitações de acesso e análise critica dos direitos de acesso são mais fáceis de gerenciar
ao nível de tais funções do que no nível de direitos particulares.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
41
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que seja dada consideração à inclusão de cláusulas em contratos de pessoal e contratos
de serviços que especifque sanções se o acesso não autorizado for tentado por pessoal (ver 5.20,
6.2, 6.4, 6.6).
Em casos de rescisão iniciada pela direção, pessoas descontentes ou usuários de partes externas
podem deliberadamente corromper informações ou sabotar os recursos de tratamento de informações.
Em casos de pessoas que se demitem ou são demitidas, elas podem ser tentadas a coletar informações
para uso futuro.
A clonagem é uma maneira efciente de as organizações atribuirem acesso aos usuários. No entanto,
convém que seja feito com cuidado com base em funções distintas identifcadas pela organização, em
vez de apenas clonar uma identidade com todos os direitos de acesso associados. A clonagem tem um
risco inerente de resultar em direitos excessivos de acesso à informação e outros ativos associados.
5.19 Segurança da informação nas relações com fornecedores
Tipo de
controle
Propriedades
de segurança da
informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Segurança_nas_

relações_com_
fornecedores

Governança_e_

ecossistema

Proteção

Controle
Convém que processos e procedimentos sejam defnidos e implementados para gerenciar a segurança
da informação e os riscos associados com o uso dos produtos ou serviços dos fornecedores.
Propósito
Manter um nível acordado de segurança da informação nas relações com fornecedores.
Orientação
Convém que a organização estabeleça e comunique uma política específca por tema sobre
relacionamentos com fornecedores a todas as partes interessadas pertinentes.
Convém que a organização identifque e implemente processos e procedimentos para enfrentar riscos
de segurança associados ao uso de produtos e serviços prestados pelos fornecedores. Convém que
isso também se aplique ao uso da organização de recursos de provedores de serviços em nuvem.
Convém que esses processos e procedimentos incluam aqueles a serem implementados pela
organização, bem como aqueles que a organização requer que o fornecedor implemente para o início
do uso de produtos ou serviços de um fornecedor ou para o término do uso de produtos e serviços
de um fornecedor, como:
a) identifcar e documentar os tipos de fornecedores (por exemplo, serviços de TIC, logística, utilidades,
serviços fnanceiros, componentes de infraestrutura de TIC) que podem afetar a confdencialidade,
integridade e disponibilidade das informações da organização;
b) estabelecer como avaliar e selecionar fornecedores de acordo com a sensibilidade de informações,
produtos e serviços (por exemplo, com análise de mercado, referências ao cliente, análise crítica
de documentos, avaliações no local, certifcações);
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
42
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
c) avaliar e selecionar produtos ou serviços do fornecedor que tenham controles adequados de
segurança da informação e analisá-los criticamente; em particular, a precisão e a completeza
dos controles implementados pelo fornecedor que assegure a integridade do tratamento de
informações e informações do fornecedor e, consequentemente, a segurança da informação
da organização;
d) defnir as informações da organização, os serviços de TIC e a infraestrutura física que os
fornecedores podem acessar, monitorar, controlar ou usar;
e) defnir os tipos de componentes e serviços de infraestrutura de TIC fornecidos pelos fornecedores
que podem afetar a confdencialidade, integridade e disponibilidade das informações da organização;
f) avaliar e gerenciar os riscos de segurança da informação associados a:
1) o uso das informações da organização pelos fornecedores e outros ativos associados, incluindo
riscos originário de potenciais fornecedores maliciosos;
2) mau funcionamento ou vulnerabilidades dos produtos (incluindo componentes de software
e subcomponentes utilizados nesses produtos) ou serviços prestados pelos fornecedores;
g) monitorar o compliance com os requisitos estabelecidos de segurança da informação para cada
tipo de fornecedor e tipo de acesso, incluindo análise crítica de terceiros e validação do produto;
h) mitigar a não conformidade de um fornecedor, seja ela detectada por meio de monitoramento
ou por outros meios;
i) tratar de incidentes e contingências associados a produtos e serviços de fornecedores, incluindo
responsabilidades tanto da organização quanto dos fornecedores;
j) aplicar resiliência e, se necessário, medidas de recuperação e contingência para assegurar a
disponibilidade do tratamento de informações e informações do fornecedor e, consequentemente,
a disponibilidade das informações da organização;
k) conscientizar e treinar o pessoal da organização interagindo com o pessoal do fornecedor sobre
regras adequadas de engajamento, políticas específcas por tema para processos e procedimentos
e comportamentos baseados no tipo de fornecedor e no nível de acesso do fornecedor aos sistemas
de informações da organização;
l) gerenciar a transferência necessária de informações, outros ativos associados e qualquer outra
coisa que precise ser alterada e assegurar que a segurança da informação seja mantida durante
todo o período de transferência;
m) requisitos para assegurar um término seguro do relacionamento com o fornecedor, incluindo:
1) desprovisionamento dos direitos de acesso;
2) tratamento de informações;
3) determinação da propriedade intelectual desenvolvida durante o engajamento;
4) portabilidade de informações em caso de alteração de fornecedor ou internalização;
5) gerenciamento de registros;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
43
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
6) devolução de ativos;
7) eliminação segura de informações e outros ativos associados;
8) requisitos de confdencialidade em andamento;
n) nível de segurança pessoal e segurança física esperado do pessoal e instalações do fornecedor.
Convém que sejam considerados os procedimentos para o tratamento contínuo de informações,
caso o fornecedor não consiga fornecer seus produtos ou serviços (por exemplo, por causa de um
incidente, pois o fornecedor não está mais no negócio, ou não fornece mais alguns componentes
devido aos avanços tecnológicos), para evitar qualquer atraso na organização de produtos ou serviços
de substituição (por exemplo, identifcando um fornecedor alternativo com antecedência ou sempre
usando fornecedores alternativos).
Outras informações
Nos casos em que não seja possível para uma organização colocar requisitos em um fornecedor,
convém que a organização:
a) considere a orientação dada neste controle na tomada de decisões sobre a escolha de um
fornecedor e seu produto ou serviço;
b) implemente controles compensatórios conforme necessário com base em um processo de avaliação
de riscos.
As informações podem ser colocadas em risco por fornecedores com uma gestão inadequada de
segurança da informação. Convém que os controles sejam determinados e aplicados para gerenciar
o acesso do fornecedor às informações e outros ativos associados. Por exemplo, se houver uma
necessidade especial de confdencialidade das informações, acordos de não divulgação ou técnicas
criptográfcas podem ser usados. Outros exemplos são os riscos de proteção de dados pessoais
quando o contrato de fornecedor envolve transferência ou acesso a informações além das fronteiras.
A organização precisa estar ciente de que a responsabilidade legal ou contratual pela proteção das
informações permanece com a organização.
Os riscos também podem ser causados por controles inadequados de componentes de infraestrutura
de TIC ou serviços prestados pelos fornecedores. Componentes ou serviços defeituosos ou vulneráveis
podem causar violações de segurança da informação na organização ou em outra entidade (por
exemplo, eles podem causar infecção por malware, ataques ou outros danos a entidades que não
a organização).
Ver a ISO/IEC 27036-2 para obter mais detalhes.
5.20 Abordagem da segurança da informação nos contratos de fornecedores
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Segurança_nas_

relações_com_
fornecedores

Governança_e_

ecossistema

Proteção

Corretivo #Confdencialidade

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Responder

Continuidade #Proteção

Resiliência

Controle
Convém que a organização planeje como manter a segurança da informação em um nível apropriado
durante a disrupção.
Propósito
Proteger as informações e outros ativos associados durante a disrupção.
Orientação
Convém que a organização determine seus requisitos para adaptar os controles de segurança da
informação durante a disrupção. Convém que os requisitos de segurança da informação sejam
incluídos nos processos de gestão de continuidade de negócios.
Convém que os planos sejam desenvolvidos, implementados, testados, analisados criticamente e
avaliados para manter ou restaurar a segurança das informações de processos críticos de negócios
após disrupção ou falha. Convém que a segurança da informação seja restaurada no nível e nos
prazos requeridos.
Convém que a organização implemente e mantenha:
a) controles de segurança da informação, sistemas e ferramentas de suporte dentro dos planos
de continuidade de negócios e TIC;
b) processos para manter os controles de segurança da informação existentes durante a disrupção;
c) controles de compensação para controles de segurança da informação que não podem ser
mantidos durante a disrupção.
Outras informações
No contexto da continuidade do negócio e do planejamento da continuidade da TIC, pode ser
necessário adaptar os requisitos de segurança da informação dependendo do tipo de disrupção, em
comparação com as condições normais de operação. Como parte da análise de impacto nos negócios
e processo de avaliação de riscos realizados na gestão de continuidade de negócios, convém que
as consequências da perda de confdencialidade e integridade das informações sejam consideradas
e priorizadas, além da necessidade de manter a disponibilidade.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
60
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Informações sobre gestão de continuidade de negócios podem ser encontradas na
ABNT NBR ISO 22313 e na ABNT NBR ISO 22301 e informações sobre análise de impacto nos
negócios (BIA) podem ser encontradas na ABNT ISO/TS 22317.
5.30 Prontidão de TIC para continuidade de negócios
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Corretivo #Disponibilidade #Responder #Continuidade #Resiliência

Controle
Convém que a prontidão da TIC seja planejada, implementada, mantida e testada com base nos
objetivos de continuidade de negócios e nos requisitos de continuidade da TIC.
Propósito
Assegurar a disponibilidade das informações da organização e outros ativos associados durante
a disrupção.
Orientação
A prontidão de TIC para a continuidade dos negócios é um componente importante na gestão da
continuidade de negócios e na gestão da segurança da informação para assegurar que os objetivos
da organização possam continuar a ser cumpridos durante a disrupção.
Os requisitos de continuidade das TIC são o resultado da análise de impacto nos negócios (BIA).
Convém que o processo BIA utilize tipos e critérios de impacto para avaliar os impactos ao longo
do tempo decorrentes da disrupção das atividades empresariais que fornecem produtos e serviços.
Convém que a magnitude e duração do impacto resultante sejam utilizadas para identifcar atividades
priorizadas que convém que sejam atribuídas a um objetivo de tempo de recuperação (RTO). Convém
que a BIA então determine quais recursos são necessários para apoiar as atividades priorizadas.
Convém que um RTO também seja especifcado para esses recursos. Convém que um subconjunto
desses recursos inclua serviços de TIC.
A BIA envolvendo serviços de TIC pode ser expandida para defnir os requisitos de desempenho e
capacidade dos sistemas de TIC e dos objetivos de ponto de recuperação (RPO) das informações
necessárias para apoiar as atividades durante a disrupção.
Com base nas saídas da BIA e no processo de avaliação de risco envolvendo serviços de TIC, convém
que a organização identifque e selecione estratégias de continuidade de TIC que considerem opções
para antes, durante e após a disrupção. As estratégias de continuidade de negócios podem incluir
uma ou mais soluções. Convém que, com base nas estratégias, os planos sejam desenvolvidos,
implementados e testados para atender ao nível de disponibilidade requerido dos serviços de TIC
e nos prazos requeridos após disrupção ou falha de processos críticos.
Convém que a organização assegure que:
a) existe uma estrutura organizacional adequada para preparar, mitigar e responder a uma disrupção,
suportada por pessoal com a necessária responsabilidade, autoridade e competência;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
61
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
b) planos de continuidade de TIC, incluindo procedimentos de resposta e recuperação detalhando
como a organização está planejando gerenciar uma disrupção do serviço de TIC, sejam:
1) regularmente avaliados por meio de exercícios e testes;
2) aprovados pela direção;
c) Os planos de continuidade de TIC incluem as seguintes informações de continuidade de TIC:
1) especifcações de desempenho e capacidade para atender aos requisitos e objetivos de
continuidade de negócios especifcados na BIA;
2) RTO de cada serviço de TIC priorizado e os procedimentos para a restauração desses
componentes;
3) RPO dos recursos priorizados de TIC defnidos como informações e procedimentos para
restauração da informação.
Outras informações
Gerenciar a continuidade de TIC forma uma parte fundamental dos requisitos de continuidade de
negócios em relação à disponibilidade para ser capaz de:
a) responder e recuperar de disrupção dos serviços de TIC independentemente da causa;
b) assegurar que a continuidade das atividades priorizadas são apoiadas pelos serviços de TIC
necessários;
c) responder antes que ocorra uma disrupção nos serviços de TIC, e após a detecção de pelo
menos um incidente que pode resultar em uma disrupção nos serviços de TIC.
Orientações adicionais podem ser encontradas sobre a prontidão de TIC para a continuidade dos
negócios na ISO/IEC 27031.
Orientações adicionais podem ser encontradas sobre o sistema de gestão de continuidade de negócios
na ABNT NBR ISO 22301 e na ABNT NBR ISO 22313.
Orientações adicionais podem ser encontradas sobre BIA na ABNT ISO/TS 22317.
5.31 Requisitos legais, estatutários, regulamentares e contratuais
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos de
segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventiva #Confdencialidade

Integridade

Disponibilidade

Identifcar #Legal_e_

compliance

Governança_e_

ecossistema

Proteção

Controle
Convém que os requisitos legais, estatutários, regulamentares e contratuais pertinentes à segurança
da informação e à abordagem da organização para atender a esses requisitos sejam identifcados,
documentados e atualizados.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
62
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Propósito
Assegurar o compliance dos requisitos legais, estatutários, regulamentares e contratuais relacionados
à segurança da informação.
Orientação
Geral
Convém que os requisitos externos, incluindo requisitos legais, estatutários, regulamentares ou
contratuais sejam considerados quando ocorrer:
a) desenvolvimento de políticas e procedimentos de segurança da informação;
b) projeto, implementação ou alteração de controles de segurança da informação;
c) classifcação de informações e outros ativos associados como parte do processo de defnição de
requisitos de segurança da informação para necessidades internas ou para acordos de fornecedores;
d) realização de processos de avaliações de risco de segurança da informação e determinação de
atividades de tratamento de risco de segurança da informação;
e) determinação de processos, juntamente com papéis e responsabilidades relacionados à segurança
da informação;
f) determinação dos requisitos contratuais dos fornecedores relevantes para a organização e
o escopo de fornecimento de produtos e serviços.
Legislação e regulamentos
Convém que a organização:
a) identifque todas as legislações e regulamentos pertinentes à segurança da informação da
organização, a fm de estar ciente dos requisitos para o seu tipo de negócio;
b) considere o compliance em todos os países pertinentes, se a organização:
— realizar negócios em outros países;
— usar produtos e serviços de outros países onde leis e regulamentos podem afetar a organização;
— transferir informações através de fronteiras jurisdicionais onde leis e regulamentos podem
afetar a organização;
c) analise criticamente a legislação e a regulamentação identifcadas regularmente, a fm de manter-se
atualizada com as mudanças e identifque novas legislações;
d) defna e documente os processos específcos e responsabilidades individuais para atender
a esses requisitos.
Criptografa
Criptografa é uma área que muitas vezes tem requisitos legais específcos. Convém que o compliance
com acordos, leis e regulamentos pertinentes relativos aos seguintes itens considere:
a) restrições à importação ou exportação de hardware e software de computador para a execução
de funções criptográfcas;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
63
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
b) restrições à importação ou exportação de hardware e software de computador que foi projetado
para ter funções criptográfcas adicionadas a ele;
c) restrições ao uso de criptografa;
d) métodos obrigatórios ou discricionários de acesso pelas autoridades dos países às informações
criptografadas;
e) validade de assinaturas digitais, selos e certifcados.
Recomenda-se buscar aconselhamento jurídico ao assegurar compliance com a legislação e regulamentos
pertinentes, especialmente quando informações criptografadas ou ferramentas de criptografa são
movidas através das fronteiras jurisdicionais.
Contratos
Convém que os requisitos contratuais relacionados à segurança da informação incluam aqueles
indicados em:
a) contratos com clientes;
b) contratos com fornecedores (ver 5.20);
c) contratos de seguro.
Outras informações
Não há outra informação.
5.32 Direitos de propriedade intelectual
Tipo de controle Informação
propriedades
de segurança
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Legal_e_

compliance

Governança_e_

ecossistema
Controle
Convém que a organização implemente procedimentos adequados para proteger os direitos de
propriedade intelectual.
Propósito
Assegurar o compliance dos requisitos legais, estatutários, regulamentares e contratuais relacionados
aos direitos de propriedade intelectual e ao uso de produtos proprietários.
Orientação
Convém que as seguintes diretrizes sejam consideradas para proteger qualquer material que possa
ser considerado propriedade intelectual:
a) defnir e comunicar uma política específca por tema sobre proteção dos direitos de propriedade
intelectual;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
64
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
b) publicar procedimentos para o compliance dos direitos de propriedade intelectual que defnam
o uso adequado de software e produtos de informação;
c) adquirir software somente por meio de fontes conhecidas e confáveis, para assegurar que
os direitos autorais não sejam violados;
d) manter registros apropriados de ativos e identifcar todos os ativos com requisitos de proteção
de direitos de propriedade intelectual;
e) manter provas e evidências de propriedade de licenças, manuais etc.;
f) assegurar que qualquer número máximo de usuários ou recursos (por exemplo, CPU) permitidos
dentro da licença não seja excedido;
g) realizar análises críticas para assegurar que apenas softwares autorizados e produtos licenciados
sejam instalados;
h) fornecer procedimentos para a manutenção das condições adequadas de licença;
i) fornecer procedimentos para descartar ou transferir software para terceiros;
j) manter o compliance dos termos e condições de software e informações obtidas de redes públicas
e fontes externas;
k) não duplicar, converter para outro formato ou extrair de gravações comerciais (vídeo, áudio) outro
além do permitido pela lei de direitos autorais e as licenças aplicáveis;
l) não copiar, total ou parcialmente, normas (por exemplo, normas internacionais ISO/IEC), livros,
artigos, relatórios ou outros documentos, além do permitido pela lei de direitos autorais e as licenças
aplicáveis.
Outras informações
Os direitos de propriedade intelectual incluem direitos autorais de software ou documentos, direitos
de design, marcas comerciais, patentes e licenças de código fonte.
Os produtos de software proprietários geralmente são fornecidos sob um contrato de licença que
especifca termos e condições de licença, por exemplo, limitando o uso dos produtos a máquinas
especifcadas ou limitando a cópia apenas à criação de cópias de backup. Ver a ISO/IEC 19770 para
obter detalhes sobre a gestão de ativos de TI.
Os dados podem ser adquiridos de fontes externas. É geralmente o caso de que estes dados são
obtidos nos termos de um acordo de compartilhamento de dados ou instrumento legal semelhante.
Convém que esses acordos de compartilhamento de dados deixem claro qual o tratamento permitido
para os dados adquiridos. Também é aconselhável que a procedência dos dados seja claramente
declarada. Ver a ISO/IEC 23751 para obter detalhes sobre acordos de compartilhamento de dados.
Requisitos legais, estatutários, regulamentares e contratuais podem colocar restrições à cópia de
material proprietário. Em particular, eles podem requerer que apenas material que é desenvolvido pela
organização ou que seja licenciado ou fornecido pelo desenvolvedor para a organização, seja usado.
A violação de direitos autorais pode levar a ações judiciais, que podem envolver multas e processos
criminais.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
65
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Além da organização que precisa cumprir suas obrigações em relação aos direitos de propriedade
intelectual de terceiros, convém que os riscos de pessoal e terceiros não cumprirem os direitos de
propriedade intelectual da própria organização também sejam gerenciados.
5.33 Proteção de registros
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Legal_e_ compliance

Gestão_de_ativos

Proteção_da_ informação

Defesa

Controle
Convém que os registros sejam protegidos contra perdas, destruição, falsifcação, acesso não
autorizado e liberação não autorizada.
Propósito
Assegurar o compliance dos requisitos legais, estatutários, regulamentares e contratuais, bem como
expectativas comunitárias ou sociais relacionadas à proteção e disponibilidade de registros.
Orientação
Convém que a organização tome as seguintes medidas para proteger a autenticidade, confabilidade,
integridade e usabilidade dos registros, enquanto seu contexto de negócios e os requisitos para a sua
administração mudam ao longo do tempo:
a) emitir diretrizes sobre o armazenamento, manuseio da cadeia de custódia e descarte de registros,
o que inclui a prevenção da manipulação de registros. Convém que essas diretrizes estejam
alinhadas com a política específca por tema da organização sobre gerenciamento de registros
e outros requisitos de registros;
b) elaborar um cronograma de retenção defnindo registros e o período de tempo pelo qual convém
que eles sejam retidos.
Convém que o sistema de armazenamento e manuseio assegure a identifcação dos registros e do seu
período de retenção levando em consideração a legislação ou regulamentos nacionais ou regionais,
bem como as expectativas comunitárias ou sociais, se aplicável. Convém que este sistema permita
a destruição adequada dos registros após esse período, se eles não forem necessários pela organização.
Ao decidir sobre a proteção de registros organizacionais específcos, convém considerar sua classifcação
correspondente de segurança da informação, com base no esquema de classifcação da organização.
Convém que os registros sejam categorizados em tipos de registros (por exemplo, registros contábeis,
registros de transações comerciais, registros pessoais, registros legais), cada um com detalhes de
períodos de retenção e tipo de mídia de armazenamento permitida, que pode ser física ou eletrônica.
Convém que os sistemas de armazenamento de dados sejam escolhidos de forma que os registros
necessários possam ser recuperados em um período e formato aceitáveis, dependendo dos requisitos
a serem cumpridos.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
66
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que, quando as mídias de armazenamento eletrônico forem escolhidas, procedimentos para
assegurar a capacidade de acessar registros (mídia de armazenamento e legibilidade de formato),
durante todo o período de retenção, sejam estabelecidos, para proteger contra perdas devido à futura
mudança de tecnologia. Convém que quaisquer chaves criptográfcas e programas relacionados
associados a arquivos criptografados ou assinaturas digitais também sejam retidos para permitir a
descriptografa dos registros pelo tempo que os registros são retidos (ver 8.24).
Convém que os procedimentos de armazenamento e manuseio sejam implementados de acordo com
as recomendações fornecidas pelos fabricantes de mídia de armazenamento. Convém considerar
a possibilidade de deterioração dos meios utilizados para armazenamento de registros.
Outras informações
Os registros documentam eventos ou transações individuais ou podem formar agregações que foram
projetadas para documentar processos de trabalho, atividades ou funções. Ambos são evidências de
atividade empresarial e ativos de informação. Qualquer conjunto de informações, independentemente
de sua estrutura ou forma, pode ser gerenciado como um registro. Isso inclui informações na forma
de um documento, uma coleta de dados ou outros tipos de informações digitais ou analógicas que
são criadas, capturadas e gerenciadas no decorrer dos negócios.
Na gestão dos registros, metadados são dados que descrevem o contexto, conteúdo e estrutura
dos registros, bem como sua gestão ao longo do tempo. Metadados são componentes essenciais de
qualquer registro.
Pode ser necessário reter alguns registros com segurança para atender aos requisitos legais, estatutários,
regulamentares ou contratuais, bem como apoiar atividades comerciais essenciais. A lei ou regulamento
nacional pode defnir o período de tempo e o conteúdo dos dados para retenção de informações. Mais
informações sobre o gerenciamento de registros podem ser encontradas na ISO 15489.
5.34 Privacidade e proteção de DP
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Proteção_da_informação

Legal_e_ compliance

Proteção

Controle
Convém que a organização identifque e atenda aos requisitos relativos à preservação da privacidade
e proteção de DP de acordo com as leis e regulamentos aplicáveis e requisitos contratuais.
Propósito
Assegurar o compliance dos requisitos legais, estatutários, regulamentares e contratuais relacionados
aos aspectos de segurança da informação da proteção de DP.
Orientação
Convém que a organização estabeleça e comunique uma política específca por tema sobre privacidade
e proteção de DP para todas as partes interessadas relevantes.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
67
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que a organização desenvolva e implemente procedimentos para a preservação da privacidade
e proteção de DP. Convém que esses procedimentos sejam comunicados a todas as partes interessadas
relevantes envolvidas no tratamento de DP.
O compliance desses procedimentos e todas as legislações e regulamentos pertinentes relativos
à preservação da privacidade e proteção de DP exige papéis, responsabilidades e controles adequados.
Muitas vezes isso é melhor obtido com a nomeação de um responsável, como um Encarregado de
Proteção de Dados. Convém que o Encarregado de Proteção de Dados forneça orientação ao pessoal,
provedores de serviços e outras partes interessadas sobre suas responsabilidades individuais e
os procedimentos específcos que convém que sejam seguidos.
Convém que a responsabilidade de lidar com os DP seja tratada de acordo com a legislação e
os regulamentos pertinentes.
Convém que medidas técnicas e organizacionais adequadas para proteger DP sejam implementadas.
Outras informações
Vários países introduziram legislação que coloca controles sobre a coleta, tratamento, transmissão
e exclusão de DP. Dependendo da respectiva legislação nacional, tais controles podem impor deveres
àqueles que coletam, tratam e divulgam DP e também podem restringir a autoridade para transferir DP
para outros países.
A ABNT NBR ISO/IEC 29100 fornece uma estrutura de alto nível para a proteção de DP dentro dos
sistemas de TIC. Mais informações sobre sistemas de gestão da privacidade de informações podem
ser encontradas na ABNT NBR ISO/IEC 27701. Informações específcas sobre a gestão de privacidade
de informações para nuvens públicas que atuam como operadores de DP podem ser encontradas na
ABNT NBR ISO/IEC 27018.
A ABNT NBR ISO/IEC 29134 fornece diretrizes para avaliação de impacto de privacidade
(PIA) e um exemplo da estrutura e conteúdo de um relatório PIA. Em comparação com a
ABNT NBR ISO/IEC 27005, ela é focada no tratamento de DP e pertinente para as organizações
que tratam DP. Isso pode ajudar a identifcar riscos de privacidade e possíveis mitigações para reduzir
esses riscos a níveis aceitáveis.
5.35 Análise crítica independente da segurança da informação
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Garantia_de_

segurança_ da_
informação

Governança_e_

ecossistema
Controle
Convém que a abordagem da organização para gerenciar a segurança da informação e sua
implementação, incluindo pessoas, processos e tecnologias, seja analisada criticamente de forma
independente a intervalos planejados ou quando ocorrem mudanças signifcativas.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
68
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Propósito
Assegurar a contínua adequação, sufciência e efcácia da abordagem da organização para a gestão
da segurança da informação.
Orientação
Convém que a organização tenha processos para realizar análises críticas independentes.
Convém que a direção planeje e inicie análises críticas periódicas. Convém que as análises críticas
incluam a avaliação de oportunidades de melhoria e a necessidade de mudanças na abordagem
da segurança da informação, incluindo a política de segurança da informação, políticas de temas
específcos e outros controles.
Convém que essas análises críticas sejam realizadas por indivíduos independentes da área em análise
(por exemplo, a função de auditoria interna, um gestor independente ou uma organização externa
especializada em tais análises críticas). Convém que os indivíduos que realizam essas análises
críticas tenham a competência adequada. Convém que a pessoa que conduz as análises críticas não
esteja na linha de autoridade para assegurar que ela tenha a independência para fazer uma avaliação.
Convém que os resultados das análises críticas independentes sejam informados ao gestor que iniciou
as análises críticas e, se for o caso, à Alta Direção. Convém que esses registros sejam mantidos.
Convém que a gestão implemente as ações corretivas, se as análises críticas independentes identifcarem
que a abordagem e a implementação da organização para a gestão da segurança da informação são
inadequadas [por exemplo, objetivos e requisitos documentados não são atendidos ou não estão
de acordo com o direcionamento de segurança da informação indicado na política de segurança da
informação e políticas de temas específcos (ver 5.1)],
Além das análises críticas independentes periódicas, convém que a organização considere a realização
de análises críticas independentes quando:
a) leis e regulamentos que afetem a organização mudarem;
b) incidentes signifcativos ocorrerem;
c) a organização iniciar um novo negócio ou mudar um negócio atual;
d) a organização começar a usar um novo produto ou serviço, ou alterar o uso de um produto atual
ou serviço;
e) a organização alterar signifcativamente os controles e procedimentos de segurança da informação.
Outras informações
A ABNT NBR ISO/IEC 27007 e a ISO/IEC TS 27008 fornecem orientações para a realização de
análises críticas independentes.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
69
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
5.36 Conformidade com políticas, regras e normas para segurança da informação
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Legal_e_compliance

Garantia_de_segurança_

da_informação

Governança_e_

ecossistema
Controle
Convém que o compliance da política de segurança da informação da organização, políticas, regras
e normas de temas específcos seja analisado criticamente a intervalos regulares.
Propósito
Assegurar que a segurança da informação seja implementada e operada de acordo com a política
de segurança da informação da organização, políticas, regras e normas específcas por tema.
Orientação
Convém que gestores, proprietários de serviços, produtos ou informações identifquem como analisar
criticamente os requisitos de segurança da informação defnidos na política de segurança da informação,
políticas específcas por tema, regras, normas e outras regulamentações aplicáveis. Convém que
ferramentas automáticas de medição e emissão de relatórios sejam consideradas para uma análise
crítica regular efciente.
Se qualquer não compliance for encontrado como resultado da análise crítica, convém que os gestores:
a) identifquem as causas do não compliance;
b) avaliem a necessidade de ações corretivas para alcançar o compliance;
c) implementem ações corretivas adequadas;
d) analisem criticamente as ações corretivas tomadas para verifcar sua efcácia e identifcar quaisquer
defciências ou fragilidades.
Convém que os resultados das análises críticas e ações corretivas realizadas pelos gestores, proprietários
de serviços, produtos ou informações sejam registrados e que registros sejam mantidos. Convém que
os gestores informem os resultados às pessoas que realizam análises críticas independentes (ver
5.35) quando uma análise crítica independente ocorre na área de sua responsabilidade.
Convém que as ações corretivas sejam concluídas em tempo hábil, conforme apropriado ao risco.
Se não for concluída até a próxima análise crítica programada, convém que o progresso, pelo menos,
seja abordado nessa análise crítica.
Outras informações
O monitoramento operacional do uso do sistema é coberto em 8.15, 8.16, 8.17.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
70
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
5.37 Documentação dos procedimentos de operação
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades operacionais Domínios de
segurança

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Recuperar

Gestão_de_ativos

Segurança_fsica

Segurança_de_sistemas_

e_ rede

Segurança_de_aplicações

Confguração_segura

Gestão_de_identidade_

e_acesso #Gestão_de_
ameaças_e_vulnerabilidades

Continuidade

Gestão_de_evento_de_

segurança_da_informação

Governança_e_

ecossistema

Proteção

Segurança_em_

recursos_humanos

Governança_e_

ecossistema
Controle
Convém que um processo disciplinar seja formalizado e comunicado, para tomar ações contra pessoal
e outras partes interessadas relevantes que tenham cometido uma violação da política de segurança
da informação.
Propósito
Assegurar que o pessoal e outras partes interessadas pertinentes entendam as consequências da
violação da política de segurança da informação, para dissuadir e lidar adequadamente com as pessoas
que cometeram a violação.
Orientação
Convém que o processo disciplinar não seja iniciado sem a confrmação prévia de que ocorreu uma
violação da política de segurança da informação (ver 5.28).
Convém que o processo disciplinar formal forneça uma resposta categorizada, que considere fatores
como:
a) a natureza (quem, o que quando, como) e gravidade da violação e suas consequências;
b) se o delito foi intencional (malicioso) ou não acidental (acidental);
c) se este é ou não um primeiro delito ou se é repetido;
d) se o infrator foi ou não devidamente treinado.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
77
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que a resposta considere requisitos legais, estatutários, contratuais, regulamentares e comerciais
relevantes, bem como outros fatores, conforme requerido. Convém que o processo disciplinar também
seja usado como um impedimento para evitar que pessoal viole a política de segurança da informação,
políticas específcas por tema e procedimentos para a segurança da informação. Violações deliberadas
da política de segurança da informação podem requerer ações imediatas.
Outras informações
Convém que sempre que possível, a identidade dos indivíduos sujeitos a ações disciplinares seja
protegida de acordo com os requisitos aplicáveis.
Quando os indivíduos demonstram um excelente comportamento em relação à segurança da
informação, eles podem ser recompensados por promover a segurança da informação e incentivar
o bom comportamento.
6.5 Responsabilidades após encerramento ou mudança da contratação
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_em_

recursos_humanos

Gestão_de_ativos

Governança_e_

ecossistema
Controle
Convém que as responsabilidades e funções de segurança da informação que permaneçam válidos
após o encerramento ou mudança da contratação sejam defnidos, aplicados e comunicados ao
pessoal e outras partes interessadas pertinentes.
Propósito
Proteger os interesses da organização como parte do processo de mudança ou encerramento da
contratação ou de um contrato.
Orientação
Convém que processo de gestão da mudança ou encerramento da contratação defna quais
responsabilidades e funções de segurança da informação convém permanecer válidos após a mudança
ou encerramento. Isso pode incluir confdencialidade de informações, propriedade intelectual e
outros conhecimentos obtidos, bem como responsabilidades contidas em qualquer outro acordo
de confdencialidade (ver 6.6). Convém que as responsabilidades e funções ainda válidos após o
encerramento da contratação ou do contrato estejam contidos nos contratos, acordos ou termos e
condições de contratação (ver 6.2). Outros contratos ou acordos que permaneçam por um período
defnido após o encerramento da contratação do indivíduo também podem conter responsabilidades
de segurança da informação.
Convém que as mudanças de responsabilidade ou de contratação sejam gerenciadas como o
encerramento da contratação ou responsabilidade atual combinada com o início da nova responsabilidade
ou contratação.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
78
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que os papéis e responsabilidades de segurança da informação de qualquer indivíduo
que sai ou muda de papel sejam identifcadas e transferidas para outro indivíduo.
Convém que seja estabelecido um processo para a comunicação das mudanças e dos procedimentos
operacionais ao pessoal, demais partes interessadas e pessoas de contato pertinentes (por exemplo,
aos clientes e fornecedores).
Convém que o processo de encerramento ou mudança da contratação também seja aplicado ao
pessoal externo (ou seja, fornecedores) quando ocorre encerramento de contratação, o término de
um contrato ou o término de um trabalho com a organização, ou quando houver uma mudança de
trabalho dentro da organização.
Outras informações
Em muitas organizações, a função de recursos humanos é comumente responsável por todo o processo
de encerramento da contratação e trabalha em conjunto com o gestor da pessoa em transição para
gerenciar os aspectos de segurança da informação dos procedimentos relevantes. No caso de um
prestador de serviço fornecido por uma parte externa (por exemplo, através de um fornecedor), esse
processo de encerramento é realizado pela parte externa de acordo com o contrato entre a organização
e a parte externa.
6.6 Acordos de confdencialidade ou não divulgação
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_em_

recursos_humanos

Proteção_da_informação

Segurança_nas_

relações_com_fornecedores

Governança_e_

ecossistema
Controle
Convém que acordos de confdencialidade ou não divulgação que refitam as necessidades da organização
para a proteção das informações sejam identifcados, documentados, analisados criticamente em
intervalos regulares e assinados por pessoal e outras partes interessadas pertinentes.
Propósito
Manter a confdencialidade das informações acessíveis pelo pessoal ou por partes externas.
Orientação
Convém que acordos de confdencialidade ou não divulgação abordem a exigência de proteger
informações confdenciais usando termos legalmente aplicáveis. Acordos de confdencialidade ou
não divulgação são aplicáveis as partes interessadas e ao pessoal da organização. Com base nos
requisitos de segurança da informação de uma organização, convém que os termos dos acordos
sejam determinados levando em consideração o tipo de informação que será manuseada, seu nível de
classifcação, seu uso e o acesso permitido pela outra parte. Para identifcar os requisitos para acordos
de confdencialidade ou não divulgação, convém que sejam considerados os seguintes elementos:
a) uma defnição das informações a serem protegidas (por exemplo, informações confdenciais);
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
79
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
b) a duração esperada de um acordo, incluindo casos em que a confdencialidade pode ser mantida
indefnidamente ou até que as informações se tornam publicamente disponíveis;
c) as ações necessárias quando um acordo é rescindido;
d) as responsabilidades e ações dos signatários para evitar a divulgação de informações não
autorizadas;
e) a propriedade de informações, segredos comerciais e propriedade intelectual, e como isso se
relaciona com a proteção de informações confdenciais;
f) o uso permitido da informação confdencial e direitos do signatário para o uso da informação;
g) o direito de auditar e monitorar atividades que envolvam informações confdenciais para circunstâncias
altamente sensíveis;
h) o processo de notifcação e emissão de relatórios de divulgação não autorizada ou vazamento
de informações confdenciais;
i) os termos para que as informações sejam devolvidas ou destruídas no término do acordo;
j) as ações esperadas a serem tomadas no caso de não conformidade com o acordo.
Convém que a organização considere a conformidade dos acordos de confdencialidade e não
divulgação com a jurisdição para a qual eles se aplicam (ver 5.31, 5.32, 5.33, 5.34).
Convém que os requisitos para acordos de confdencialidade e não divulgação sejam analisados
criticamente, de forma periódica, e quando ocorrem mudanças que infuenciem esses requisitos.
Outras informações
Acordos de confdencialidade e não divulgação protegem as informações da organização e informam
aos signatários de sua responsabilidade de proteger, usar e divulgar informações de forma responsável
e autorizada.
6.7 Trabalho remoto
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Disponibilidade

Proteger #Segurança_física

Gestão_de_

identidade_e_acesso

Proteção

Controle
Convém que as áreas seguras sejam protegidas por controles de entrada e pontos de acesso
apropriados.
Propósito
Assegurar que ocorra apenas acesso físico autorizado às informações da organização e outros ativos
associados.
Orientação
Geral
Convém que os pontos de acesso, como áreas de entrega e carregamento e outros pontos onde
pessoas não autorizadas podem entrar nas instalações, sejam controlados e, se possível, isolados
dos recursos de tratamento da informação, para evitar acesso não autorizado.
Convém que as seguintes diretrizes sejam consideradas:
a) restringir o acesso aos locais e edifícios apenas ao pessoal autorizado. Convém que o processo
de gestão dos direitos de acesso às áreas físicas inclua o fornecimento, análise crítica periódica,
atualização e revogação das autorizações (ver 5.18);
b) manter e monitorar de forma segura um livro de registro físico ou trilha de auditoria eletrônica
de todos os acessos e proteger todos os registros (ver 5.33) e informações de autenticação
sensíveis;
c) estabelecer e implementar um processo e mecanismos técnicos para a gestão do acesso às
áreas onde a informação é tratada ou armazenada. Os mecanismos de autenticação incluem
o uso de cartões de acesso, biometria ou autenticação de dois fatores, como um cartão de acesso
e PIN secreto. Convém que sejam consideradas portas duplas de segurança para acesso a áreas
sensíveis;
d) implantar uma área de recepção monitorada pelo pessoal ou outros meios para controlar o acesso
físico ao local ou edifício;
e) inspecionar e examinar pertences pessoais do pessoal e partes interessadas no momento da
entrada e saída;
NOTA Podem existir legislação e regulamentos locais relacionados à possibilidade de inspeção de
pertences pessoais.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
85
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
f) requerer que todo o pessoal e as partes interessadas usem algum tipo visível de identifcação e
notifquem imediatamente o pessoal de segurança se encontrarem visitantes não acompanhados
e qualquer pessoa que não esteja usando uma identifcação visível. Convém que crachás facilmente
distinguíveis sejam considerados para melhor identifcar funcionários permanentes, fornecedores
e visitantes;
g) conceder acesso restrito ao pessoal do fornecedor a áreas seguras ou recursos de tratamento
da informação apenas quando necessário. Convém que esse acesso seja autorizado e monitorado;
h) dar atenção especial à segurança de acesso físico no caso de edifícios que detêm ativos para
várias organizações;
i) elaborar medidas de segurança física que possam ser reforçadas quando a probabilidade de
incidentes físicos aumentar;
j) proteger outros pontos de entrada contra acesso não autorizado, como saídas de emergência;
k) implantar um processo de gerenciamento chave para assegurar o gerenciamento das chaves
físicas ou informações de autenticação (por exemplo, códigos de bloqueio, fechaduras de
combinação para escritórios, salas e instalações, como armários de chaves) e para assegurar
um livro de registro ou auditoria anual de chaves e que o acesso para as chaves físicas ou informações
de autenticação seja controlado (ver 5.17 para obter mais orientações sobre informações de
autenticação).
Visitantes
Convém que sejam consideradas as seguintes diretrizes:
a) autenticar a identidade dos visitantes por meios apropriados;
b) registrar a data e a hora de entrada e saída dos visitantes;
c) permitir o acesso apenas para visitantes para fns específcos e autorizados e com instruções
sobre os requisitos de segurança da área e procedimentos de emergência;
d) supervisionar todos os visitantes, a menos que uma exceção explícita seja concedida.
Áreas de entrega e carregamento e material de entrada
Convém que sejam consideradas as seguintes diretrizes:
a) restringir o acesso a áreas de entrega e carregamento da área exterior do prédio para o pessoal
identifcado e autorizado;
b) projetar as áreas de entrega e carregamento para que as entregas possam ser carregadas e
descarregadas sem que o entregador obtenha acesso não autorizado a outras partes do edifício;
c) proteger as portas externas das áreas de entrega e carregamento quando as portas para as áreas
restritas são abertas;
d) inspecionar e examinar as entregas recebidas para detecção de explosivos, produtos químicos
ou outros materiais perigosos antes de serem transportados de áreas de entrega e carregamento;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
86
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
e) registrar as entregas recebidas de acordo com os procedimentos de gestão de ativos (ver 5.9
e 7.10) quando da sua entrada no local;
f) segregar fsicamente remessas de entrada e saída, sempre que possível;
g) inspecionar materiais recebidos para evidenciar adulteração no caminho. Se a adulteração for
descoberta, convém que ela seja imediatamente reportada ao pessoal da segurança.
Outras informações
Não há outra informação.
7.3 Segurança de escritórios, salas e instalações
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_física

Gestão_de_ativos

Proteção

Controle
Convém que seja projetada e implementada segurança física para escritórios, salas e instalações.
Propósito
Evitar acesso físico não autorizado, danos e interferências nas informações da organização e outros
ativos associados em escritórios, salas e instalações.
Orientação
Convém que as seguintes diretrizes sejam consideradas para proteger escritórios, salas e instalações:
a) instalações-chave localizadas de maneira a evitar o acesso do público;
b) quando aplicável, assegurar que os edifícios sejam discretos e dar indicação mínima de seu
propósito, sem letreiros evidentes, fora ou dentro do edifício, identifcando a presença de atividades
de tratamento de informações;
c) projetar as instalações para evitar que informações ou atividades confdenciais sejam visíveis e
possam ser ouvidas da parte externa. Convém que a blindagem eletromagnética seja considerada
conforme apropriado;
d) não tornar listas de pessoas, guias telefônicos internos e mapas acessíveis on-line identifcando
locais de instalações de tratamento de informações confdenciais facilmente acessíveis para
qualquer pessoa não autorizada.
Outras informações
Não há outra informação.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
87
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
7.4 Monitoramento de segurança física
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo

Detectivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Detectar

Segurança_física #Proteção

Defesa

Controle
Convém que as instalações sejam monitoradas continuamente para acesso físico não autorizado.
Propósito
Detectar e impedir o acesso físico não autorizado.
Orientação
Convém que as instalações físicas sejam monitoradas por sistemas de vigilância, que podem incluir
guardas, alarmes de intrusos, sistemas de videomonitoramento, como de circuito fechado de TV e
software de gerenciamento de informações de segurança física, gerenciados internamente ou por
um provedor de serviços de monitoramento.
Convém que o acesso a edifícios que abrigam sistemas críticos seja monitorado continuamente para
detectar acesso não autorizado ou comportamento suspeito por:
a) instalação de sistemas de videomonitoramento, como circuito fechado de TV, para visualizar e
registrar acesso a áreas sensíveis dentro e fora das instalações de uma organização;
b) instalação, de acordo com as normas aplicáveis pertinentes, e testes periódicos de contato, de
som ou detectores de movimento para acionar um alarme de intrusão como:
1) instalação de detectores de contato que acionam um alarme quando um contato é feito ou
quebrado em qualquer lugar onde um contato possa ser feito ou quebrado (como janelas e
portas e debaixo de objetos) para ser usado como alarme de pânico;
2) detectores de movimento baseados na tecnologia infravermelho que acionam um alarme
quando um objeto passa pelo seu campo de visão;
3) instalação de sensores sensíveis ao som de vidro quebrando, que podem ser usados para
acionar um alarme para alertar o pessoal de segurança;
c) uso desses alarmes para cobrir todas as portas externas e janelas acessíveis. Convém que áreas
desocupadas fquem alarmadas o tempo todo; convém que a cobertura também seja fornecida
para outras áreas (por exemplo, computador ou salas de comunicação).
Convém que o projeto dos sistemas de monitoramento seja mantido em sigilo porque a divulgação
pode facilitar arrombamentos não detectados.
Convém que os sistemas de monitoramento sejam protegidos contra acesso não autorizado, a fm
de evitar que informações de vigilância, como feeds de vídeo, sejam acessadas por pessoas não
autorizadas ou sistemas sejam desativados remotamente.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
88
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que o painel de controle do sistema de alarme seja colocado em uma zona alarmada e,
para alarmes de segurança, em um lugar que permite uma rota de saída fácil para a pessoa que
defne o alarme. Convém que o painel de controle e os detectores tenham mecanismos à prova
de adulteração. Convém que o sistema seja testado regularmente para garantir que esteja funcionando
como planejado, especialmente se seus componentes forem alimentados por bateria.
Convém que qualquer mecanismo de monitoramento e gravação seja usado levando em consideração
as leis e regulamentos locais, incluindo a legislação de proteção de dados e proteção de DP,
especialmente em relação ao monitoramento de pessoal e períodos de retenção de vídeo gravados.
Outras informações
Não há outra informação.
7.5 Proteção contra ameaças físicas e ambientais
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Detectar

Segurança_física #Proteção

Controle
Convém que as instalações de tratamento de informações sejam protegidas contra falhas de energia
e outras disrupções causadas por falhas nos serviços de infraestrutura.
Propósito
Evitar perdas, danos ou comprometimento de informações e outros ativos associados, ou a interrupção
das operações da organização devido à falha e disrupção nos serviços de infraestrutura.
Orientação
As organizações dependem de serviços de infraestrutura (por exemplo, energia elétrica, telecomunicações,
abastecimento de água, gás, esgoto, ventilação e ar-condicionado) para apoiar suas instalações de
tratamento de informações. Portanto, convém à organização:
a) assegurar que os equipamentos que apoiam o serviço de infraestrutura sejam confgurados,
operados e mantidos de acordo com as especifcações do fabricante pertinente;
b) assegurar que os serviços de infraestrutura sejam avaliados regularmente frente à sua capacidade
de atender ao crescimento dos negócios e interações com outros serviços de infraestrutura;
c) assegurar que os equipamentos que apoiam os serviços de infraestrutura sejam inspecionados
e testados regularmente para assegurar seu bom funcionamento;
d) se necessário, acionar alarmes para detectar falhas na infraestrutura;
e) se necessário, assegurar que a infraestrutura tenha múltiplas fontes com roteamento físico
diversifcado;
f) assegurar que os equipamentos dos serviços de infraestrutura estejam em uma rede separada
dos recursos de tratamento de informações, caso conectados a uma rede;
g) assegurar que os equipamentos que suportam os serviços de infraestrutura estejam conectados
à internet apenas quando necessário e somente de maneira segura.
Convém que iluminação e comunicação de emergência sejam fornecidas. Convém que interruptores
e válvulas de emergência para cortar energia, água, gás ou outras utilidades estejam localizados
perto de saídas de emergência ou em salas de equipamentos. Convém que os detalhes de contato
de emergência sejam registrados e disponibilizados para o pessoal em caso de paralisação.
Outras informações
Redundância adicional para conectividade de rede pode ser obtida por meio de múltiplas rotas com
uso de mais um provedor de serviços de infraestrutura.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
97
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
7.12 Segurança do cabeamento
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Disponibilidade

Proteger #Segurança_física #Proteção

Controle
Convém que os cabos que transportam energia ou dados ou que sustentam serviços de informação
sejam protegidos contra interceptação, interferência ou danos.
Propósito
Evitar perdas, danos, roubo ou comprometimento de informações e outros ativos associados à
interrupção das operações da organização relacionadas ao cabeamento de energia e de comunicação.
Orientação
Convém que sejam consideradas as seguintes diretrizes para a segurança do cabeamento:
a) linhas de energia e telecomunicação em instalações de tratamento de informações sejam subterrâneas
sempre que possível, ou sujeitas à proteção alternativa adequada, como protetor de cabos de
piso e poste; se os cabos estiverem subterrâneos, proteger de cortes acidentais (por exemplo,
com conduítes blindados ou sinalização de presença);
b) segregar cabos de energia de cabos de comunicação para evitar interferências;
c) para sistemas sensíveis ou críticos, outros controles a serem considerados incluem:
1) instalação de conduítes blindados e salas trancadas ou caixas e alarmes em pontos de
inspeção e terminação;
2) uso de blindagem eletromagnética para proteger os cabos;
3) varreduras técnicas periódicas e inspeções físicas para detectar dispositivos não autorizados
sendo anexados aos cabos;
4) acesso controlado aos quadros de distribuição e salas de cabeamento (por exemplo, com
chaves mecânicas ou PIN);
5) uso de cabos de fbra óptica;
d) rotular os cabos em cada extremidade com detalhes sufcientes de origem e destino, para permitir
a identifcação física e inspeção do cabo.
Convém procurar orientação especializada sobre como gerenciar riscos decorrentes de incidentes
ou mau funcionamento do cabeamento.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
98
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Outras informações
Às vezes, cabeamento de energia e telecomunicações são recursos compartilhados para mais de
uma organização ocupando instalações compartilhadas.
7.13 Manutenção de equipamentos
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_física

Gestão_de_ativos

Proteção

Resiliência

Controle
Convém que os equipamentos sejam mantidos corretamente para assegurar a disponibilidade,
integridade e confdencialidade da informação.
Propósito
Evitar perdas, danos, roubos ou comprometimento de informações e outros ativos associados e
interrupção das operações da organização causada pela falta de manutenção.
Orientação
Convém que sejam consideradas as seguintes diretrizes para a manutenção dos equipamentos:
a) manutenção de equipamentos de acordo com a frequência e as especifcações de serviço
recomendadas pelo fornecedor;
b) implantação e monitoramento de um programa de manutenção da organização;
c) apenas pessoal de manutenção autorizado a realizar reparos e manutenção em equipamentos;
d) manutenção de registros de todas as falhas suspeitas ou reais, e de toda a manutenção preventiva
e corretiva;
e) implementação de controles adequados quando o equipamento for programado para manutenção,
levando em conta se essa manutenção é realizada por pessoal no local ou externamente à
organização; condicionando o pessoal de manutenção a um acordo de confdencialidade adequado;
f) fscalização do pessoal de manutenção durante a realização da manutenção no local;
g) autorização e controle do acesso para manutenção remota;
h) aplicação de medidas de segurança para ativos fora das instalações da organização (ver 7.9),
se os equipamentos contendo informações forem retirados das dependências da organização
para manutenção;
i) cumprimento de todos os requisitos de manutenção impostos pelo seguro;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
99
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
j) inspeção do equipamento antes de colocá-lo de volta em operação após a manutenção, para
assegurar que o equipamento não tenha sido adulterado e que esteja funcionando corretamente;
k) aplicação de medidas para descarte seguro ou reutilização de equipamentos (ver 7.14), se for
determinado que é necessário descartar o equipamento.
Outras informações
O equipamento inclui componentes técnicos de instalações de processamento de informações, UPS e
baterias, geradores de energia, alternadores de energia e conversores, sistemas e alarmes de detecção
de intrusões físicas, detectores de fumaça, extintores de incêndio, ar-condicionado e elevadores.
7.14 Descarte seguro ou reutilização de equipamentos
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade #Proteger #Segurança_física

Gestão_de_ativos

Segurança_de_aplicação

Segurança_de_confguração

Proteção

Controle
Convém que os acessos de leitura e escrita ao código-fonte, ferramentas de desenvolvimento e
bibliotecas de software sejam adequadamente gerenciados.
Propósito
Evitar a introdução de funcionalidades não autorizadas, prevenir mudanças não intencionais ou
maliciosas e manter a confdencialidade de propriedade intelectual valiosa.
Orientação
Convém que o acesso ao código-fonte e aos itens associados (como projetos, especifcações, planos
de verifcação e planos de validação) e ferramentas de desenvolvimento (por exemplo, compiladores,
construtores, ferramentas de integração, plataformas de teste e ambientes) seja estritamente controlado.
Para o código-fonte, isso pode ser alcançado controlando o armazenamento central de tal código,
de preferência no sistema de gerenciamento de código-fonte.
Acesso de leitura e acesso de escrita ao código-fonte podem diferir com base no papel do pessoal. Por
exemplo, o acesso de leitura ao código-fonte pode ser amplamente fornecido dentro da organização,
mas o acesso à gravação ao código-fonte só é disponibilizado para pessoas privilegiadas ou
proprietários designados. Quando os componentes de código são usados por vários desenvolvedores
dentro de uma organização, convém que um acesso de leitura a um repositório centralizado de código
seja implementado. Além disso, se o código-fonte aberto ou componentes de código de terceiros
forem usados dentro de uma organização, o acesso de leitura a esses repositórios de código externo
pode ser amplamente fornecido. No entanto, convém que o acesso de gravação ainda seja restrito.
Convém que as seguintes diretrizes sejam consideradas para controlar o acesso às bibliotecas de
código do programa, a fm de reduzir o potencial de corrupção de programas de computador:
a) gerenciar o acesso ao código-fonte do programa e às bibliotecas de origem do programa de
acordo com procedimentos estabelecidos;
b) conceder acesso de leitura e de escrita ao código-fonte com base nos requisitos de negócio e
na gestão de tratativas de riscos de alteração ou uso indevido e de acordo com procedimentos
estabelecidos;
c) atualizar o código-fonte e os itens associados, conceder acesso ao código-fonte de acordo com
os procedimentos de controle de mudança (ver 8.32) e somente executá-lo após a autorização
adequada ter sido recebida;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
108
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
d) não conceder aos desenvolvedores acesso direto ao repositório de código-fonte, mas sim por
meio de ferramentas de desenvolvedor que controlem atividades e autorizações no código-fonte;
e) armazenar listagem dos programas em um ambiente seguro, onde o acesso à leitura e escrita
seja devidamente gerenciado e atribuído;
f) manter um registro de auditoria de todos os acessos e de todas as alterações no código-fonte.
Se o código-fonte do programa for destinado a ser publicado, convém que sejam considerados
controles adicionais para fornecer garantia sobre a sua integridade (por exemplo, assinatura digital).
Outras informações
Se o acesso ao código-fonte não for devidamente controlado, o código-fonte pode ser modifcado
ou alguns dados no ambiente de desenvolvimento (por exemplo, cópias de dados de produção, detalhes
de confguração) podem ser recuperados por pessoas não autorizadas.
8.5 Autenticação segura
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Gestão_de_

identidade_e_ acesso

Proteção

Controle
Convém que sejam implementadas tecnologias e procedimentos de autenticação seguros, com base
em restrições de acesso à informação e à política específca por tema de controle de acesso.
Propósito
Assegurar que um usuário ou uma entidade seja autenticada com segurança, quando o acesso
a sistemas, aplicações e serviços é concedido.
Orientação
Convém que seja escolhida uma técnica de autenticação adequada para comprovar a identidade
alegada de um usuário, software, mensagens e outras entidades.
Convém que a força da autenticação seja adequada para a classifcação das informações a serem
acessadas. Quando for necessária uma autenticação forte e verifcação de identidade, convém usar
métodos de autenticação alternativos a senhas, como certifcados digitais, cartões inteligentes, tokens
ou meios biométricos.
Convém que as informações de autenticação sejam acompanhadas de fatores adicionais de
autenticação para acessar sistemas de informação críticos (também conhecidos como autenticação
multifatores). Usar uma combinação de múltiplos fatores de autenticação, como o que você sabe,
o que você tem e o que você é, reduz as possibilidades de acessos não autorizados. A autenticação
multifatores pode ser combinada com outras técnicas para exigir fatores adicionais em circunstâncias
específcas, com base em regras e padrões predefnidos, como o acesso a partir de um local incomum,
a partir de um dispositivo incomum ou em um momento incomum.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
109
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que as informações de autenticação biométrica sejam invalidadas se alguma vez forem
comprometidas. A autenticação biométrica pode estar indisponível, dependendo das condições de
uso (por exemplo, umidade ou envelhecimento). Para se preparar para essas questões, convém que
a autenticação biométrica seja acompanhada de pelo menos uma técnica alternativa de autenticação.
Convém que o procedimento para entrada em um sistema ou aplicativo seja projetado para minimizar
o risco de acesso não autorizado. Convém que os procedimentos e tecnologias de acesso ao sistema
sejam implementados considerando o seguinte:
a) não exibir informações sensíveis do sistema ou do aplicativo até que o processo de log-on
no sistema tenha sido concluído com sucesso, a fm de evitar fornecer a um usuário não autorizado
qualquer assistência desnecessária;
b) exibir um aviso público de que convém que o sistema, aplicativo ou serviço só sejam acessados
por usuários autorizados;
c) não fornecer mensagens de ajuda durante o procedimento de acesso ao sistema que auxiliariam
um usuário não autorizado (por exemplo, se houver uma condição de erro, não convém que
o sistema indique qual parte dos dados está correta ou incorreta);
d) validar as informações de log-on no sistema somente na conclusão de todos os dados de entrada;
e) proteger contra tentativas de log-on com força bruta em nomes de usuário e senhas (por exemplo,
usando o CAPTCHA, exigindo redefnição de senha após um número predefnido de tentativas
fracassadas ou bloqueando o usuário após um número máximo de erros);
f) registrar as tentativas malsucedidas e bem-sucedidas;
g) criar um evento de segurança, se for detectada uma possível tentativa ou violação bem-sucedida
de controles de acesso ao sistema (por exemplo, enviando um alerta para o usuário e os
administradores do sistema da organização quando um determinado número de tentativas
erradas de senha foi alcançado);
h) exibir ou enviar as seguintes informações em um canal separado na conclusão de um acesso
bem-sucedido:
1) data e hora do log-on anterior bem-sucedido ao sistema;
2) detalhes de quaisquer tentativas de log-on malsucedidas desde o último log-on bem-sucedido
ao sistema;
i) não exibir a senha em texto claro quando ela estiver sendo inserida; em alguns casos, pode ser
necessário desativar essa funcionalidade para facilitar o acesso ao sistema pelo usuário (por
exemplo, por razões de acessibilidade ou para evitar o bloqueio de usuários por causa de erros
repetidos);
j) não transmitir senhas em texto claro pela rede para evitar a captura por um programa de “sniffer”
de rede;
k) fnalizar sessões inativas após um período especifcado de inatividade, especialmente em locais
de alto risco, como áreas públicas ou externas fora da gestão de segurança da organização ou
em dispositivos de terminal do usuário;
l) restringir os tempos de duração da conexão para fornecer segurança adicional para aplicações
de alto risco e reduzir a janela de oportunidade para acesso não autorizado.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
110
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Outras informações
Informações adicionais sobre a garantia de autenticação de entidade podem ser encontradas na
ISO/IEC 29115.
8.6 Gestão de capacidade
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo

Detectivo

Integridade

Disponibilidade

Identifcar

Detectar

Proteger

Continuidade #Governança_e_

ecossistema

Proteção

Controle
Convém que o uso dos recursos seja monitorado e ajustado de acordo com os requisitos atuais
e esperados de capacidade.
Propósito
Assegurar a capacidade necessária dos recursos de tratamento de informações, recursos humanos,
escritórios e outros serviços de infraestrutura.
Orientação
Convém que sejam identifcados os requisitos de capacidade para recursos de tratamento de informações,
recursos humanos, escritórios e outros serviços de infraestrutura, levando em conta a criticidade dos
negócios dos sistemas e processos em questão.
Convém que sejam aplicados ajuste e monitoramento do sistema para assegurar e, se necessário,
melhorar a disponibilidade e a efciência dos sistemas.
Convém que a organização realize testes de estresse de sistemas e serviços para confrmar que a
capacidade sufciente do sistema está disponível para atender aos requisitos de desempenho máximo.
Convém que os controles detectivos sejam colocados em prática para indicar problemas no devido
tempo.
Para projeções dos requisitos futuros de capacidade, convém levar em conta os novos requisitos
de negócios e sistemas, tendências atuais e projetadas nos recursos de tratamento de informações
da organização.
Convém dar atenção especial a quaisquer recursos com prazos de aquisição longos ou custos
elevados. Portanto, convém que os gestores, proprietários de serviços ou produtos monitorem a
utilização dos principais recursos do sistema.
Convém que os gestores usem informações de capacidade para identifcar e evitar possíveis limitações
de recursos e dependência de pessoas-chave que possam apresentar uma ameaça à segurança do
sistema ou serviços e planejar ações apropriadas.
A capacidade sufciente pode ser alcançada aumentando a capacidade ou reduzindo a demanda.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
111
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que o seguinte seja considerado para aumentar a capacidade:
a) contratação de pessoal novo;
b) obtenção de novas instalações ou espaço;
c) aquisição de sistemas de tratamento mais potentes, memória e armazenamento;
d) uso da computação em nuvem, que possui características inerentes que abordam diretamente
as questões de capacidade. A computação em nuvem tem elasticidade e escalabilidade que
permitem a rápida expansão sob demanda e a redução dos recursos disponíveis para aplicações
e serviços específcos.
Convém que seja considerado o seguinte, para reduzir a demanda sobre os recursos da organização:
a) excluir dados obsoletos (espaço em disco);
b) descartar registros impressos que tenham cumprido seu período de retenção (liberar espaço
para prateleiras);
c) descomissionar aplicações, sistemas, bancos de dados ou ambientes;
d) otimizar processos em lote e agendamentos;
e) otimizar código de aplicativo ou consultas de banco de dados;
f) negar ou restringir a largura de banda para serviços com consumo de recursos, se estes não
forem críticos (por exemplo, streaming de vídeo).
Para sistemas de missão crítica, convém que seja considerado um plano de gestão de capacidade
documentado.
Outras informações
Para obter mais detalhes sobre a elasticidade e escalabilidade da computação em nuvem, ver a
ISO/IEC TS 23167.
8.7 Proteção contra malware
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades operacionais Domínios de
segurança

Preventivo

Detectivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Detectar

Segurança_de_sistemas_

e_rede

Proteção_da_ informação

Proteção

Defesa

Controle
Convém que a proteção contra malware seja implementada e apoiada pela conscientização adequada
do usuário.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
112
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Propósito
Assegurar que informações e outros ativos associados estejam protegidos contra malware.
Orientação
Convém que a proteção contra malware seja baseada em software de detecção e reparo de malware,
conscientização sobre segurança da informação, acesso adequado aos sistemas e controles de
gestão de mudanças. O uso de software de detecção e reparo de malware sozinho não costuma ser
adequado. Convém considerar as seguinte orientações:
a) implementar regras e controles que impeçam ou detectem o uso de software não autorizado
[por exemplo, lista de aplicações permitidos (ou seja, uso de uma lista que fornece aplicações
autorizadas)] (ver 8.19 e 8.32);
b) implementar controles que previnam ou detectem o uso de sites maliciosos conhecidos ou
suspeitos (por exemplo, lista de bloqueio);
c) reduzir vulnerabilidades que possam ser exploradas por malware [por exemplo, por meio de
gestão de vulnerabilidades técnicas (ver 8.8 e 8.19)];
d) realizar validação automatizada regular do software e do conteúdo de dados dos sistemas,
especialmente para sistemas que suportem processos de negócios críticos; investigar a presença
de quaisquer arquivos não aprovados ou alterações não autorizadas;
e) estabelecer medidas de proteção contra riscos associados à obtenção de arquivos e softwares
de redes externas ou em qualquer outro meio;
f) instalar e atualizar regularmente o software de detecção malware e recorrer ao software para
varrer computadores e mídia de armazenamento eletrônico. Realizar varreduras regulares inclui:
1) varrer quaisquer dados recebidos por meio de redes ou de qualquer forma de mídia de
armazenamento eletrônico para identifcar malware antes do uso;
2) varrer anexos de e-mail, mensagens instantâneas e downloads em busca de malware antes
do uso. Realizar essa varredura em diferentes locais (por exemplo, em servidores de e-mail,
computadores desktop) e ao entrar na rede da organização;
3) varrer páginas da web em busca de malware, quando acessadas;
g) determinar a atribuição e confguração de ferramentas de detecção e reparo de malware com
base nos resultados da avaliação de risco e considerando:
1) princípios de defesa em profundidade onde possam ser mais efetivos. Por exemplo, isso pode
levar à detecção de malware em um gateway de rede (em vários protocolos de aplicações,
como e-mail, transferência de arquivos e web), bem como dispositivos endpoint do usuário
e servidores;
2) as técnicas evasivas dos atacantes (por exemplo, o uso de arquivos criptografados) para
fornecer malware ou o uso de protocolos de criptografa para transmitir malware;
h) ter cuidado para proteger contra a introdução de malware durante os procedimentos de manutenção
e emergência, que podem contornar controles normais contra malware;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
113
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
i) implementar um processo para autorizar desativar temporariamente ou permanentemente algumas
ou todas as medidas contra malware, incluindo autoridades de aprovação de exceção, justifcativa
documentada e data da análise crítica. Isso pode ser necessário quando a proteção contra malware
causar disrupção em operações normais;
j) elaborar planos adequados de continuidade de negócios para recuperação de ataques de malware,
incluindo todas as cópias de segurança de dados e software necessários (incluindo cópia de
segurança on-line e off-line) e medidas de recuperação (ver 8.13);
k) isolar ambientes onde consequências catastrófcas possam ocorrer;
l) determinar procedimentos e responsabilidades para lidar com a proteção contra malware em
sistemas, incluindo treinamento em seu uso, emissão de comunicação e recuperação de ataques
de malware;
m) prover conscientização ou treinamento (ver 6.3) a todos os usuários sobre como identifcar e
potencialmente mitigar o recebimento, envio ou instalação de e-mails, arquivos ou programas
infectados por malware [as informações coletadas em n) e em o) podem ser usadas para assegurar
que a conscientização e o treinamento sejam mantidos atualizados];
n) implementar procedimentos para coletar regularmente informações sobre novos malwares, por
exemplo, assinar listas de discussão ou analisar criticamente websites relevantes;
o) verifcar se informações relacionadas a malware, como as de boletins de aviso, vêm de fontes
qualifcadas e respeitáveis (por exemplo, sites confáveis da internet ou fornecedores de software
de detecção de malware) e se são precisas e informativas.
Outras informações
Nem sempre é possível instalar software que proteja contra malware em alguns sistemas (por exemplo,
alguns sistemas de controle industrial). Algumas formas de malware infectam sistemas operacionais
de computador e o frmware de computador de tal forma que os controles comuns de malware não
estão aptos a limpar o sistema por completo, e uma reinstalação completa do software do sistema
operacional, e às vezes do frmware do computador, pode ser necessária para retornar a um estado
seguro.
8.8 Gestão de vulnerabilidades técnicas
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Gestão_de_ameaças_

e_vulnerabilidades

Proteção

Defesa

Controle
Convém que informações sobre vulnerabilidades técnicas dos sistemas de informação em uso sejam
obtidas, a exposição da organização a tais vulnerabilidades sejam avaliadas e medidas apropriadas
sejam tomadas.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
114
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Propósito
Evitar a exploração de vulnerabilidades técnicas.
Orientação
Identifcando vulnerabilidades técnicas
Convém que a organização tenha um inventário preciso de ativos (ver 5.9 a 5.14) como pré-requisito
para a gestão efcaz de vulnerabilidade técnica; convém que o inventário inclua o fornecedor de
software, nome do software, números de versão, estado atual de implantação (por exemplo, qual
software está instalado em quais sistemas) e a(s) pessoa(s) dentro da organização responsável(is)
pelo software.
Convém que, para identifcar vulnerabilidades técnicas, a organização considere:
a) defnir e estabelecer os cargos e responsabilidades associados à gestão de vulnerabilidades técnicas,
incluindo monitoramento de vulnerabilidades, processo de avaliação de risco de vulnerabilidade,
atualização, rastreamento de ativos e quaisquer responsabilidades de coordenação necessárias;
b) para software e outras tecnologias (com base na lista de inventário de ativos, ver 5.9), identifcar
recursos de informações que serão utilizados para identifcar vulnerabilidades técnicas relevantes
e manter a conscientização sobre elas. Atualizar a lista de recursos de informação com base em
alterações no inventário ou quando outros recursos novos ou úteis forem encontrados;
c) exigir fornecedores de sistema de informação (incluindo seus componentes) para garantir relatórios,
manuseio e divulgação de vulnerabilidades, incluindo os requisitos nos contratos aplicáveis
(ver 5.20);
d) utilizar ferramentas de varredura de vulnerabilidades adequadas às tecnologias em uso para
identifcar vulnerabilidades e verifcar se a correção de vulnerabilidades foi bem-sucedida;
e) realizar testes de invasão planejados, documentados e repetíveis ou avaliações de vulnerabilidade
por pessoas competentes e autorizadas para apoiar a identifcação de vulnerabilidades. Exercer
cautela com tais atividades pode levar a um compromisso da segurança do sistema;
f) rastrear o uso de bibliotecas de terceiros e código-fonte para vulnerabilidades. Convém que isso
seja incluído em codifcação segura (ver 8.28).
Convém que a organização desenvolva procedimentos e capacidades para:
a) detectar a existência de vulnerabilidades em seus produtos e serviços, incluindo qualquer
componente externo utilizado nestes;
b) receber relatórios de vulnerabilidade de fontes internas ou externas.
Convém que a organização forneça um ponto de contato público como parte de uma política específca
por tema sobre a vulnerabilidade da divulgação, para que pesquisadores e outros sejam capazes de
relatar problemas. Convém que as organizações estabeleçam procedimentos de emissão de relatórios de
vulnerabilidade, formulários de emissão de relatórios on-line e uso de fóruns apropriados de inteligência
de ameaças ou compartilhamento de informações. Convém que as organizações também considerem
programas de recompensa por bugs em que as recompensas sejam oferecidas como um incentivo
para ajudar as organizações na identifcação de vulnerabilidades, a fm de corrigi-las adequadamente.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
115
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que a organização também compartilhe informações com órgãos competentes do setor
ou outras partes interessadas.
Avaliando vulnerabilidades técnicas
Para avaliar as vulnerabilidades técnicas identifcadas, convém que a organização considere as
seguintes orientações:
a) analisar e verifcar relatórios para determinar qual atividade de resposta e remediação é necessária;
b) uma vez identifcada uma potencial vulnerabilidade técnica, identifcar os riscos associados e
as ações a serem tomadas. Tais ações podem envolver a atualização de sistemas vulneráveis
ou a aplicação de outros controles.
Tomando as medidas adequadas para enfrentar as vulnerabilidades técnicas
Convém que um processo de gerenciamento de atualização de software seja implementado para
assegurar que os patches aprovados mais atualizados e as atualizações do aplicativo sejam instalados
para todos os softwares autorizados. Se forem necessárias alterações, convém que o software original
seja retido e as alterações sejam aplicadas a uma cópia designada. Convém que todas as alterações
sejam totalmente testadas e documentadas, para que possam ser reaplicadas, se necessário, a futuras
atualizações de software. Se necessário, convém que as modifcações sejam testadas e validadas por
um órgão de avaliação independente.
Convém que as seguintes orientações sejam consideradas para abordar vulnerabilidades técnicas:
a) tomar medidas adequadas e oportunas em resposta à identifcação de potenciais vulnerabilidades
técnicas; defnir um cronograma para reagir às notifcações de vulnerabilidades técnicas
potencialmente relevantes;
b) dependendo da urgência de uma vulnerabilidade técnica a ser tratada, realizar a ação de acordo
com os controles relacionados à gestão de mudanças (ver 8.32) ou seguir os procedimentos
de resposta a incidentes de segurança da informação (ver 5.26);
c) apenas usar atualizações de fontes legítimas (que podem ser internas ou externas para a
organização);
d) testar e avaliar as atualizações antes de serem instaladas, para assegurar que sejam efcazes e não
resultem em efeitos colaterais que não podem ser tolerados [ou seja, se houver uma atualização
disponível, avaliar os riscos associados à instalação da atualização (convém que os riscos
representados pela vulnerabilidade sejam comparados com o risco de instalação da atualização)];
e) abordar sistemas de alto risco primeiro;
f) desenvolver remediação (normalmente atualizações de software ou patches);
g) testar para confrmar se a remediação ou mitigação é efcaz;
h) fornecer mecanismos para verifcar a autenticidade da remediação;
i) se nenhuma atualização estiver disponível ou a atualização não puder ser instalada, considerar
outros controles, como:
1) aplicar qualquer solução alternativa sugerida pelo fornecedor de software ou outras fontes
relevantes;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
116
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
2) desligar serviços ou recursos relacionados à vulnerabilidade;
3) adaptar ou adicionar controles de acesso (por exemplo, frewalls) nas bordas da rede
(ver 8.20 a 8.22);
4) blindar sistemas, dispositivos ou aplicações vulneráveis contra ataques por meio da
implantação de fltros de tráfego adequados (às vezes chamados de patches virtuais);
5) aumentar o monitoramento para detectar ataques reais;
6) conscientizar sobre a vulnerabilidade.
Para o software adquirido, se os fornecedores liberarem regularmente informações sobre atualizações
de segurança para seu software e fornecerem uma facilidade para instalar essas atualizações
automaticamente, convém que a organização decida se pode usar a atualização automática ou não.
Outras considerações
Convém que um registro de auditoria seja mantido para todas as etapas empreendidas na gestão
de vulnerabilidade técnica.
Convém que o processo técnico de gestão de vulnerabilidades seja regularmente monitorado e avaliado
para assegurar sua efcácia e efciência.
Convém que um processo técnico efcaz de gestão de vulnerabilidade esteja alinhado com as
atividades de gestão de incidentes, para comunicar dados sobre vulnerabilidades à função de resposta
a incidentes e fornecer procedimentos técnicos a serem realizados no caso de um incidente ocorrer.
Quando a organização usa um serviço em nuvem fornecido por um provedor de serviços em nuvem
de terceiros, convém que a gestão de vulnerabilidade técnica dos recursos do provedor de serviços
em nuvem seja assegurada pelo provedor de serviços em nuvem. Convém que as responsabilidades
do provedor de serviços em nuvem para a gestão de vulnerabilidades técnicas façam parte do contrato
de serviços em nuvem e que isso inclua os processos para relatar as ações do provedor de serviços
em nuvem relacionadas a vulnerabilidades técnicas (ver 5.23). Para alguns serviços em nuvem,
existem responsabilidades respectivas para o provedor de serviços em nuvem e para o cliente de
serviços em nuvem. Por exemplo, o cliente de serviços em nuvem é responsável pela gestão de
vulnerabilidades de seus próprios ativos usados para os serviços em nuvem.
Outras informações
A gestão de vulnerabilidades técnicas pode ser vista como uma subfunção da gestão de mudanças e,
como tal, pode aproveitar os processos e procedimentos de gestão de mudanças (ver 8.32).
Existe a possibilidade de uma atualização não resolver o problema adequadamente e ter efeitos
colaterais negativos. Além disso, em alguns casos, a desinstalação de uma atualização não pode ser
facilmente alcançada, uma vez que a atualização tenha sido aplicada.
Se não for possível o teste adequado das atualizações (por exemplo, por causa de custos ou falta
de recursos), pode ser considerado um atraso na atualização para avaliar os riscos associados, com
base na experiência relatada por outros usuários. O uso da ISO/IEC 27031 pode ser benéfco.
Quando patches de software ou atualizações são produzidos, a organização pode considerar fornecer
um processo de atualização automatizado em que essas atualizações sejam instaladas em sistemas
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
117
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
ou produtos afetados sem a necessidade de intervenção do cliente ou do usuário. Se um processo
de atualização automatizada for oferecido, ele pode permitir que o cliente ou o usuário escolha uma
opção para desativar a atualização automática ou controlar o horário da instalação da atualização.
Quando o fornecedor provê um processo de atualização automatizado e as atualizações podem ser
instaladas em sistemas ou produtos afetados sem a necessidade de intervenção, a organização
determina se aplica o processo automatizado ou não. Uma das razões para não optar por atualização
automatizada é manter o controle sobre quando a atualização é realizada. Por exemplo, não é possível
atualizar um software usado para uma operação de negócios até que a operação seja concluída.
Uma fragilidade na varredura de vulnerabilidade é que existe a possibilidade de que ela não responda
totalmente para a defesa em profundidade: duas contramedidas que são sempre aplicadas em
sequência podem ter vulnerabilidades que são mutuamente mascaradas por pontos fortes. A contramedida
composta não é vulnerável, enquanto uma varredura de vulnerabilidade pode informar que ambos os
componentes são vulneráveis. Convém que as organizações, portanto, tenham cuidado na análise
crítica e atuação em relatórios de vulnerabilidade.
Muitas organizações fornecem softwares, sistemas, produtos e serviços não apenas dentro da
organização, mas também para as partes interessadas, como clientes, parceiros ou outros usuários.
Esses softwares, sistemas, produtos e serviços podem ter vulnerabilidades de segurança da informação
que afetam a segurança dos usuários.
As organizações podem liberar a remediação e divulgar informações sobre vulnerabilidades aos
usuários (normalmente por meio de uma assessoria pública) e fornecer informações apropriadas para
serviços de banco de dados de vulnerabilidade de software.
Para obter mais informações relacionadas à gestão de vulnerabilidades técnicas ao usar a computação
em nuvem, ver a série ISO/IEC 19086 e a ABNT NBR ISO/IEC 27017.
A ISO/IEC 29147 fornece informações detalhadas sobre o recebimento de relatórios de vulnerabilidade
e a publicação de avisos de vulnerabilidade. A ISO/IEC 30111 fornece informações detalhadas sobre
o manuseio e a resolução de vulnerabilidades relatadas.
8.9 Gestão de confguração
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Confguração_segura #Proteção

Controle
Convém que as confgurações, incluindo confgurações de segurança, de hardware, software, serviços
e redes sejam estabelecidas, documentadas, implementadas, monitoradas e analisadas criticamente.
Propósito
Assegurar que o hardware, o software, os serviços e as redes funcionem corretamente com as
confgurações de segurança necessárias, e que a confguração não seja alterada por alterações
não autorizadas ou incorretas.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
118
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Orientação
Geral
Convém que a organização defna e implemente processos e ferramentas para impor as confgurações
defnidas (incluindo confgurações de segurança) para hardware, software, serviços (por exemplo,
serviços em nuvem) e redes, para sistemas recém-instalados, bem como para sistemas operacionais
ao longo de sua vida útil.
Convém que papéis, responsabilidades e procedimentos estejam em vigor para assegurar o controle
satisfatório de todas as alterações de confguração.
Modelos-padrão
Convém que os modelos-padrão para a confguração segura de hardware, software, serviços e redes
sejam defnidos:
a) usando orientação disponível publicamente (por exemplo, modelos predefnidos de fornecedores
e de organizações de segurança independentes);
b) considerando o nível de proteção necessário para determinar um nível sufciente de segurança;
c) apoiando a política de segurança da informação da organização, políticas específcas por tema,
normas e outros requisitos de segurança;
d) considerando a viabilidade e aplicabilidade das confgurações de segurança no contexto da
organização.
Convém que os modelos sejam analisados criticamente de forma periódica e atualizados quando
novas ameaças ou vulnerabilidades precisarem ser abordadas, ou quando novas versões de software
ou hardware forem introduzidas.
Convém que sejam considerados, para estabelecer modelos-padrão para a confguração segura de
hardware, software, serviços e redes:
a) minimização do número de identidades com direitos privilegiados ou de acesso ao nível do
administrador;
b) desabilitação de identidades desnecessárias, não usadas ou inseguras;
c) desabilitação ou restrição de funções e serviços desnecessários;
d) restrição de acesso a programas utilitários com direitos privilegiados e confgurações de parâmetros
de host;
e) relógios sincronizados;
f) alteração de informações de autenticação-padrão do fornecedor, como senhas-padrão imediatamente
após a instalação e análise crítica de outros parâmetros importantes relacionados à
segurança-padrão;
g) acionamento do recurso de desabilitação automática para o log off de dispositivos de computação
após um período de inatividade predeterminado;
h) verifcação de se os requisitos de licença foram atendidos (ver 5.32).
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
119
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Gerenciando confgurações
Convém que confgurações estabelecidas de hardware, software, serviços e redes sejam registradas
e que um registro seja mantido de todas as alterações de confguração. Convém que esses registros
sejam armazenados com segurança. Isso pode ser alcançado de várias maneiras, como bancos de
dados de confguração ou modelos de confguração.
Convém que as alterações nas confgurações sigam o processo de gestão de mudanças (ver 8.32).
Os registros de confguração podem conter, conforme pertinente:
a) titular atualizado ou informações de ponto de contato para o ativo;
b) data da última alteração de confguração;
c) versão do modelo de confguração;
d) relação com confgurações de outros ativos.
Monitoramento de confgurações
Convém que as confgurações sejam monitoradas com um conjunto abrangente de ferramentas
de gerenciamento de sistemas (por exemplo, utilitários de manutenção, suporte remoto, ferramentas
de gerenciamento corporativo, software de cópia de segurança das informações e restauração) e
sejam analisadas criticamente de forma regular, para verifcar as confgurações, avaliar os pontos
fortes da senha e avaliar as atividades realizadas. As confgurações reais podem ser comparadas
com os modelos de destino defnidos. Convém que quaisquer desvios sejam abordados, seja pela
aplicação automática da confguração de destino defnida ou pela análise manual do desvio seguido
de ações corretivas.
Outras informações
A documentação para sistemas frequentemente registra detalhes sobre a confguração de hardware
e software.
O hardening do sistema é uma parte típica da gestão de confguração.
A gestão de confguração pode ser integrada aos processos de gestão de ativos e ferramentas
associadas.
A automação geralmente é mais efcaz para gerenciar a confguração de segurança (por exemplo,
usando a infraestrutura como código).
Modelos de confguração e alvos podem ser informações confdenciais e convém que sejam protegidos
contra acesso não autorizado em conformidade.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
120
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
8.10 Exclusão de informações
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade #Proteger #Proteção_da_

informação

Legal_e_compliance

Proteção

Controle
Convém que as informações armazenadas em sistemas de informação, dispositivos ou em
qualquer outra mídia de armazenamento sejam excluídas quando não forem mais necessárias.
Propósito
Evitar a exposição desnecessária de informações sensíveis e estar em compliance com requisitos
legais, estatutários, regulamentares e contratuais para a exclusão de informações.
Orientação
Geral
Convém que informações sensíveis não sejam mantidas por mais tempo do que é necessário para
reduzir o risco de divulgação indesejável.
Ao excluir informações sobre sistemas, aplicações e serviços, convém que seja considerado o seguinte:
a) selecionar um método de exclusão (por exemplo, sobrescrito eletrônico ou eliminação criptográfca)
de acordo com os requisitos de negócios e levando em consideração as leis e os regulamentos
relevantes;
b) registrar os resultados da exclusão como evidência;
c) ao usar fornecedores de serviços de exclusão de informações, obter deles evidências de exclusão
de informações.
Quando terceiros armazenarem as informações da organização em seu nome, convém que a organização
considere a inclusão de requisitos sobre exclusão de informações nos acordos de terceiros para
aplicá-los durante e mediante a rescisão de tais serviços.
Métodos de exclusão
De acordo com a política específca de tópicos da organização sobre retenção de dados e levando
em consideração a legislação e os regulamentos relevantes, convém que informações confdenciais
sejam excluídas quando não forem mais necessárias, por:
a) confguração de sistemas para destruir informações com segurança, quando não forem mais
necessárias (por exemplo, após um período defnido sujeito à política específca do tópico sobre
retenção de dados ou por solicitação de acesso ao assunto);
b) exclusão de versões obsoletas, cópias e arquivos temporários onde quer que estejam localizados;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
121
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
c) uso de software de exclusão aprovado e seguro para excluir permanentemente informações,
para ajudar a assegurar que as informações não possam ser recuperadas usando ferramentas
forenses ou especializadas;
d) uso de provedores aprovados e certifcados de serviços de eliminação segura;
e) uso de mecanismos de descarte apropriados para o tipo de mídia de armazenamento que está
sendo descartada (por exemplo desmagnetizando o disco rígido e outros meios de armazenamento
magnético).
Convém que, quando os serviços em nuvem forem usados, a organização verifque se o método
de exclusão fornecido pelo provedor de serviços em nuvem é aceitável e, se for o caso, convém que
a organização use ou solicite que o provedor de serviços em nuvem exclua as informações. Convém
que esses processos de exclusão sejam automatizados de acordo com políticas específcas por tema,
quando disponíveis e aplicáveis. Dependendo da sensibilidade das informações excluídas, os logs
podem rastrear ou verifcar se esses processos de exclusão aconteceram.
Para evitar a exposição não intencional de informações sensíveis quando o equipamento estiver sendo
enviado de volta aos fornecedores, convém que informações sensíveis sejam protegidas removendo
armazenamentos auxiliares (por exemplo, discos rígidos) e memória antes que o equipamento deixe
as instalações da organização.
Considerando que a exclusão segura de alguns dispositivos (por exemplo, smartphones) só pode ser
alcançada pela destruição ou pelo uso das funções incorporadas nesses dispositivos (por exemplo,
“restaurar confgurações de fábrica”), convém que a organização escolha o método apropriado de
acordo com a classifcação das informações manuseadas por tais dispositivos.
Convém que as medidas de controle descritas em 7.14 sejam aplicadas para destruir fsicamente
o dispositivo de armazenamento e excluir simultaneamente as informações que ele contém.
Um registro ofcial de exclusão de informações é útil ao analisar a causa de um possível evento de
vazamento de informação.
Outras informações
Informações sobre exclusão de dados do usuário em serviços em nuvem podem ser encontradas
na ABNT NBR ISO/IEC 27017.
Informações sobre a exclusão de DP podem ser encontradas na ISO/IEC 27555.
8.11 Mascaramento de dados
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade #Proteger #Proteção_da_

informação

Proteção

Controle
Convém que o mascaramento de dados seja usado de acordo com a política específca por tema
da organização sobre controle de acesso e outros requisitos específcos por tema relacionados e
requisitos de negócios, levando em consideração a legislação aplicável.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
122
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Propósito
Limitar a exposição de dados confdenciais, incluindo DP, e cumprir requisitos legais, estatutários,
regulamentares e contratuais.
Orientação
Quando a proteção de dados sensíveis (por exemplo, DP) for uma preocupação, convém que as
organizações considerem esconder tais dados utilizando técnicas como mascaramento de dados,
pseudonimização ou anonimização.
Técnicas de pseudonimização ou anonimização podem ocultar o DP, disfarçar a verdadeira identidade
dos titulares de DP ou outras informações sensíveis e desconectar a ligação entre o DP e a identidade
do titular do DP ou a ligação entre outras informações sensíveis.
Convém que, ao usar técnicas de pseudonimização ou anonimização, seja verifcado se os dados
foram adequadamente pseudonimizados ou anonimizados. Convém que a anonimização dos dados
considere que todos os elementos das informações sensíveis são efcazes. Como exemplo, se não
for considerado adequadamente, uma pessoa pode ser identifcada mesmo que os dados que possam
identifcar diretamente essa pessoa sejam anonimizados, pela presença de mais dados que permitam
que a pessoa seja identifcada indiretamente.
Técnicas adicionais para mascaramento de dados incluem:
a) criptografa (exigindo que os usuários autorizados tenham uma chave);
b) anulação ou exclusão de caracteres (impedindo que usuários não autorizados vejam mensagens
completas);
c) números e datas variados;
d) substituição (alteração de um valor por outro para ocultar dados sensíveis);
e) substituição de valores por seu hash.
Convém que sejam consideradas as seguintes técnicas de mascaramento de dados:
a) não conceder a todos os usuários o acesso a todos os dados, projetando consultas e máscaras,
a fm de mostrar apenas os dados mínimos necessários ao usuário;
b) há casos em que convém que alguns dados não sejam visíveis ao usuário para alguns registros
de um conjunto de dados; neste caso, projetar e implementar um mecanismo de ofuscação de
dados (por exemplo, se um paciente não quiser que os funcionários do hospital possam ver todos
os seus registros, mesmo em caso de emergência, então a equipe do hospital é apresentada
com dados e dados parcialmente ofuscados, e dados só podem ser acessados por funcionários
com papéis específcos se contiverem informações úteis para o tratamento adequado);
c) quando os dados são ofuscados, dando ao titular de DP a possibilidade de exigir que os usuários
não possam ver se os dados são ofuscados (ofuscação da ofuscação; isso é usado em unidades
de saúde, por exemplo, se o paciente não quiser que o pessoal veja que informações sensíveis,
como gravidez ou resultados de exames de sangue, foram ofuscadas);
d) quaisquer requisitos legais ou regulamentares (por exemplo, exigindo o mascaramento das
informações dos cartões de pagamento durante o tratamento ou armazenamento).
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
123
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que sejam considerados, ao usar o mascaramento de dados, a pseudonimização ou
a anonimização:
a) nível de força de mascaramento de dados, pseudonimização ou anonimização de acordo com
o uso dos dados tratados;
b) controles de acesso aos dados tratados;
c) acordos ou restrições ao uso dos dados tratados;
d) proibição de colagem dos dados tratados com outras informações para identifcar o titular de DP;
e) acompanhamento do fornecimento e do recebimento dos dados tratados.
Outras informações
A anonimização altera irreversivelmente o DP de tal forma que o titular de DP não pode mais ser
identifcado direta ou indiretamente.
A pseudonimização substitui as informações de identifcação por um pseudônimo. O conhecimento
do algoritmo (às vezes referido como “informação adicional”) usado para realizar a pseudonimização
permite pelo menos alguma forma de identifcação do titular de DP. Convém, portanto, que essas
“informações adicionais” sejam mantidas separadas e protegidas.
Embora a pseudonimização seja, portanto, mais fraco que a anonimização, os conjuntos de dados
pseudononimizados podem ser mais úteis em pesquisas estatísticas.
O mascaramento de dados é um conjunto de técnicas para ocultar, substituir ou ofuscar itens de
dados confdenciais. O mascaramento de dados pode ser estático (quando os itens de dados são
mascarados no banco de dados original), dinâmico (usando automação e regras para proteger dados
em tempo real) ou em tempo real (com dados mascarados na memória de uma aplicação).
Funções hash podem ser usadas para anonimizar os DP. Para evitar ataques de enumeração, convém
que eles sejam sempre combinados com uma salt function.
Convém que DP em identifcadores de recursos e seus atributos [por exemplo, nomes de arquivos,
localizadores de recursos uniformes (URL)] sejam evitados ou apropriadamente anonimizados.
Controles adicionais sobre a proteção de DP em nuvens públicas são fornecidos na
ABNT NBR ISO/IEC 27018.
Informações adicionais sobre técnicas de desidentifcação estão disponíveis na ISO/IEC 20889.
8.12 Prevenção de vazamento de dados
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo

Detectivo

Confdencialidade #Proteger

Detectar

Proteção_da_informação #Proteção

Defesa

Corretivo #Integridade

Disponibilidade

Recuperar #Continuidade #Proteção

Controle
Convém que cópias de backup de informações, software e sistemas sejam mantidas e testadas
regularmente de acordo com a política específca por tema acordada sobre backup.
Propósito
Permitir a recuperação da perda de dados ou sistemas.
Orientação
Convém que uma política específca de tema sobre backup seja estabelecida para atender aos
requisitos de retenção de dados e segurança da informação da organização.
Convém que instalações de backup adequadas sejam fornecidas para assegurar que todas as
informações e softwares essenciais possam ser recuperados após um incidente ou falha ou perda
de mídia de armazenamento.
Convém que planos sejam desenvolvidos e implementados sobre como a organização fará cópia de
segurança das informações, software e sistemas, para abordar a política específca por tema sobre
backup.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
126
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Ao projetar um plano de backup, convém que os seguintes itens sejam levados em consideração:
a) produção de registros precisos e completos das cópias de backup e procedimentos de restauração
documentada;
b) refexão dos requisitos de negócios da organização (por exemplo, o objetivo do ponto de
recuperação – ver 5.30), dos requisitos de segurança das informações envolvidas e da criticidade
das informações para o funcionamento contínuo da organização na extensão (por exemplo,
backup completo ou diferencial) e da frequência de backups;
c) armazenamento de backup em um local remoto e seguro, a uma distância sufciente para escapar
de qualquer dano causado por um desastre no local principal;
d) fornecimento de informações de backup com um nível apropriado de proteção física e ambiental
(ver a Seção 7 e 8.1), consistente com as normas aplicadas no local principal;
e) teste regular de mídias de backup para assegurar que elas possam ser confadas para uso
emergencial, quando necessário. Teste da capacidade de restaurar dados apoiados em um sistema
de teste, não substituindo a mídia de armazenamento original no caso de o processo de backup
ou restauração falhar e causar danos ou perdas irreparáveis de dados;
f) proteção do backup por meio da criptografa, de acordo com os riscos identifcados (por exemplo,
em situações em que a confdencialidade seja importante);
g) cuidado para assegurar que a perda inadvertida de dados seja detectada antes que a backup seja
tomada.
Convém que os procedimentos operacionais monitorem a execução do backup e resolvam falhas
dos backups programados, para assegurar a integridade dos backups de acordo com a política específca
por tema sobre backup.
Convém que as medidas de backup para sistemas e serviços individuais sejam testadas regularmente
para assegurar que elas atendam aos objetivos dos planos de resposta a incidentes e continuidade de
negócios (ver 5.30). Convém que isto seja combinado com o procedimento de restauração e checado
em relação ao tempo de restauração requerido pelo plano de continuidade de negócios. No caso
de sistemas e serviços críticos, convém que as medidas de backup abranjam todas as informações
do sistema, aplicações e dados necessários para recuperar o sistema completo em caso de desastre.
Convém que, quando a organização usar um serviço em nuvem, cópias de backups de informações,
aplicações e sistemas da organização no ambiente de serviços em nuvem sejam feitas. Convém que
a organização determine se e como os requisitos de backup são cumpridos ao usar o serviço de
backup fornecido como parte do serviço em nuvem.
Convém que o período de retenção de informações essenciais do negócio seja determinado, levando
em conta qualquer exigência de retenção de cópias de arquivo. Convém que a organização considere
a exclusão de informações (ver 8.10) em mídia de armazenamento usada para backup assim que
o período de retenção das informações expirar, e convém que leve em consideração a legislação e
os regulamentos.
Outras informações
Para obter mais informações sobre segurança de armazenamento, incluindo consideração de retenção,
ver a ISO/IEC 27040.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
127
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
8.14 Redundância dos recursos de tratamento de informações
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Disponibilidade #Proteger #Continuidade

Gestão_de_ativos

Proteção

Resiliência

Controle
Convém que os recursos de tratamento de informações sejam implementados com redundância
sufciente para atender aos requisitos de disponibilidade.
Propósito
Assegurar o funcionamento contínuo dos recursos de tratamento de informações.
Orientação
Convém que a organização identifque os requisitos para a disponibilidade de serviços de negócios
e sistemas de informação. Convém que a organização projete e implemente a arquitetura de sistemas
com redundância adequada para atender a esses requisitos.
A redundância pode ser introduzida duplicando os recursos de tratamento de informações em parte
ou em sua totalidade (ou seja, componentes sobressalentes ou tendo dois de tudo). Convém que a
organização planeje e implemente procedimentos para a ativação dos componentes redundantes e
recursos de tratamento. Convém que os procedimentos estabeleçam se os componentes redundantes
e as atividades de tratamento estão sempre ativados ou, em caso de emergência, ativados
automaticamente ou manualmente. Convém que os componentes redundantes e os recursos de
tratamento de informações assegurem o mesmo nível de segurança que os principais.
Convém que os mecanismos estejam em vigor para alertar a organização sobre qualquer falha
nos recursos de tratamento de informações e permitam a execução do procedimento planejado e
a disponibilidade contínua enquanto os recursos de tratamento de informações são reparadas ou
substituídas.
Convém que a organização considere o seguinte ao implementar sistemas redundantes:
a) contratação com dois ou mais fornecedores de recursos de tratamento de informações de rede
críticas como provedores de serviços de internet;
b) uso de redes redundantes;
c) uso de dois data centers geografcamente separados com sistemas espelhados;
d) uso de fornecedores ou fontes de alimentação fsicamente redundantes;
e) uso de várias instâncias paralelas de componentes de software, com balanceamento automático
de carga entre eles (entre instâncias no mesmo data center ou em data centers diferentes);
f) componentes duplicados em sistemas (por exemplo, CPU, discos rígidos, memórias) ou em redes
(por exemplo, frewalls, roteadores, switches).
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
128
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Quando aplicável, preferencialmente no modo de produção, convém que os sistemas de informação
redundantes sejam testados para assegurar que a transferência da operação de um componente para
outro componente funcione conforme o planejado.
Outras informações
Há uma forte relação entre redundância e prontidão de TIC para a continuidade de negócios
(ver 5.30), especialmente se forem necessários tempos curtos de recuperação. Muitas das medidas
de redundância podem fazer parte das estratégias e soluções de continuidade da TIC.
A implementação de redundâncias pode introduzir riscos à integridade (por exemplo, processos de
cópia de dados para componentes duplicados podem introduzir erros) ou à confdencialidade (por
exemplo, o fraco controle de segurança de componentes duplicados pode levar ao comprometimento)
das informações e dos sistemas de informação, que precisam ser considerados ao projetar sistemas
de informação.
A redundância nos recursos de tratamento de informações geralmente não aborda a indisponibilidade
de aplicações devido a falhas dentro de uma aplicação.
Com o uso da computação em nuvem pública, é possível ter várias versões ativas de recursos de
tratamento de informações, existentes em vários locais físicos separados com a transferência de
operação automático e balanceamento de carga entre eles.
Algumas das tecnologias e técnicas para fornecer redundância e a transferência de operação
automática no contexto dos serviços em nuvem são discutidas na ISO/IEC TS 23167.
8.15 Log
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades operacionais Domínios de
segurança

Integridade

Disponibilidade

Proteger #Segurança_de_sistemas_

e_rede

Confguração_segura

Segurança_de_aplicação

Proteção

Controle
Convém que o uso de programas utilitários que possam ser capazes de substituir os controles de
sistema e aplicações seja restrito e rigorosamente controlado.
Propósito
Assegurar que o uso de programas utilitários não prejudique os controles do sistema e das aplicações
para a segurança da informação.
Orientação
Convém que as seguintes diretrizes para o uso de programas utilitários que podem ser capazes
de substituir o sistema e os controles de aplicação sejam consideradas:
a) limitação do uso de programas utilitários ao número mínimo exequível de usuários autorizados
confáveis (ver 8.2);
b) utilização de procedimentos de identifcação, autenticação e autorização para programas utilitários,
incluindo identifcação exclusiva da pessoa que utiliza o programa utilitário;
c) defnição e documentação dos níveis de autorização para programas utilitários;
d) autorização para uso ad hoc de programas utilitários;
e) não disponibilização de programas utilitários para usuários que tenham acesso a aplicações em
sistemas em que a segregação de funções seja necessária;
f) remoção ou desativação de todos os programas utilitários desnecessários;
g) no mínimo, uma segregação lógica de programas utilitários de software de aplicações. Quando
prático, segregação de comunicações de rede para tais programas a partir do tráfego de aplicações;
h) limitação da disponibilidade de programas utilitários (por exemplo, no período de duração de uma
alteração autorizada);
i) registro de todo o uso de programas utilitários.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
136
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Outras informações
A maioria dos sistemas de informação tem um ou mais programas utilitários que podem ser capazes
de substituir controles de sistema e aplicações, por exemplo, diagnósticos, patches, antivírus,
desfragmentadores de disco, depuradores, ferramentas de backup e rede.
8.19 Instalação de software em sistemas operacionais
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
Segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Confguração_segura

Segurança_de_aplicação

Proteção

Controle
Convém que procedimentos e medidas sejam implementados para gerenciar com segurança a
instalação de software em sistemas operacionais.
Propósito
Assegurar a integridade dos sistemas operacionais e evitar a exploração de vulnerabilidades técnicas.
Orientação
Convém que as seguintes diretrizes sejam consideradas para gerenciar com segurança as alterações
e a instalação de software em sistemas operacionais:
a) realizar atualizações de software operacional apenas por administradores treinados com as
autorizações apropriadas da direção (ver 8.5);
b) assegurar que apenas o código executável aprovado e não o código de desenvolvimento ou
compiladores seja instalado em sistemas operacionais;
c) somente a instalar e atualizar o software após testes completos e bem-sucedidos (ver 8.29 e 8.31);
d) atualizar todas as bibliotecas do programa-fonte;
e) utilizar um sistema de controle de confguração para manter o controle de todos os softwares
operacionais, bem como a documentação do sistema;
f) defnir uma estratégia de reversão antes da implementação das alterações;
g) manter um registro de auditoria de todas as atualizações para o software operacional;
h) arquivar versões antigas do software, juntamente com todas as informações e parâmetros necessários,
procedimentos, detalhes de confguração e software de suporte como medida de contingência e
enquanto o software for necessário para ler ou tratar os dados arquivados.
Convém que qualquer decisão de atualização para uma nova versão leve em conta os requisitos de
negócios para a alteração e a segurança da versão (por exemplo, a introdução de novas funcionalidades
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
137
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
de segurança da informação ou o número e a gravidade das vulnerabilidades de segurança da
informação que afetam a versão atual). Convém que os patches de software sejam aplicados quando
puderem ajudar a remover ou reduzir as vulnerabilidades de segurança da informação (ver 8.8 e 8.19).
O software de computador pode contar com softwares e pacotes fornecidos externamente (por exemplo,
programas de software usando módulos hospedados em sites externos), sendo conveniente que
sejam monitorados e controlados para evitar alterações não autorizadas, pois podem introduzir
vulnerabilidades de segurança da informação.
Convém que o software fornecido por partes externas para uso em sistemas operacionais seja mantido
em um nível apoiado pelo fornecedor. Com o tempo, os fornecedores de software deixarão de apoiar
versões mais antigas do software. Convém que a organização considere os riscos de confar em
softwares sem suporte. Convém que o software de código aberto usado em sistemas operacionais
seja mantido até a sua versão mais recente apropriada. Com o tempo, o código-fonte aberto pode
deixar de ser mantido, mas ainda está disponível em um repositório de software de código aberto.
Também convém que a organização considere os riscos de depender de um software de código
aberto não mantido, quando usado em sistemas operacionais.
Quando os fornecedores estiverem envolvidos na instalação ou atualização de software, convém
que o acesso físico ou lógico só seja dado quando necessário e com a devida autorização. Convém
que as atividades do fornecedor sejam monitoradas (ver 5.22).
Convém que a organização defna e imponha regras rígidas sobre quais tipos de software os usuários
podem instalar.
Convém que o princípio do menor privilégio seja aplicado à instalação de software em sistemas
operacionais. Convém que a organização identifque quais tipos de instalações de software são permitidos
(por exemplo, atualizações e patches de segurança para softwares existentes) e quais tipos de instalações
são proibidas (por exemplo, software que é apenas para uso pessoal e software cuja origem em
relação a ser potencialmente malicioso é desconhecida ou suspeita). Convém que esses privilégios
sejam concedidos com base nas funções dos usuários em causa.
Outras informações
Não há outra informação.
8.20 Segurança de redes
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo

Detectivo

Confdencialidade

Integridade

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Confguração_segura #Proteção

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_aplicação

Segurança_de_

sistemas_e_rede

Proteção

Controle
Convém que regras para o desenvolvimento seguro de software e sistemas sejam estabelecidas e
aplicadas.
Propósito
Assegurar que a segurança da informação seja projetada e implementada dentro do ciclo de vida de
desenvolvimento seguro de software e sistemas.
Orientação
O desenvolvimento seguro é um requisito para construir serviço, arquitetura, software e sistema
seguros. Para isso, convém que sejam considerados os seguintes aspectos:
a) separação dos ambientes de desenvolvimento, teste e produção (ver 8.31);
b) orientação sobre a segurança no ciclo de vida do desenvolvimento de software:
1) segurança na metodologia de desenvolvimento de software (ver 8.28 e 8.27);
2) diretrizes de codifcação seguras para cada linguagem de programação utilizada (ver 8.28);
c) requisitos de segurança na fase de especifcação e design (ver 5.8);
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
146
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
d) pontos de verifcação de segurança em projetos (ver 5.8);
e) testes de sistema e segurança, como testes de regressão, verifcação de código e testes de
invasão (ver 8.29);
f) repositórios seguros para código-fonte e confguração (ver 8.4 e 8.9);
g) segurança no controle de versão (ver 8.32);
h) conhecimento e treinamento necessários de segurança de aplicações (ver 8.28);
i) capacidade dos desenvolvedores para prevenir, encontrar e corrigir vulnerabilidades (ver 8.28);
j) requisitos e alternativas de licenciamento para assegurar soluções econômicas, evitando futuros
problemas de licenciamento (Ver 5.32).
Se o desenvolvimento for terceirizado, convém que a organização obtenha a garantia de que o fornecedor
está de acordo com as regras da organização para o desenvolvimento seguro (ver 8.30).
Outras informações
O desenvolvimento também pode ocorrer aplicações internas, como aplicações de escritório, scripting,
navegadores e bases de dados.
8.26 Requisitos de segurança da aplicação
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades operacionais Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_aplicação

Segurança_de_sistemas_

e_rede

Proteção

Defesa

Controle
Convém que os requisitos de segurança da informação sejam identifcados, especifcados e aprovados
ao desenvolver ou adquirir aplicações.
Propósito
Assegurar que todos os requisitos de segurança da informação sejam identifcados e abordados
ao desenvolver ou adquirir aplicações.
Orientação
Geral
Convém que os requisitos de segurança de aplicações sejam identifcados e especifcados. Esses
requisitos geralmente são determinados por meio de uma avaliação de risco. Convém que os requisitos
sejam desenvolvidos com o apoio de especialistas em segurança da informação.
Os requisitos de segurança de aplicações podem abranger uma ampla gama de tópicos, dependendo
do propósito da aplicação.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
147
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que os requisitos de segurança de aplicações incluam, conforme aplicável:
a) nível de confança na identidade das entidades [por exemplo, por meio da autenticação (ver 5.17,
8.2 e 8.5)];
b) identifcação do tipo de informação e do nível de classifcação a serem tratados pela aplicação;
c) necessidade de segregação de acesso e nível de acesso a dados e funções na aplicação;
d) resiliência contra ataques maliciosos ou disrupções não intencionais [por exemplo, proteção contra
buffer overfow ou SQL injections [inserções de linguagem estruturada de consulta (SQL)];
e) requisitos legais, estatutários e regulamentares na jurisdição onde a transação é gerada, processada,
concluída ou armazenada;
f) necessidade de privacidade associada a todas as partes envolvidas;
g) requisitos de proteção de quaisquer informações confdenciais;
h) proteção de dados enquanto são tratados, em trânsito e em repouso;
i) necessidade de criptografar com segurança as comunicações entre todas as partes envolvidas;
j) controles de entrada, incluindo verifcações de integridade e validação de entrada;
k) controles automatizados (por exemplo, limites de aprovação ou aprovações duplas);
l) controles de saída, considerando também quem pode acessar as saídas e sua autorização;
m) restrições em torno do conteúdo de campos de “texto livre”, pois estes podem levar ao armazenamento
descontrolado de dados confdenciais (por exemplo, dados pessoais);
n) requisitos derivados do processo de negócios, como registro e monitoramento de transações,
requisitos de não repúdio;
o) requisitos exigidos por outros controles de segurança (por exemplo, interfaces para sistemas
de registro e monitoramento ou detecção de vazamento de dados);
p) manuseio de mensagens de erro.
Serviços transacionais
Além disso, para aplicações que oferecem serviços transacionais entre a organização e um parceiro,
convém que o seguinte seja considerado ao se identifcarem requisitos de segurança da informação:
a) nível de confança que cada parte requer em cada identidade declarada pela outra parte;
b) nível de confança exigido na integridade das informações trocadas ou tratadas e mecanismos
de identifcação da falta de integridade (por exemplo, verifcação de redundância cíclica, hashing,
assinaturas digitais);
c) processos de autorização associados a quem pode aprovar conteúdos, emitir ou assinar documentos
transacionais importantes;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
148
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
d) confdencialidade, integridade, comprovante de expedição e recebimento de documentos-chave
e não repúdio (por exemplo, contratos associados a processos licitatórios e contratuais);
e) confdencialidade e integridade de quaisquer transações (por exemplo, pedidos, detalhes do
endereço de entrega e confrmação de recibos);
f) requisitos sobre quanto tempo para manter a transação confdencial;
g) seguro e outros requisitos contratuais.
Pedidos eletrônicos e aplicações de pagamentos
Além disso, para aplicações envolvendo pedidos eletrônicos e pagamento, convém que o seguinte
seja considerado:
a) requisitos para manter a confdencialidade e integridade das informações das ordens de pagamento;
b) grau de verifcação adequado para verifcar as informações de pagamento fornecidas por um
cliente;
c) evitamento de perdas ou duplicação de informações de transação;
d) armazenamento de detalhes de transações fora de qualquer ambiente acessível ao público (por
exemplo, em uma plataforma de armazenamento existente na intranet organizacional, e não
retido e exposto em mídia de armazenamento eletrônico diretamente acessível da internet);
e) quando uma autoridade confável é usada (por exemplo, para fns de emissão e manutenção de
assinaturas digitais ou certifcados digitais), a segurança é integrada e incorporada durante todo
o processo de gerenciamento de certifcados ou assinaturas de ponta a ponta.
Várias considerações acima podem ser abordadas pela aplicação da criptografa (ver 8.24), levando
em consideração os requisitos legais (ver 5.31 a 5.36, especialmente 5.31 para a legislação de
criptografa).
Outras informações
As aplicações acessíveis por redes estão sujeitas a uma série de ameaças relacionadas à rede, como
atividades fraudulentas, disputas contratuais ou divulgação de informações ao público; transmissão
incompleta, roteamento errado, alteração não autorizada de mensagem, duplicação ou repetição. Portanto,
processos de avaliação de risco detalhados e determinação cuidadosa dos controles são indispensáveis.
Os controles necessários muitas vezes incluem métodos criptográfcos para autenticação e proteção
da transferência de dados.
Mais informações sobre a segurança de aplicações podem ser encontradas na série ISO/IEC 27034.
8.27 Princípios de arquitetura e engenharia de sistemas seguros
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_aplicação

Segurança_de_

sistemas_e_rede

Proteção

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_

de_aplicação

Segurança_de_

sistemas_e_rede

Proteção

Controle
Convém que princípios de codifcação segura sejam aplicados ao desenvolvimento de software.
Propósito
Assegurar que o software seja escrito com segurança, reduzindo assim o número de potenciais
vulnerabilidades de segurança da informação no software.
Orientação
Geral
Convém que a organização estabeleça processos em toda a organização para fornecer uma boa
governança para uma codifcação segura. Convém que uma linha de base segura mínima seja
estabelecida e aplicada. Além disso, convém que tais processos e governança sejam estendidos para
abranger componentes de software de terceiros e software de código aberto.
Convém que a organização monitore ameaças do mundo real e conselhos e informações atualizados
sobre vulnerabilidades de software, para orientar seus princípios de codifcação segura por meio da
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
152
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
melhoria e do aprendizado contínuos. Isso pode ajudar a assegurar que práticas efcazes de codifcação
segura sejam implementadas para combater o cenário de ameaças em rápida mudança.
Planejamento e antes da codifcação
Convém que princípios de codifcação segura sejam usados tanto em novos desenvolvimentos
quanto em cenários de reutilização. Convém que estes princípios sejam aplicados às atividades de
desenvolvimento tanto dentro da organização quanto em produtos e serviços fornecidos por ela a
terceiros. Convém que o planejamento e os pré-requisitos antes da codifcação incluam:
a) expectativas específcas da organização e princípios aprovados para codifcação segura a serem
usados tanto para desenvolvimentos internos quanto terceirizados de código;
b) práticas e defeitos de codifcação comuns e históricos que levem a vulnerabilidades de segurança
da informação;
c) confguração de ferramentas de desenvolvimento, como ambientes integrados de desenvolvimento
(IDE), para ajudar a impor a criação de código seguro;
d) orientações emitidas pelos provedores de ferramentas de desenvolvimento e ambientes de
execução, conforme aplicável;
e) manutenção e uso de ferramentas de desenvolvimento atualizadas (por exemplo, compiladores);
f) qualifcação de desenvolvedores na escrita de código seguro;
g) design e arquitetura seguros, incluindo modelagem de ameaças;
h) padrões de codifcação seguros e, quando relevante, obrigando seu uso;
i) uso de ambientes controlados para o desenvolvimento.
Durante a codifcação
Convém que as considerações durante a codifcação incluam:
a) práticas de codifcação seguras específcas das linguagens e técnicas de programação que estão
sendo utilizadas;
b) utilização de técnicas seguras de programação, como programação em duplas, refactoring, revisão
por pares, iterações de segurança e desenvolvimento orientado por testes;
c) utilização de técnicas estruturadas de programação;
d) documentação de códigos e remoção de defeitos de programação, que podem permitir a exploração
de vulnerabilidades de segurança da informação;
e) proibição do uso de técnicas de design inseguras (por exemplo, uso de senhas no código-fonte,
amostras de código não aprovadas e serviços web não autenticados).
Convém que os testes sejam realizados durante e após o desenvolvimento (ver 8.29). Os processos de
teste de segurança de aplicações estáticas (SAST) podem identifcar vulnerabilidades de segurança
no software.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
153
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Antes de o software ser operacionalizado, convém que o seguinte seja avaliado:
a) superfície de ataque e princípio do menor privilégio;
b) condução de uma análise dos erros de programação mais comuns e documentação de como
estes erros foram mitigados.
Análise crítica e manutenção
Após o código ter sido operacionalizado:
a) convém que as atualizações sejam empacotadas e implantadas com segurança;
b) convém que vulnerabilidades de segurança da informação relatadas sejam tratadas (ver 8.8);
c) convém que erros e suspeitas de ataques sejam registrados e que os logs sejam analisados
criticamente de forma regular, para fazer ajustes no código conforme necessário;
d) convém que o código-fonte seja protegido contra acesso e adulteração não autorizados (por
exemplo, usando ferramentas de gerenciamento de confguração, que normalmente fornecem
recursos como controle de acesso e controle de versão).
Se forem usadas ferramentas externas e bibliotecas, convém que as organizações considerem:
a) assegurar que as bibliotecas externas sejam gerenciadas (por exemplo, mantendo um inventário
de bibliotecas utilizadas e suas versões) e atualizadas regularmente com ciclos de lançamento;
b) selecionar, autorizar e reutilizar componentes bem avaliados, particularmente autenticação e
componentes criptográfcos;
c) utilizar licença, segurança e histórico dos componentes externos;
d) assegurar que o software seja mantido, rastreado e originário de fontes comprovadas e respeitáveis;
e) disponibilizar sufcientemente, a longo prazo, recursos de desenvolvimento e artefatos.
Quando um pacote de software precisar ser modifcado, convém que sejam considerados os seguintes
pontos:
a) o risco de controles incorporados e processos de integridade serem comprometidos;
b) obtenção do consentimento do fornecedor;
c) possibilidade de obter as alterações necessárias do fornecedor como atualizações-padrão do
programa;
d) impacto se a organização se tornar responsável pela manutenção futura do software como
resultado de mudanças;
e) compatibilidade com outros softwares em uso.
Outras informações
Um princípio norteador é assegurar que o código relevante para a segurança seja invocado quando
necessário e seja resistente a adulterações. Os programas instalados a partir do código binário
compilado também têm essas propriedades, mas apenas para dados mantidos dentro do aplicativo.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
154
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Para linguagens interpretadas, o conceito só funciona quando o código é executado em um servidor
que é inacessível pelos usuários e processos que o utilizam, e quando seus dados são mantidos em um
banco de dados protegido da mesma forma. Por exemplo, o código interpretado pode ser executado
em um serviço de nuvem em que o acesso ao próprio código requeira privilégios de administrador.
Convém que esse acesso de administrador seja protegido por mecanismos de segurança, como
princípios de administração just-in-time e autenticação forte. Se o proprietário da aplicação puder
acessar scripts por acesso remoto direto ao servidor, então, em princípio, um invasor também pode.
Convém que os servidores web sejam confgurados para evitar a navegação em diretórios, nesses
casos.
O código da aplicação é melhor projetado na suposição de que ele está sempre sujeito a ataque
por erro ou ação maliciosa. Além disso, aplicações críticas podem ser projetadas para serem tolerantes
a falhas internas. Por exemplo, a saída de um algoritmo complexo pode ser verifcada para assegurar
que ele esteja dentro de limites seguros antes que os dados sejam usados em uma aplicação, como
uma aplicação crítica de segurança ou fnanceira. O código que executa as verifcações de limites é
simples e, portanto, muito mais fácil de provar que está correto.
Algumas aplicações da web são suscetíveis a uma variedade de vulnerabilidades que são introduzidas
por design e codifcação ruins, como injeção em banco de dados e ataques de scripting entre sites.
Nesses ataques, as solicitações podem ser manipuladas para abusar da funcionalidade do servidor web.
Mais informações sobre a avaliação de segurança de TIC podem ser encontradas na série
ISO/IEC 15408.
8.29 Testes de segurança em desenvolvimento e aceitação
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Segurança_de_aplicação

Garantia_de_segurança_

da_informação

Segurança_de_sistemas_

e_rede

Proteção

Controle
Convém que os processos de teste de segurança sejam defnidos e implementados no ciclo de vida
do desenvolvimento.
Propósito
Validar se os requisitos de segurança da informação são atendidos quando as aplicações ou códigos
são implantados no ambiente de produção.
Orientação
Convém que novos sistemas de informação, upgrades e novas versões sejam exaustivamente testados
e verifcados durante os processos de desenvolvimento. Convém que os testes de segurança sejam
parte integrante dos testes para sistemas ou seus componentes.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
155
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Convém que os testes de segurança sejam realizados com um conjunto de requisitos, que podem ser
expressos como funcionais ou não funcionais. Convém que os testes de segurança incluam testes de:
a) funções de segurança [por exemplo, autenticação do usuário (ver 8.5), restrição de acesso
(ver 8.3) e uso de criptografa (ver 8.24)];
b) codifcação segura (ver 8.28);
c) confgurações seguras (ver 8.9, 8.20 e 8.22), incluindo a de sistemas operacionais, frewalls e
outros componentes de segurança.
Convém que os planos de teste sejam determinados usando um conjunto de critérios. Convém que
a extensão dos testes seja proporcional à importância, à natureza do sistema e ao impacto potencial
da mudança que está sendo introduzida. Convém que o plano de testes inclua:
a) cronograma detalhado de atividades e testes;
b) entradas e saídas esperadas sob uma série de condições;
c) critérios para avaliar os resultados;
d) decisão para outras ações, conforme necessário.
A organização pode aproveitar ferramentas automatizadas, como ferramentas de análise de código ou
scanners de vulnerabilidade, e convém que verifque a correção dos defeitos de segurança relacionados.
Para a evolução interna, convém que esses testes sejam realizados inicialmente pela equipe de
desenvolvimento. Convém, então, que testes de aceitação independentes sejam realizados para
assegurar que o sistema funcione como esperado e apenas como esperado (ver 5.8). Convém que
seja considerado o seguinte:
a) realização de atividades de análise crítica de códigos como elemento relevante para testes de
falhas de segurança, incluindo insumos e condições não antecipadas;
b) realização de varredura de vulnerabilidades para identifcar confgurações inseguras e
vulnerabilidades do sistema;
c) realização de testes de invasão para identifcar código e arquitetura inseguros.
Para componentes terceirizados de desenvolvimento e compras, convém que seja seguido um processo
de aquisição. Convém que os contratos com o fornecedor atendam aos requisitos de segurança
identifcados (ver 5.20). Convém que os produtos e serviços sejam avaliados em relação a esses
critérios antes da aquisição.
Convém que os testes sejam realizados em um ambiente de teste que seja o mais similar possível
ao ambiente-alvo de produção, para assegurar que o sistema não introduza vulnerabilidades ao ambiente
da organização e que os testes sejam confáveis (ver 8.31).
Outras informações
Podem ser estabelecidos vários ambientes de teste, que podem ser usados para diferentes tipos
de testes (por exemplo, testes funcionais e de desempenho). Esses diferentes ambientes podem
ser virtuais, com confgurações individuais que simulem uma variedade de ambientes operacionais.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
156
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Testes e monitoramento de ambientes de teste, ferramentas e tecnologias também precisam ser
considerados para assegurar testes efcazes. As mesmas considerações se aplicam ao monitoramento
dos sistemas de monitoramento implantados nas confgurações de desenvolvimento, teste e produção.
É necessário julgar, guiado pela sensibilidade dos sistemas e dados, para determinar quantas camadas
de metateste são úteis.
8.30 Desenvolvimento terceirizado
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos de
segurança
cibernética
Capacidades operacionais Domínios de
segurança

Preventivo

Detectivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Detectar

Proteger

Segurança_de_sistemas_e_rede

Segurança_de_ aplicação

Segurança_nas_relações_com_

fornecedores

Governança_e_

ecossistema

Proteção

Controle
Convém que a organização dirija, monitore e analise criticamente as atividades relacionadas à
terceirização de desenvolvimento de sistemas.
Propósito
Assegurar que as medidas de segurança da informação requeridas pela organização sejam
implementadas na terceirização do desenvolvimento de sistemas.
Orientação
Quando o desenvolvimento do sistema é terceirizado, convém que a organização comunique e concorde
com requisitos e expectativas, monitore e analise criticamente de forma contínua se a entrega de
trabalhos terceirizados atende a essas expectativas. Convém que os seguintes pontos sejam considerados
em toda a cadeia de fornecimento externa da organização:
a) contratos de licenciamento, propriedade de código e direitos de propriedade intelectual relacionados
com o conteúdo de terceiros (ver 5.32);
b) requisitos contratuais para práticas seguras de projeto, codifcação e teste (ver 8.25 a 8.29);
c) provisão do modelo de ameaça a ser considerado por desenvolvedores externos;
d) teste de aceitação para a qualidade e precisão dos produtos (ver 8.29);
e) provisão de evidências de que níveis mínimos aceitáveis de segurança e capacidades de privacidade
estão estabelecidos (por exemplo, relatórios de garantia);
f) provisão de evidências de que testes sufcientes foram aplicados para proteger contra a presença
de conteúdo malicioso (intencional e não intencional) após a entrega;
g) provisão de evidências de que testes sufcientes foram aplicados para proteger contra a presença
de vulnerabilidades conhecidas;
h) contratos de custódia para o código-fonte do software (por exemplo, se o fornecedor sair do negócio);
i) direito contratual para auditar processos e controles de desenvolvimento;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
157
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
j) requisitos de segurança para o ambiente de desenvolvimento (ver 8.31);
k) consideração da legislação aplicável (por exemplo, sobre proteção de dados pessoais).
Outras informações
Mais informações sobre relacionamentos com fornecedores podem ser encontradas na série
ISO/IEC 27036.
8.31 Separação dos ambientes de desenvolvimento, teste e produção
Tipo de
controle
Propriedades
de segurança
da informação
Conceitos de
segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_

aplicação

Segurança_de_

sistemas_e_rede

Proteção

Controle
Convém que ambientes de desenvolvimento, testes e produção sejam separados e protegidos.
Propósito
Proteger o ambiente de produção e os dados de comprometimento por meio de atividades de
desenvolvimento e teste.
Orientação
Convém que o nível de separação entre ambientes de produção, testes e desenvolvimento necessários
para evitar problemas de produção seja identifcado e implementado.
Convém que os seguintes itens sejam considerados:
a) separar adequadamente os sistemas de desenvolvimento e produção e operação deles em
diferentes domínios (por exemplo, em ambientes virtuais ou físicos separados);
b) defnir, documentar e implementar regras e autorização para a implantação de software do
desenvolvimento ao status de produção;
c) testar alterações nos sistemas de produção e aplicações em um ambiente de teste ou preparação
antes de serem aplicados aos sistemas de produção (ver 8.29);
d) não testar em ambientes de produção, exceto em circunstâncias que foram defnidas e aprovadas;
e) compiladores, editores e outras ferramentas de desenvolvimento ou programas utilitários não
sendo acessíveis a partir de sistemas de produção, quando não necessário;
f) exibir de etiquetas de identifcação de ambiente adequadas nos menus para reduzir o risco de erro;
g) não copiar informações sensíveis nos ambientes de desenvolvimento e teste do sistema, a menos
que sejam fornecidos controles equivalentes para os sistemas de desenvolvimento e teste.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
158
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Em todos os casos, convém que os ambientes de desenvolvimento e teste sejam protegidos considerando:
a) patches e atualização de todas as ferramentas de desenvolvimento, integração e teste (incluindo
construtores, integradores, compiladores, sistemas de confguração e bibliotecas);
b) confguração segura de sistemas e software;
c) controle do acesso aos ambientes;
d) monitoramento da mudança no ambiente e código armazenado nele;
e) monitoramento seguro dos ambientes;
f) backup das informações dos ambientes.
Convém que uma única pessoa não tenha a capacidade de fazer alterações tanto no desenvolvimento
quanto na produção sem uma análise crítica e aprovação prévias. Isso pode ser alcançado, por
exemplo, pela segregação de direitos de acesso ou por regras que são monitoradas. Em situações
excepcionais, convém que sejam implementadas medidas adicionais como registro detalhado e
monitoramento em tempo real para detectar e agir sobre alterações não autorizadas.
Outras informações
Sem medidas e procedimentos adequados, os desenvolvedores e testadores que tenham acesso
a sistemas de produção podem introduzir riscos signifcativos (por exemplo, modifcação indesejada
de arquivos ou ambiente do sistema, falha no sistema, execução de código não autorizado e não
testado em sistemas de produção, divulgação de dados confdenciais, problemas de integridade e
disponibilidade de dados). É necessário manter um ambiente conhecido e estável para realizar testes
signifcativos e impedir o acesso inadequado do desenvolvedor ao ambiente de produção.
As medidas e procedimentos incluem papéis cuidadosamente projetados em conjunto com a
implementação de requisitos de segregação de funções e possuem processos de monitoramento
adequados em vigor.
O pessoal de desenvolvimento e testes também representa uma ameaça à confdencialidade das
informações de produção. Atividades de desenvolvimento e teste podem causar alterações não
intencionais no software ou informações, se compartilharem o mesmo ambiente computacional.
A separação de ambientes de desenvolvimento, testes e produção é, portanto, desejável para reduzir
o risco de alteração acidental ou acesso não autorizado a softwares de produção e dados de negócios
(ver 8.33 para a proteção de informações de teste).
Em alguns casos, a distinção entre ambientes de desenvolvimento, teste e produção pode ser
deliberadamente acobertada, e os testes podem ser realizados em um ambiente de desenvolvimento
ou por meio de planos de implantação controlados para usuários ou servidores ativos (por exemplo,
pequena população de usuários-piloto). Em alguns casos, os testes de produtos podem ocorrer pelo
uso ao vivo do produto dentro da organização. Além disso, para reduzir o tempo de inatividade das
implantações ao vivo, dois ambientes de produção idênticos podem ser apoiados, em que apenas
um está ao vivo ao mesmo tempo.
Processos de suporte para o uso de dados de produção em ambientes de desenvolvimento e teste
(8.33) são necessários.
As organizações também podem considerar as orientações fornecidas nesta Seção para ambientes
de treinamento, ao realizar o treinamento do usuário fnal.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
159
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
8.32 Gestão de mudanças
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_

aplicação

Segurança_de_

sistemas_e_rede

Proteção

Controle
Convém que mudanças nos recursos de tratamento de informações e sistemas de informação estejam
sujeitas a procedimentos de gestão de mudanças.
Propósito
Preservar a segurança da informação ao executar mudanças.
Orientação
Convém que a introdução de novos sistemas e grandes mudanças nos sistemas existentes sigam
as regras acordadas e um processo formal de documentação, especifcação, testes, controle de qualidade
e implementação gerenciada. Convém que as responsabilidades e os procedimentos de gestão estejam
em vigor para assegurar o controle satisfatório de todas as mudanças.
Convém que os procedimentos de controle de mudanças sejam documentados e aplicados para
assegurar a confdencialidade, integridade e disponibilidade de informações em recursos de tratamento
de informações e sistemas de informação, para todo o ciclo de vida de desenvolvimento do sistema,
desde os estágios iniciais de projeto até todos os esforços subsequentes de manutenção.
Convém que, sempre que possível, os procedimentos de controle de alteração para infraestrutura
e software de TIC sejam integrados.
Convém que os procedimentos de controle de alteração incluam:
a) planejamento e avaliação do impacto potencial das mudanças, considerando todas as dependências;
b) autorização de mudanças;
c) comunicação de mudanças às partes interessadas pertinentes;
d) testes e aceitação de testes para as mudanças (ver 8.29);
e) implementação de mudanças, incluindo planos de implantação;
f) considerações de emergência e contingência, incluindo procedimentos de retorno;
g) manutenção de registros de mudanças que incluam todos os itens acima;
h) garantia de que a documentação operacional (ver 5.37) e os procedimentos do usuário sejam
alterados conforme necessário para permanecer apropriados;
i) garantia de que os planos de continuidade das TIC e os procedimentos de resposta e recuperação
(ver 5.30) sejam alterados conforme necessário para que permaneçam apropriados.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
160
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Outras informações
O controle inadequado das mudanças nos recursos de tratamento de informações e sistemas de
informação é uma causa comum de falhas de sistema ou segurança. Mudanças no ambiente de
produção, especialmente ao transferir softwares do desenvolvimento para o ambiente operacional,
podem impactar na integridade e disponibilidade de aplicações.
A mudança de software pode impactar o ambiente de produção e vice-versa.
A boa prática inclui o teste de componentes de TIC em um ambiente segregado de ambos os ambientes
de produção e desenvolvimento (veja 8.31). Isto provê um meio de ter controle sobre um novo software
e permitir proteção adicional de informações operacionais que são usadas para fns de teste. Convém
que isso inclua patches, pacotes de serviço e outras atualizações.
O ambiente de produção inclui sistemas operacionais, bancos de dados e plataformas de middleware.
Convém que o controle seja aplicado para mudanças de aplicações e infraestruturas.
8.33 Informações de teste
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Proteger #Proteção_da_informação #Proteção

Controle
Convém que as informações de teste sejam adequadamente selecionadas, protegidas e gerenciadas.
Propósito
Assegurar a relevância dos testes e a proteção das informações operacionais utilizadas para testes.
Orientação
Convém que as informações de teste sejam selecionadas para assegurar a confabilidade dos
resultados dos testes e a confdencialidade das informações operacionais relevantes. Convém que
as informações sensíveis (incluindo dados pessoais) não sejam copiadas para os ambientes de
desenvolvimento e teste (ver 8.31).
Convém que as seguintes diretrizes sejam aplicadas para proteger as cópias das informações
operacionais, quando usadas para fns de teste, quer o ambiente de teste seja construído internamente
ou em um serviço em nuvem:
a) aplicar os mesmos procedimentos de controle de acesso para testar ambientes como os aplicados
aos ambientes operacionais;
b) ter uma autorização separada cada vez que as informações operacionais forem copiadas para
um ambiente de teste;
c) registrar a cópia e o uso de informações operacionais para fornecer uma trilha de auditoria;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
161
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
d) proteger informações sensíveis por remoção ou mascaramento (ver 8.11), se usadas para testes;
e) excluir corretamente (ver 8.10) as informações operacionais de um ambiente de teste imediatamente
após os testes estarem completos, para evitar o uso não autorizado de informações de teste.
Convém que as informações de teste sejam armazenadas com segurança (para evitar adulteração,
o que pode levar a resultados inválidos) e usadas apenas para fns de teste.
Outras informações
Testes de sistema e aceitação podem requerer volumes substanciais de informações de teste que
são tão próximos quanto possível das informações operacionais.
8.34 Proteção de sistemas de informação durante os testes de auditoria
Tipo de controle Propriedades
de segurança
da informação
Conceitos
de segurança
cibernética
Capacidades
operacionais
Domínios de
segurança

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_

sistemas_e_rede

Proteção_da_

informação

Governança_e_

ecossistema

Proteção

Controle
Convém que testes de auditoria e outras atividades de garantia envolvendo a avaliação de sistemas
operacionais sejam planejados e acordados entre o testador e a gestão apropriada.
Propósito
Minimizar o impacto da auditoria e outras atividades de garantia em sistemas operacionais e processos
de negócio.
Orientação
Convém que sejam observadas as seguintes diretrizes:
a) acordar pedidos de acesso da auditoria a sistemas e dados com a gestão apropriada;
b) acordar e controlar o escopo dos testes de auditoria técnica;
c) limitar testes de auditoria a acesso somente para leitura de software e dados. Se o acesso somente
para leitura não estiver disponível para obter as informações necessárias, executar o teste por
um administrador experiente que tenha os direitos de acesso necessários em nome do auditor;
d) se o acesso for concedido, estabelecer e verifcar os requisitos de segurança (por exemplo, antivírus
e patches) dos dispositivos utilizados para acessar os sistemas (por exemplo, laptops ou tablets)
antes de permitir o acesso;
e) permitir acesso além de somente leitura apenas para cópias isoladas de arquivos do sistema,
excluí-las quando a auditoria for concluída ou fornecer proteção adequada, se houver a obrigação
de manter tais arquivos de acordo com os requisitos de documentação de auditoria;
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
162
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
f) identifcar e concordar com os pedidos de tratamento especial ou adicional, como a execução
de ferramentas de auditoria;
g) executar testes de auditoria que podem afetar a disponibilidade do sistema fora do horário comercial;
h) monitorar e registrar todo o acesso para fns de auditoria e teste.
Outras informações
Testes de auditoria e outras atividades de garantia também podem acontecer em sistemas de
desenvolvimento e teste, em que tais testes podem impactar, por exemplo, a integridade do código
ou levar à divulgação de quaisquer informações sensíveis mantidas em tais ambientes.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
163
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Anexo A
(informativo)
Uso de atributos
A.1 Geral
Este Anexo fornece uma tabela para demonstrar o uso de atributos como forma de criar diferentes
visões dos controles. Os cinco exemplos desses atributos são os seguintes (ver 4.2):
a) Tipos de controle (#Preventivo, #Detectivo, #Corretivo)
b) Propriedades de segurança da informação (#Confdencialidade, #Integridade, #Disponibilidade)
c) Conceitos de segurança cibernética (#Identifcar, #Proteger, #Detectar, #Responder, #Restaurar)
d) Capacidades operacionais (#Governança, #Gestão_de_ativos #Proteção_da_informação,

Segurança_em_recursos_humanos, #Segurança_física, #Segurança_de_sistemas_e_rede,

Segurança_de_aplicação, #Confguração_segura, #Gestão_de_identidade_e_acesso,#Gestão_

de_ameaças_e_vulnerabilidades, #Continuidade, #Segurança_nas_relações_com_fornecedores,

Leis_e_compliance, #Gestão_de_eventos_de_segurança_da_informação, #Garantia_de_

segurança_da_informação)
e) Domínios de segurança (#Governança_e_ecossistema, #Proteção, #Defesa, #Resiliência)
A Tabela A.1 contém uma matriz de todos os controles neste documento, com seus valores de atributos
dados.
A fltragem ou classifcação da matriz pode ser alcançada usando uma ferramenta como uma planilha
simples ou um banco de dados, que pode incluir mais informações, como texto de controle, orientação,
orientação específca da organização ou atributos (ver A.2).
Tabela A.1 – Matriz de controles e valores de atributos (continua)
ABNT NBR
ISO/IEC 27002
Identifcador
do controle
Nome do controle Tipo de
controle
Propriedades
de segurança da
informação
Conceitos de
segurança
cibernética
Capacidades
operacionais
Domínios de
segurança
5.1 Políticas de
segurança da
informação

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Governança #Governança_e_

ecossistema

Resiliência

5.2 Funções e
responsabilidades
de segurança da
informação

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Governança #Governança_e_

ecossistema

Proteção

Resiliência

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Governança

Gestão_de_

identidade_e_acesso

Governança_e_

ecossistema
5.4 Responsabilidades
da direção

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Governança # Governança_e_

ecossistema
5.5 Contato com
autoridades

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Responder

Restaurar

Governança #Defesa

Resiliência

5.6 Contato com
grupos de
interesses especial

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Responder

Restaurar

Governança #Defesa

5.7 Inteligência de
ameaças

Preventivo

Detectivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Detectar

Responder

Gestão_de_

ameaças_e_
vulnerabilidades

Defesa

Resiliência

5.8 Segurança da
informação no
gerenciamento de
projeto

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Governança # Governança_e_

ecossistema

Proteção

5.9 Inventário de
informações e
outros ativos
associados

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Gestão_de_ativos # Governança_e_

ecossistema

Proteção

5.10 Uso aceitável
de informações
e outros ativos
associados

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Gestão_de_ativos

Proteção_da_

informção

Governança_e_

ecossistema

Proteção

5.11 Devolução de
ativos

Preventivo #Confdencialidade

Integridade

Identifcar #Segurança_nas_

relações_com_
fornecedores

Governança_e_

ecossistema

Proteção

Defesa

Garantia_de_

segurança_da_
informação
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
166
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela A.1 (continuação)
ABNT NBR
ISO/IEC 27002
Identifcador
do controle
Nome do controle Tipo de
controle
Propriedades
de segurança da
informação
Conceitos de
segurança
cibernética
Capacidades
operacionais
Domínios de
segurança
5.23 Segurança da
informação para
uso de serviços
em nuvem

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_nas_

relações_com_
fornecedores

Governança_e_

Ecossistema

Proteção

5.24 Planejamento
e preparação
da gestão de
incidentes de
segurança da
informação

Corretivo #Confdencialidade

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Responder

Continuidade #Resiliência

Proteção

5.30 Prontidão de TIC
para continuidade
de negócios

Corretivo #Disponibilidade #Responder #Continuidade #Resiliência

5.31 Requisitos legais,
estatutários,
regulamentares e
contratuais

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Leis_e_compliance #Governança_e_

ecossistema

Proteção

5.32 Direitos de
propriedade
intelectual

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Leis_e_compliance #Governança_e_

ecossistema
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
167
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela A.1 (continuação)
ABNT NBR
ISO/IEC 27002
Identifcador
do controle
Nome do controle Tipo de
controle
Propriedades
de segurança da
informação
Conceitos de
segurança
cibernética
Capacidades
operacionais
Domínios de
segurança
5.33 Proteção de
registros

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Leis_e_compliance

Gestão_de_ativos

Proteção_da_

informação

Defesa

5.34 Privacidade e
proteção de DP

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Proteção_da_

informação

Leis_e_compliance

Proteção

5.35 Análise crítica
independente
da segurança da
informação

Preventivo

Corretivo

Confdencialidade

Integridade

Dispon bilidade

Identifcar

Proteger

Garantia_de_

segurança_da_
informação

Governança_e_

ecossistema
5.36 Conformidade
com políticas,
regras e normas
de segurança da
informação

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Leis_e_compliance

Garantia_de_

segurança_ da_
informação

Governança_e_

ecossistema
5.37 Documentação
dos procedimentos
de operação

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Restaurar

Gestão_de_ativos

Segurança_física

Segurança_de_

_sistemas_e_rede

Segurança_

de_aplicações

Confguração_

segura #Gestão_de_
identidade_e_acesso

Gestão_de_

ameaças_e_
vulnerabilidades

Continuidade

Gestão_de_

eventos_de_
segurança_da_
informação

Governança_e_

ecossistema

Proteção

Defesa

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Proteção_da_

informação

Segurança_nas_

relações_com_
fornecedores

Governança_e_

ecossistema
6.7 Trabalho remoto #Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Gestão_de_ativos

Proteção_

da_informação

identidades_e_
acesso

Proteção

7.3 Segurança de
escritórios, salas e
instalações

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_física

Gestão_de_ativos

Proteção

Preventivo

Detectivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Detectar

Segurança_física #Proteção

Defesa

7.5 Proteção contra
ameaças físicas e
ambientais

Preventivo #Confdencialidade

Integridade

Disponibilidade

informação

Proteção

8.2 Direitos de acessos
privilegiados

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger # Gestão_de_

identidade_e_acesso

8.7 Proteção contra
malware

Preventivo

Detectivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Detectar

Segurança_de__

sistemas_e_rede

Proteção_da_

informação

Proteção #Defesa

8.8 Gestão de
vulnerabilidades
técnicas

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Gestão_de_

ameaças_e_
vulnerabilidades

Governança_e_

ecossistema

Proteção

Defesa

8.9 Gestão de
confguração

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Confguração_

segura

Proteção

8.10 Exclusão de
informações

Corretivo #Integridade

Disponibilidade

Restaurar #Continuidade #Proteção

Preventivo #Disponibilidade #Proteger #Continuidade

Gestão_de_ativos

Proteção

Resiliência

8.15 Log #Detectivo #Confdencialidade

Integridade

Disponibilidade

Detectar #Gestão_de_

eventos_de_
segurança_da_
informação

Proteção #Defesa

8.16 Atividades de
monitoramento

Detectivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Detectar

Responder

Gestão_de_

eventos_de_
segurança_da_
informação

Proteção

8.17 Sincronização do
relógio

Detectivo #Integridade #Proteger

Detectar

Gestão_de_

eventos_de_
segurança_da_
informação

Integridade

Disponibilidade

Proteger #Segurança_de__

sistemas_e_rede

Proteger #Segurança_de_

aplicações

Segurança_de_

sistemas_e_rede

Proteção

8.29 Testes de
segurança em
desenvolvimento e
aceitação

Preventivo #Confdencialidade

Integridade

Disponibilidade

Identifcar #Segurança_de_

aplicações

Garantia_da_

segurança_da_
informação

Segurança_de_

sistemas_e_rede

Proteção

8.30 Desenvolvimento
terceirizado

Preventivo

Detectivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Detectar

Segurança_de_

aplicações

Segurança_de_

sistemas_e_rede

Segurança_nas_

relações_com_
fornecedores

Governança_e_

ecossistema

Proteção

8.31 Separação dos
ambientes de
desenvolvimento,
teste e de produção

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_

sistemas_e_rede

Segurança_de_

aplicações

Proteção

8.32 Gestão de
mudanças

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_

sistemas_e_rede

Segurança_de_

aplicações

Proteção

Preventivo #Confdencialidade

Integridade

Proteger #Proteção_da_

informação

Proteção

8.34 Proteção de
sistemas de
informação durante
testes de auditoria

Preventivo #Confdencialidade

Integridade

Disponibilidade

Proteger #Segurança_de_

sistemas_e_rede

Proteção_da_

informação

ameaças_e_
vulnerabilidades

Defesa

Resiliência

5.24 Planejamento
e preparação
da gestão de
incidentes de
segurança da
informação

Corretivo #Confdencialidade

Corretivo #Disponibilidade #Responder #Continuidade #Resiliência

5.35 Análise crítica
independente
da segurança da
informação

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Identifcar

Proteger

Garantia_da_

segurança_ da_
informação

Governança_e_

ecossistema
5.37 Procedimentos
operacionais
documentados

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Recuperar

Gestão_de_ativos

Segurança_física

Segurança_de_

sistemas_e_rede

Segurança_de_

aplicações

Confgurações de

Segurança

Gestão de

identidade e de
acessos #Gestão
de ameaças e de
vulnerabilidade

Continuidade

Segurança da

Informação – gestão
de eventos

Governança_e_

ecossistema

Proteção

Defesa

6.4 Processo
disciplinar

Preventivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Responder

Segurança em

recursos humanos

Governança_e_

ecossistema
8.7 Proteção contra
malware

Preventivo

Detectivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Proteger

Detectar

Segurança_de_

sistemas_ e_ rede

Proteção_da_

informação

Proteção

Defesa

8.13 Backup das
informações

Corretivo #Integridade

Disponibilidade

Recuperar #Continuidade #Proteção

8.16 Atividades de
monitoramento

Detectivo

Corretivo

Confdencialidade

Integridade

Disponibilidade

Detectar

Responder

Gestão_de_

eventos_de_
segurança_da_
informação

Defesa

Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
175
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
A.2 Visões organizacionais
Uma vez que atributos são usados para criar diferentes visões dos controles, as organizações podem
descartar os exemplos de atributos propostos neste documento e criar seus próprios atributos, com
diferentes valores para atender às necessidades específcas da organização. Adicionalmente, os
valores designados para cada atributo podem diferir entre organizações, já que organizações podem
ter diferentes visões do uso ou aplicabilidade do controle ou dos valores associados ao atributo
(quando os valores são específcos ao contexto da organização). O primeiro passo é entender por
que um atributo específco da organização é desejável. Por exemplo, se uma organização construiu
seus planos de tratamento de risco [ver a ABNT NBR ISO/IEC 27001:2013, 6.1.3 e)] com base em
eventos, ela pode desejar associar um atributo de cenário de risco a cada controle neste documento.
O benefício desse atributo é acelerar o processo de cumprimento dos requisitos da
ABNT NBR ISO/IEC 27001, relacionados ao tratamento de risco, comparando os controles
determinados por meio do processo de tratamento de risco (denominado controles “necessários”),
com os da ABNT NBR ISO/IEC 27001:2013, Anexo A (que são abordados neste documento), para
assegurar que nenhum controle necessário tenha sido negligenciado.
Uma vez que o propósito e os benefícios são conhecidos, o próximo passo é determinar os valores
de atributo. Por exemplo, a organização pode identifcar nove eventos:
1) perda ou roubo de dispositivo móvel;
2) perda ou roubo dos recursos da organização;
3) força majoritária, vandalismo e terrorismo;
4) falha de software, hardware, energia, internet e comunicações;
5) fraude;
6) hacking;
7) divulgação;
8) violação da lei;
9) engenharia social.
A segunda etapa pode, portanto, ser realizada atribuindo identifcadores a cada evento (por exemplo, E1,
E2,…, E9).
O terceiro passo é copiar os identifcadores de controle e controlar os nomes deste documento em
uma planilha ou banco de dados, e associar os valores de atributo a cada controle, lembrando que
cada controle pode ter mais de um valor de atributo.
O passo fnal é classifcar a planilha ou consultar o banco de dados para extrair as informações
necessárias. Outros exemplos de atributos organizacionais (e possíveis valores) incluem:
a) maturidade (valores da série ISO/IEC 33000 ou outros modelos de maturidade);
b) estado de implementação (a ser implementado, em andamento, parcialmente implementado,
totalmente implementado);
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
176
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
c) prioridade (1, 2, 3 etc.);
d) áreas organizacionais envolvidas (segurança, TIC, recursos humanos, Alta Direção etc.);
e) eventos;
f) ativos envolvidos;
g) construção e execução, para diferenciar controles utilizados nas diferentes etapas do ciclo de
vida útil;
h) outras metodologias com as quais a organização trabalha ou pode estar em transição para.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
177
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Anexo B
(informativo)
Correspondência com a ABNT NBR ISO/IEC 27002:2013
O objetivo deste Anexo é fornecer compatibilidade inversa com a ABNT NBR ISO/IEC 27002:2013
para organizações que atualmente a utilizam e agora desejam fazer a transição para esta edição.
A Tabela B.1 fornece a correspondência dos controles especifcados nas Seções 5 a 8 com os da
ABNT NBR ISO/IEC 27002:2013.
Tabela B.1 – Correspondência entre os controles deste documento e os controles
da ABNT NBR ISO/IEC 27002:2013 (continua)
ABNT NBR ISO/IEC 27002
Identifcador do controle
ABNT NBR ISO/IEC 27002:2013
Identifcador do controle Nome do controle
5.1 05.1.1, 05.1.2 Políticas de segurança da informação
5.2 06.1.1 Papéis e responsabilidades pela segurança
da informação
5.3 06.1.2 Segregação de funções
5.4 07.2.1 Responsabilidades da direção
5.5 06.1.3 Contato com autoridades
5.6 06.1.4 Contato com grupos de interesse especial
5.7 Novo Inteligência de ameaças
5.8 06.1.5, 14.1.1 Segurança da informação no gerenciamento
de projetos
5.9 08.1.1, 08.1.2 Inventário de informações e outros ativos
associados
5.10 08.1.3, 08.2.3 Uso aceitável de informações e outros ativos
associados
5.11 08.1.4 Devolução de ativos
5.12 08.2.1 Classifcação das informações
5.13 08.2.2 Rotulagem de informações
5.14 13.2.1, 13.2.2, 13.2.3 Transferência de informações
5.15 09.1.1, 09.1.2 Controle de acesso
5.16 09.2.1 Gestão de identidade
5.17 09.2.4, 09.3.1, 09.4.3 Informações de autenticação
5.18 09.2.2, 09.2.5, 09.2.6 Direitos de acesso
5.19 15.1.1 Segurança da informação nas relações com
fornecedores
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
178
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.1 (continuação)
ABNT NBR ISO/IEC 27002
Identifcador do controle
ABNT NBR ISO/IEC 27002:2013
Identifcador do controle Nome do controle
5.20 15.1.2 Abordagem da segurança da informação nos
contratos de fornecedores
5.21 15.1.3 Gestão da segurança da informação na cadeia
de fornecimento de TIC
5.22 15.2.1, 15.2.2 Monitoramento, análise crítica e gestão de
mudanças dos serviços de fornecedores
5.23 Novo Segurança da informação para uso de serviços
em nuvem
5.24 16.1.1 Planejamento e preparação da gestão de
incidentes de segurança da informação
5.25 16.1.4 Avaliação e decisão sobre eventos de
segurança da informação
5.26 16.1.5 Resposta a incidentes de segurança
da informação
5.27 16.1.6 Aprendizado com incidentes de segurança
da informação
5.28 16.1.7 Coleta de evidências
5.29 17.1.1, 17.1.2, 17.1.3 Segurança da informação durante a disrupção
5.30 Novo Prontidão de TIC para continuidade de negócios
5.31 18.1.1, 18.1.5 Requisitos legais, estatutários, regulamentares
e contratuais
5.32 18.1.2 Direitos de propriedade intelectual
5.33 18.1.3 Proteção de registros
5.34 18.1.4 Privacidade e proteção de DP
5.35 18.2.1 Análise crítica independente da segurança
da informação
5.36 18.2.2, 18.2.3 Conformidade com políticas, regras e normas
para segurança da informação
5.37 12.1.1 Documentação dos procedimentos de operação
6.1 07.1.1 Seleção
6.2 07.1.2 Termos e condições de contratação
6.3 07.2.2 Conscientização, educação e treinamento em
segurança da informação
6.4 07.2.3 Processo disciplinar
6.5 07.3.1 Responsabilidades após encerramento ou
mudança da contratação
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
179
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.1 (continuação)
ABNT NBR ISO/IEC 27002
Identifcador do controle
ABNT NBR ISO/IEC 27002:2013
Identifcador do controle Nome do controle
6.6 13.2.4 Acordos de confdencialidade ou não divulgação
6.7 06.2.2 Trabalho remoto
6.8 16.1.2, 16.1.3 Relato de eventos de segurança da informação
7.1 11.1.1 Perímetros de segurança física
7.2 11.1.2, 11.1.6 Entrada física
7.3 11.1.3 Segurança de escritórios, salas e instalações
7.4 Novo Monitoramento de segurança física
7.5 11.1.4 Proteção contra ameaças físicas e ambientais
7.6 11.1.5 Trabalho em áreas seguras
7.7 11.2.9 Mesa limpa e tela limpa
7.8 11.2.1 Localização e proteção de equipamentos
7.9 11.2.6 Segurança de ativos fora das instalações
da organização
7.10 08.3.1, 08.3.2, 08.3.3, 11.2.5 Mídia de armazenamento
7.11 11.2.2 Serviços de infraestrutura
7.12 11.2.3 Segurança do cabeamento
7.13 11.2.4 Manutenção de equipamentos
7.14 11.2.7 Descarte seguro ou reutilização de equipamentos
8.1 06.2.1, 11.2.8 Dispositivos endpoint do usuário
8.2 09.2.3 Direitos de acessos privilegiados
8.3 09.4.1 Restrição de acesso à informação
8.4 09.4.5 Acesso ao código-fonte
8.5 09.4.2 Autenticação segura
8.6 12.1.3 Gestão de capacidade
8.7 12.2.1 Proteção contra malware
8.8 12.6.1, 18.2.3 Gestão de vulnerabilidades técnicas
8.9 Novo Gestão de confguração
8.10 Novo Exclusão de informações
8.11 Novo Mascaramento de dados
8.12 Novo Prevenção de vazamento de dados
8.13 12.3.1 Backup das informações
8.14 17.2.1 Redundância dos recursos de tratamento
de informações
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
180
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.1 (conclusão)
ABNT NBR ISO/IEC 27002
Identifcador do controle
ABNT NBR ISO/IEC 27002:2013
Identifcador do controle Nome do controle
8.15 12.4.1, 12.4.2, 12.4.3 Log
8.16 Novo Atividades de monitoramento
8.17 12.4.4 Sincronização do relógio
8.18 09.4.4 Uso de programas utilitários privilegiados
8.19 12.5.1, 12.6.2 Instalação de software em sistemas operacionais
8.20 13.1.1 Segurança de redes
8.21 13.1.2 Segurança dos serviços de rede
8.22 13.1.3 Segregação de redes
8.23 Novo Filtragem da web
8.24 10.1.1, 10.1.2 Uso de criptografa
8.25 14.2.1 Ciclo de vida de desenvolvimento seguro
8.26 14.1.2, 14.1.3 Requisitos de segurança da aplicação
8.27 14.2.5 Princípios de arquitetura e engenharia de
sistemas seguros
8.28 Novo Codifcação segura
8.29 14.2.8, 14.2.9 Testes de segurança em desenvolvimento
e aceitação
8.30 14.2.7 Desenvolvimento terceirizado
8.31 12.1.4, 14.2.6 Separação dos ambientes de desenvolvimento,
teste e produção
8.32 12.1.2, 14.2.2, 14.2.3, 14.2.4 Gestão de mudanças
8.33 14.3.1 Informações de testes
8.34 12.7.1 Proteção de sistemas de informação durante
os testes de auditoria
A Tabela B.2 fornece a correspondência de controles especifcados na ABNT NBR ISO/IEC 27002:2013
com os deste documento.
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
181
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.2 – Correspondência entre os controles da ABNT NBR ISO/IEC 27002:2013 e
os controles deste documento (continua)
ABNT NBR ISO/IEC 27002:2013
Identifcador de controle
ABNT NBR ISO/IEC 27002
Identifcador de controle
Nome de controle de acordo com
a ABNT NBR ISO/IEC 27002:2013
5 Políticas de segurança da informação
5.1 Orientação da direção para segurança
da informação
5.1.1 5.1 Políticas de segurança da informação
5.1.2 5.1 Análise crítica das políticas para segurança
da informação
6 Organização da segurança da informação
6.1 Organização interna
6.1.1 5.2 Responsabilidades e papéis da segurança
da informação
6.1.2 5.3 Segregação de funções
6.1.3 5.5 Contato com autoridades
6.1.4 5.6 Contato com grupos especiais
6.1.5 5.8 Segurança da informação no gerenciamento
de projetos
6.2 Dispositivos móveis e trabalho remoto
6.2.1 8.1 Política para uso de dispositivo móvel
6.2.2 6.7 Trabalho remoto
7 Segurança em recursos humanos
7.1 Antes da contratação
7.1.1 6.1 Seleção
7.1.2 6.2 Termos e condições de contratação
7.2 Durante a contratação
7.2.1 5.4 Responsabilidades da Direção
7.2.2 6.3 Conscientização, educação e treinamento
em segurança da informação
7.2.3 6.4 Processo disciplinar
7.3 Encerramento e mudança de contratação
7.3.1 6.5 Responsabilidades pelo encerramento ou
mudança da contratação
8 Gestão de ativos
8.1 Responsabilidade pelos ativos
8.1.1 5.9 Inventário dos ativos
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
182
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.2 (continuação)
ABNT NBR ISO/IEC 27002:2013
Identifcador de controle
ABNT NBR ISO/IEC 27002
Identifcador de controle
Nome de controle de acordo com
a ABNT NBR ISO/IEC 27002:2013
8.1.2 5.9 Proprietário dos ativos
8.1.3 5.10 Uso aceitável dos ativos
8.1.4 5.11 Devolução de ativos
8.2 Classifcação da informação
8.2.1 5.12 Classifcação da informação
8.2.2 5.13 Rótulos e tratamento da informação
8.2.3 5.10 Tratamento dos ativos
8.3 Tratamento de mídias
8.3.1 7.10 Gerenciamento de mídias removíveis
8.3.2 7.10 Descarte de mídias
8.3.3 7.10 Transferência física de mídias
9 Controle de acesso
9.1 Requisitos do negócio para controle de acesso
9.1.1 5.15 Política de controle de acesso
9.1.2 5.15 Acesso às redes e aos serviços de rede
9.2 Gerenciamento de acesso do usuário
9.2.1 5.16 Registro e cancelamento de usuário
9.2.2 5.18 Provisionamento para acesso de usuário
9.2.3 8.2 Gerenciamento de direitos de acesso
privilegiado
9.2.4 5.17 Gerenciamento da informação de autenticação
secreta de usuários
9.2.5 5.18 Análise crítica dos direitos de acesso
de usuário
9.2.6 5.18 Retirada ou ajuste dos direitos de acesso
9.3 Responsabilidades dos usuários
9.3.1 5.17 Uso da informação de autenticação secreta
9.4 Controle de acesso ao sistema e à aplicação
9.4.1 8.3 Restrição de acesso à informação
9.4.2 8.5 Procedimentos seguros de entrada no sistema
(log on)
9.4.3 5.17 Sistema de gerenciamento de senha
9.4.4 8.18 Uso de programas utilitários privilegiados
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
183
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.2 (continuação)
ABNT NBR ISO/IEC 27002:2013
Identifcador de controle
ABNT NBR ISO/IEC 27002
Identifcador de controle
Nome de controle de acordo com
a ABNT NBR ISO/IEC 27002:2013
9.4.5 8.4 Controle de acesso ao código-fonte
de programas
10 Criptografa
10.1 Controles criptográfcos
10.1.1 8.24 Política para o uso de controles criptográfcos
10.1.2 8.24 Gerenciamento de chaves
11 Segurança física e do ambiente
11.1 Áreas seguras
11.1.1 7.1 Perímetro de segurança física
11.1.2 7.2 Controles de entrada física
11.1.3 7.3 Segurança em escritórios, salas e instalações
11.1.4 7.5 Proteção contra ameaças externas e
do meio ambiente
11.1.5 7.6 Trabalhando em áreas seguras
11.1.6 7.2 Áreas de entrega e de carregamento
11.2 Equipamento
11.2.1 7.8 Localização e proteção do equipamento
11.2.2 7.11 Utilidades
11.2.3 7.12 Segurança do cabeamento
11.2.4 7.13 Manutenção dos equipamentos
11.2.5 7.10 Remoção de ativos
11.2.6 7.9 Segurança de equipamentos e ativos fora
das dependências da organização
11.2.7 7.14 Reutilização ou descarte seguro
de equipamentos
11.2.8 8.1 Equipamento de usuário sem monitoração
11.2.9 7.7 Política de mesa limpa e tela limpa
12 Segurança nas operações
12.1 Responsabilidades e procedimentos
operacionais
12.1.1 5.37 Documentação dos procedimentos
de operação
12.1.2 8.32 Gestão de mudanças
12.1.3 8.6 Gestão de capacidade
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
184
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.2 (continuação)
ABNT NBR ISO/IEC 27002:2013
Identifcador de controle
ABNT NBR ISO/IEC 27002
Identifcador de controle
Nome de controle de acordo com
a ABNT NBR ISO/IEC 27002:2013
12.1.4 8.31 Separação dos ambientes de
desenvolvimento, teste e produção
12.2 Proteção contra malware
12.2.1 8.7 Controles contra malware
12.3 Cópias de segurança
12.3.1 8.13 Cópia de segurança das informações
12.4 Registro e monitoramento
12.4.1 8.15 Registro de eventos
12.4.2 8.15 Proteção das informações dos registros
de evento (logs)
12.4.3 8.15 Registros de eventos (log) de administrador
e operador
12.4.4 8.17 Sincronização dos relógios
12.5 Controle de software operacional
12.5.1 8.19 Instalação de software nos sistemas
operacionais
12.6 Gestão de vulnerabilidades técnicas
12.6.1 8.8 Gestão de vulnerabilidades técnicas
12.6.2 8.19 Restrições quanto à instalação de software
12.7 Considerações quanto à auditoria
de sistemas de informação
12.7.1 8.34 Controles de auditoria de sistemas
de informação
13 Segurança nas comunicações
13.1 Gerenciamento da segurança em redes
13.1.1 8.20 Controles de redes
13.1.2 8.21 Segurança dos serviços de rede
13.1.3 8.22 Segregação de redes
13.2 Transferência de informação
13.2.1 5.14 Políticas e procedimentos para transferência
de informações
13.2.2 5.14 Acordos para transferência de informações
13.2.3 5.14 Mensagens eletrônicas
13.2.4 6.6 Acordos de confdencialidade e não
divulgação
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
185
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.2 (continuação)
ABNT NBR ISO/IEC 27002:2013
Identifcador de controle
ABNT NBR ISO/IEC 27002
Identifcador de controle
Nome de controle de acordo com
a ABNT NBR ISO/IEC 27002:2013
14 Aquisição, desenvolvimento e manutenção
de sistemas
14.1 Requisitos de segurança de sistemas
de informação
14.1.1 5.8 Análise e especifcação dos requisitos
de segurança da informação
14.1.2 8.26 Serviços de aplicação seguros em redes
públicas
14.1.3 8.26 Protegendo as transações nos aplicativos
de serviços
14.2 Segurança em processos de desenvolvimento
e de suporte
14.2.1 8.25 Política de desenvolvimento seguro
14.2.2 8.32 Procedimentos para controle de mudanças
de sistemas
14.2.3 8.32 Análise crítica técnica das aplicações após
mudanças nas plataformas operacionais
14.2.4 8.32 Restrições sobre mudanças em pacotes
de software
14.2.5 8.27 Princípios para projetar sistemas seguros
14.2.6 8.31 Ambiente seguro para desenvolvimento
14.2.7 8.30 Desenvolvimento terceirizado
14.2.8 8.29 Teste de segurança do sistema
14.2.9 8.29 Teste de aceitação de sistemas
14.3 Dados para teste
14.3.1 8.33 Proteção dos dados para teste
15 Relacionamento na cadeia de suprimento
15.1 Segurança da informação na cadeia
de suprimento
15.1.1 5.19 Política de segurança da informação no
relacionamento com fornecedores
15.1.2 5.20 Identifcando segurança da informação
nos acordos com fornecedores
15.1.3 5.21 Cadeia de suprimento na tecnologia
da informação e comunicação
15.2 Gerenciamento da entrega do serviço
do fornecedor
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
186
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.2 (continuação)
ABNT NBR ISO/IEC 27002:2013
Identifcador de controle
ABNT NBR ISO/IEC 27002
Identifcador de controle
Nome de controle de acordo com
a ABNT NBR ISO/IEC 27002:2013
15.2.1 5.22 Monitoramento e análise crítica de serviços
com fornecedores
15.2.2 5.22 Gerenciamento de mudanças para serviços
com fornecedores
16 Gestão de incidentes de segurança
da informação
16.1 Gestão de incidentes de segurança da
informação e melhorias
16.1.1 5.24 Responsabilidades e procedimentos
16.1.2 6.8 Notifcação de eventos de segurança da
informação
16.1.3 6.8 Notifcando fragilidades de segurança
da informação
16.1.4 5.25 Avaliação e decisão dos eventos de
segurança da informação
16.1.5 5.26 Resposta aos incidentes de segurança
da informação
16.1.6 5.27 Aprendendo com os incidentes de segurança
da informação
16.1.7 5.28 Coleta de evidências
17 Aspectos da segurança da informação na
gestão da continuidade do negócio
17.1 Continuidade da segurança da informação
17.1.1 5.29 Planejando a continuidade da segurança da
informação
17.1.2 5.29 Implementando a continuidade da segurança
da informação
17.1.3 5.29 Verifcação, análise crítica e avaliação da
continuidade da segurança da informação
17.2 Redundâncias
17.2.1 8.14 Disponibilidade dos recursos de
processamento da informação
18 Conformidade
18.1 Conformidade com requisitos legais e
contratuais
18.1.1 5.31 Identifcação da legislação aplicável e
de requisitos contratuais
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
187
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Tabela B.2 (conclusão)
ABNT NBR ISO/IEC 27002:2013
Identifcador de controle
ABNT NBR ISO/IEC 27002
Identifcador de controle
Nome de controle de acordo com
a ABNT NBR ISO/IEC 27002:2013
18.1.2 5.32 Direitos de propriedade intelectual
18.1.3 5.33 Proteção de registros
18.1.4 5.34 Proteção e privacidade de informações
de identifcação pessoal
18.1.5 5.31 Regulamentação de controles de criptografa
18.2 Análise crítica da segurança da informação
18.2.1 5.35 Análise crítica independente da segurança
da informação
18.2.2 5.36 Conformidade com as políticas e normas
de segurança da informação
18.2.3 5.36, 8.8 Análise crítica da conformidade técnica
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
188
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
Bibliografa
[1] ABNT NBR ISO 9000, Sistemas de gestão da qualidade – Fundamentos e vocabulário
[2] ISO/IEC 11770 (all parts), Information security – Key management
[3] ISO/IEC 15408 (all parts), Information technology – Security techniques – Evaluation criteria for
IT security
[4] ISO 15489 (all parts), Information and documentation – Records management
[5] ABNT NBR ISO/IEC 17788, Tecnologia da informação – Computação em nuvem – Visão geral
e vocabulário
[6] ISO/IEC 17789, Information technology – Cloud computing – Reference architecture
[7] ISO/IEC 19086 (all parts), Cloud computing – Service level agreement (SLA) framework
[8] ISO/IEC 19770 (all parts), Information technology – IT asset management
[9] ISO/IEC 19941, Information technology – Cloud computing – Interoperability and portability
[10] ISO/IEC 20889, Privacy enhancing data de-identifcation terminology and classifcation of
techniques
[11] ABNT NBR ISO 21500, Gerenciamento de projeto, programa e portfólio – Contexto e conceitos
[12] ABNT NBR ISO 21502, Gerenciamento de projetos, programas e portfólios – Orientação sobre
gerenciamento de projetos
[13] ABNT NBR ISO 22301, Segurança e resiliência – Sistema de gestão de continuidade de
negócios – Requisitos
[14] ABNT NBR ISO 22313, Segurança e resiliência – Sistemas de gestão de continuidade de
negócios – Orientações para o uso da ABNT NBR ISO 22301
[15] ABNT ISO/TS 22317, Segurança da sociedade – Sistemas de gestão de continuidade de
negócios – Diretrizes para análise de impacto nos negócios (BIA)
[16] ISO 22396, Security and resilience – Community resilience – Guidelines for information exchange
between organizations
[17] ISO/IEC/TS 23167, Information technology – Cloud computing – Common technologies and
techniques
[18] ISO/IEC 23751:–2), Information technology – Cloud computing and distributed platforms – Data
sharing agreement (DSA) framework
[19] ISO/IEC 24760 (all parts), IT Security and Privacy – A framework for identity management
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
189
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
[20] ABNT NBR ISO/IEC 27001:2013, Tecnologia da Informação – Técnicas de segurança – Sistemas
de gestão da segurança da informação– Requisitos
[21] ABNT NBR ISO/IEC 27005, Tecnologia da informação – Técnicas de segurança – Gestão de
riscos de segurança da informação
[22] ABNT NBR ISO/IEC 27007, Segurança da informação, segurança cibernética e proteção da
privacidade – Diretrizes para auditoria de sistemas de gestão da segurança da informação
[23] ISO/IEC/TS 27008, Information technology – Security techniques – Guidelines for the assessment
of information security controls
[24] ISO/IEC 27011, Information technology – Security techniques – Code of practice for Information
security controls based on ISO/IEC 27002 for telecommunications organizations
[25] ISO/IEC/TR 27016, Information technology – Security techniques – Information security
management – Organizational economics
[26] ABNT NBR ISO/IEC 27017, Tecnologia da informação – Técnicas de segurança – Código de
prática para controles de segurança da informação com base ABNT NBR ISO/IEC 27002 para
serviços em nuvem
[27] ABNT NBR ISO/IEC 27018, Tecnologia da informação – Técnicas de segurança – Código de
prática para proteção de dados pessoais (DP) em nuvens públicas que atuam como operadores
de DP
[28] ISO/IEC 27019, Information technology – Security techniques – Information security controls for
the energy utility industry
[29] ISO/IEC 27031, Information technology – Security techniques – Guidelines for information and
communication technology readiness for business continuity
[30] ISO/IEC 27033 (all parts), Information technology – Security techniques – Network security
[31] ISO/IEC 27034 (all parts), Information technology – Application security
[32] ISO/IEC 27035 (all parts), Information technology – Security techniques – Information security
incident management
[33] ISO/IEC 27036 (all parts), Information technology – Security techniques – Information security for
supplier relationships
[34] ABNT NBR ISO/IEC 27037, Tecnologia da informação – Técnicas de segurança – Diretrizes para
identifcação, coleta, aquisição e preservação de evidência digital
[35] ISO/IEC 27040, Information technology – Security techniques – Storage security
[36] ISO/IEC 27050 (all parts), Information technology – Electronic discovery
[37] ISO/IEC/TS 27110, Information technology, cybersecurity and privacy protection – Cybersecurity
framework development guidelines
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
190
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
[38] ABNT NBR ISO/IEC 27701, Técnicas de segurança – Extensão das ABNT NBR ISO/IEC 27001
e ABNT NBR ISO/IEC 27002 para gestão da privacidade da informação – Requisitos e diretrizes
[39] ABNT NBR ISO 27799, Informática em saúde – Gestão de segurança da informação em saúde
utilizando a ISO/IEC 27002
[40] ABNT NBR ISO/IEC 29100, Tecnologia da informação – Técnicas de segurança – Estrutura de
Privacidade
[41] ISO/IEC 29115, Information technology – Security techniques – Entity authentication assurance
framework
[42] ABNT NBR ISO/IEC 29134, Tecnologia da informação – Técnicas de segurança – Avaliação de
impacto de privacidade – Diretrizes
[43] ISO/IEC 29146, Information technology – Security techniques – A framework for access management
[44] ISO/IEC 29147, Information technology – Security techniques – Vulnerability disclosure
[45] ISO 30000, Ships and marine technology – Ship recycling management systems – Specifcations
for management systems for safe and environmentally sound ship recycling facilities
[46] ISO/IEC 30111, Information technology – Security techniques – Vulnerability handling processes
[47] ABNT NBR ISO 31000:2018, Gestão de riscos – Diretrizes
[48] ABNT NBR IEC 31010, Gestão de riscos – Técnicas para o processo de avaliação de riscos
[49] ISO/IEC 22123 (all parts), Information technology – Cloud computing
[50] ISO/IEC 27555, Information security, cybersecurity and privacy protection – Guidelines on
personally identifable information deletion
[51] Information Security Forum (ISF). The ISF Standard of Good Practice for Information Security
2020, August 2018. Available at https: /www.securityforum.org/tool/standard-of-good-practice-forinformation-security-2020/
[52] ITIL® Foundation, ITIL 4 edition, AXELOS, February 2019, ISBN: 9780113316076
[53] National Institute of Standards and Technology (NIST), SP 800-53B, Control Baselines for
Information Systems and Organizations, Revision 5 (Draft). July 2020 [viewed 2020-07-31].
Available at https://doi.org/10.6028/NIST.SP.800-53B-draft
[54] National Institute of Standards and Technology (NIST), SP 800-37, Risk Management Framework
for Information Systems and Organizations: A System Life Cycle Approach for Security and
Privacy, Revision 2. December 2018 [viewed 2020-07-31]. Available at https://doi.org/10.6028/
NIST.SP.800-37r2
[55] Open Web Application Security Project (OWASP). OWASP Top Ten – 2017, The Ten Most Critical
Web Application Security Risks, 2017 [viewed 2020-07-31]. Available at https://owasp.org/wwwproject-top-ten/OWASP_Top_Ten_2017/
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
191
ABNT NBR ISO/IEC 27002:2022
© ISO/IEC 2022 – © ABNT 2022 – Todos os direitos reservados
[56] Open Web Application Security Project (OWASP). OWASP Developer Guide, [online] [viewed
2020-10-22]. Available at https://github.com/OWASP/DevGuide
[57] National Institute of Standards and Technology (NIST), SP 800-63B, Digital Identity Guidelines;
Authentication and Lifecycle Management. February 2020 [viewed 2020-07-31]. Available at
https://doi.org/10.6028/NIST.SP.800-63b
[58] OASIS, Structured Threat Information Expression. Available at https://www.oasis-open.org/
standards#stix2.0
[59] OASIS, Trusted Automated Exchange of Indicator Information. Available at https://www.oasisopen.org/standards#taxii2.0
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]
Arquivo de impressão gerado em 01/01/2024 10:50:11 de uso exclusivo de CLEVERIS TECNOLOGIA LTDA [69.283.661/0001-78]