A Ideal Metrics apoia organizações na implantação do sistema de gestão da segurança da informação e na preparação para a certificação NBR ISO/IEC 27001:2022.
O sistema é montado com a equipe da organização, a partir dos ativos de informação e dos riscos reais da operação.
Detalhes em Como trabalhamos.
O que a norma exige
A ISO/IEC 27001 é a norma internacional de sistemas de gestão da segurança da informação, publicada pela ISO e pela IEC. Ela exige que a organização identifique os ativos de informação, avalie os riscos sobre cada um e escolha, entre os 93 controles do Anexo A, os que vai aplicar, justificando os que deixa de fora.
O resultado é uma Declaração de Aplicabilidade (SoA, Statement of Applicability): um documento que diz, controle a controle, o que a organização faz para proteger a informação e por quê. Para a LGPD, essa declaração é a evidência das medidas técnicas e administrativas que a lei pede. O diagrama abaixo mostra o caminho da avaliação de riscos até a declaração e as quatro famílias de controles.
O que fazemos
Inventário de ativos de informação
Sistemas, dados, pessoas e locais, cada um com o seu proprietário.
Avaliação e tratamento de riscos
Por ativo, ameaça e vulnerabilidade, com plano de tratamento aprovado.
Declaração de Aplicabilidade
Os 93 controles do Anexo A examinados um a um pela ISO/IEC 27002, com justificativa, situação, responsável e evidência.
Políticas e procedimentos
Segurança da informação, acessos, classificação e uso aceitável.
Gestão de incidentes
Relato, avaliação, resposta e aprendizado.
Conscientização e treinamento
Equipes, terceiros e a direção.
Por que a Ideal Metrics
- Profissionais capacitados em sistemas de gestão da segurança da informação.
- Mesma estrutura das outras normas: a 27001 entra no sistema de gestão existente, sem sistema paralelo.
- Riscos por ativo, não por modelo pronto.
- Declaração de Aplicabilidade (SoA) justificada controle a controle.
- LGPD no mesmo sistema: os controles do Anexo A são a evidência das medidas do art. 46.
- Equipe em atuação desde 1998.
Aplicação
- Todas as organizações, independentemente do tipo, do tamanho ou da natureza (item 1 da NBR ISO/IEC 27001:2022).
- Os requisitos das seções 4 a 10 não admitem exclusão; os controles do Anexo A são escolhidos pela avaliação de riscos e justificados na Declaração de Aplicabilidade.
Por que implantar agora
Fontes: ISO Survey 2025 (certificados válidos em 31-dez-2025) · ISO Open Data, consulta de 17-out-2026 · Lei 13.709/2018, arts. 46, 52 e 65 (planalto.gov.br, 20-out-2026).
- LGPD: as sanções do art. 52 estão em vigor desde 01-ago-2021; o art. 46 exige medidas de segurança, e o sistema é a evidência delas.
- Clientes e contratos: a certificação entra como requisito de fornecedor, em especial em serviços com dados de terceiros.
- Integração: a mesma estrutura da ISO 9001, da ISO 14001 e da ISO 45001, um sistema só.
Perguntas frequentes
O que é a ISO/IEC 27001?
A ISO/IEC 27001 é a norma internacional de sistemas de gestão da segurança da informação. Um sistema de gestão da segurança da informação identifica os ativos de informação, avalia os riscos e aplica controles para proteger a confidencialidade, a integridade e a disponibilidade da informação.
A certificação ISO 27001 atende à LGPD?
A certificação não substitui a lei. O art. 46 da LGPD exige medidas de segurança técnicas e administrativas, e o sistema de gestão organiza essas medidas e a evidência de cada uma. A LGPD traz ainda obrigações que a norma não cobre, como a base legal do tratamento e os direitos do titular.
O que é a Declaração de Aplicabilidade (SoA)?
É o documento que lista os controles necessários, a justificativa de cada inclusão e de cada exclusão do Anexo A, e se o controle está implementado. A norma pede esse documento no item 6.1.3, e o auditor de certificação parte dele.
É preciso implantar os 93 controles?
Não. Os controles necessários saem da avaliação de riscos da organização. O Anexo A serve para conferir que nenhum controle necessário ficou de fora; a exclusão de um controle precisa de justificativa na Declaração de Aplicabilidade.
Quanto tempo leva a implantação?
O prazo é definido no diagnóstico, conforme o escopo e a maturidade do sistema que já existe. As visitas mensais são combinadas no plano diretor, e a consultoria é dimensionada em homens/dia. O modelo está em Como trabalhamos.
Quem certifica?
A certificação é concedida por organismo acreditado. A Ideal Metrics implanta o sistema e prepara a organização para a certificação.
Normas de referência
- ABNT NBR ISO/IEC 27001:2022, com a Emenda 1:2024 (mudanças climáticas nos itens 4.1 e 4.2): segurança da informação, segurança cibernética e proteção à privacidade, sistemas de gestão da segurança da informação, requisitos; adoção da ISO/IEC 27001:2022, 3ª edição, publicada em 25-out-2022.
- ABNT NBR ISO/IEC 27002:2022: controles de segurança da informação, o «como implementar» de cada controle do Anexo A, com a mesma numeração.
- ABNT NBR ISO 31000:2018: gestão de riscos, diretrizes, com as quais a avaliação e o tratamento de riscos da 27001 estão alinhados.
- Lei 13.709/2018 (LGPD): proteção de dados pessoais; art. 46, medidas de segurança.
- Método: ABNT NBR ISO 20700:2025 (serviços de consultoria organizacional) e ABNT NBR ISO 10019:2007 (seleção de consultores).
Situação das normas conferida no ISO Open Data em 17-out-2026; LGPD no texto compilado do Planalto em 20-out-2026.
Implantação da NBR ISO/IEC 27001:2022: contato com a equipe técnica.
