Checklist de prontidão para a ISO 27001:2022

Checklist de prontidão para a ISO 27001:2022: Cláusulas 4 a 10 do SGSI

Página 2 de 6

0Em conformidade

0Parcial

0Não Conforme

0N/A

de 0 controles avaliados

Como usar: Clique em um indicador de status para alternar entre SIM / PARCIAL / NÃO / N/A. Clique nas colunas Evidências ou Observações para digitar diretamente. A barra de pontuação acima é atualizada automaticamente à medida que você preenche a lista de verificação.

Cláusulas obrigatórias do SGSI

ISO/IEC 27001:2022 Cláusulas 4–10 | 25 itens de verificação

Cláusula	Requisitos e Pontos de Verificação de Auditoria	Status	Evidências Necessárias
Cláusula 4: Contexto da Organização
4.1	Compreendendo a Organização e seu Contexto • Questões internas e externas que afetam os SI são documentadas e revisadas em intervalos planejados? • A análise de contexto (PESTLE/SWOT ou equivalente) é referenciada nas decisões sobre o escopo do SGSI? • As alterações climáticas e os fatores geopolíticos foram considerados na atualização da ISO 27001:2022?	—	Documento de análise de contexto; ata da reunião do conselho
4.2	Compreensão das necessidades e expectativas das partes interessadas • As partes interessadas (clientes, reguladores, funcionários, fornecedores) foram identificadas e documentadas? • Os requisitos e expectativas de cada parte foram registrados? • As obrigações contratuais e regulamentares de SI foram contempladas?	—	Cadastro de partes interessadas; cadastro de obrigações regulatórias
4.3	Determinação do Escopo do SGSI • A declaração de escopo do SGSI está formalmente documentada, abrangendo todos os locais, processos e sistemas aplicáveis? • Exclusões do escopo identificadas e justificadas com fundamentação? • O escopo é revisto e atualizado quando ocorrem mudanças organizacionais?	—	Declaração de Escopo do SGSI; justificativa de exclusão
4.4	Sistema de Gestão de Segurança da Informação • O SGSI (Sistema de Gestão de Segurança da Informação) foi estabelecido, implementado, mantido e continuamente aprimorado de acordo com a norma? • Os processos do SGSI e suas interações estão definidos e documentados? • Há evidências da operação do SGSI (registros, logs, atas de reuniões) mantidas?	—	Mapa de processos do SGSI; registros operacionais
Cláusula 5: Liderança
5.1	Liderança e Compromisso • A alta direção demonstra comprometimento por meio da alocação de recursos, comunicação e participação ativa no SGSI? • A política e os objetivos estabelecidos são consistentes com a direção estratégica? • A gestão promove ativamente a melhoria contínua?	—	Resolução do Conselho; aprovação do orçamento do SGSI; ata da reunião de revisão da gestão
5.2	Política de Segurança da Informação • A política de SI está documentada, aprovada pela alta administração e publicada? • Revisado em intervalos planejados ou após alterações significativas? • A informação foi comunicada a todos os funcionários e partes externas relevantes?	—	Política de SI; registro de aprovação da gerência; comprovante de distribuição
5.3	Funções, responsabilidades e autoridades organizacionais • Os papéis do SGSI (CISO, responsável pelos riscos, responsável pelos dados, responsável pelo sistema) foram formalmente definidos e atribuídos? • O processo de reporte de desempenho do SGSI à alta direção está documentado? • Quais são os papéis comunicados em toda a organização?	—	Matriz RACI; descrições de cargos; organograma com funções de TI
Cláusula 6: Planejamento
6.1.1	Ações para lidar com riscos e oportunidades: Geral • Foram identificados riscos e oportunidades relevantes para o contexto e os objetivos de SI? • Ações planejadas e integradas aos processos do SGSI? • A eficácia das ações foi avaliada?	—	Quadro de gestão de riscos; registro de riscos
6.1.2	Avaliação de Riscos de Segurança da Informação • A metodologia de avaliação de riscos está documentada com critérios de aceitação e escalas de probabilidade/impacto? • A avaliação é realizada em intervalos planejados E quando ocorrem mudanças significativas? • Há responsáveis atribuídos a cada risco identificado?	—	Metodologia de avaliação de riscos; registro de riscos preenchido com datas
6.1.3	Tratamento de Riscos de Segurança da Informação • As opções de tratamento de risco foram selecionadas e o plano de tratamento foi documentado? • Foi elaborada uma Declaração de Aplicabilidade (DA) que abrange todos os 93 controles do Anexo A, com justificativa para inclusão/exclusão? • Riscos residuais formalmente aceitos pelos responsáveis pelos riscos?	—	Plano de tratamento de riscos; SOA; registros de aceitação de riscos
6.2	Objetivos de SI e Planejamento para Alcançá-los • Os objetivos de SI estão documentados nas funções e níveis relevantes, são mensuráveis e consistentes com a política de SI? • Os planos identificam o quê, quem, quando e como serão avaliados? • Os objetivos foram monitorados e o progresso foi relatado à gerência?	—	Registro de objetivos de SI; relatórios de KPIs; contribuições para a revisão da gestão
6.3	Planejamento de Mudanças • Alterações ao SGSI realizadas de forma planejada e controlada? • Foram realizadas avaliações de impacto de SI para mudanças organizacionais ou sistêmicas significativas?	—	Registro de gerenciamento de mudanças; Avaliações de impacto de mudanças no SGSI
Cláusula 7: Suporte
7.1	Recursos • Os recursos alocados para a operação do SGSI (Sistema de Gestão de Segurança da Informação) são adequados (orçamento, pessoal, ferramentas)? • As necessidades de recursos são analisadas na reunião de gestão?	—	Orçamento do SGSI; alocação de pessoal; registros de revisão da gestão
7.2	Competência • Requisitos de competência definidos para todas as funções relevantes para a segurança da informação? • O treinamento foi fornecido e os registros mantidos para comprovar a competência? • A eficácia do treinamento foi avaliada (testes, certificações, avaliação prática)?	—	Matriz de competências; registros de treinamento; comprovante de certificação
7.3	Conscientização • Todos os funcionários estão cientes da política de SI, de sua contribuição para o SGSI e das consequências do não cumprimento? • A conscientização é feita durante a integração e regularmente depois disso? • Simulações ou avaliações de phishing são usadas para medir a eficácia?	—	Registros de conclusão de treinamento; resultados de simulação de phishing
7.4	Comunicação • O plano de comunicação de SI identifica o quê, quando, com quem e por quem? • As comunicações internas de TI (atualizações de políticas, alertas) são entregues de forma eficaz?	—	Plano de comunicações; evidências de comunicações de SI
7.5	Informação Documentada • As informações documentadas obrigatórias do SGSI foram identificadas e controladas (versão, aprovação, distribuição)? • Existe algum procedimento de controle de documentos em vigor (criação, revisão, atualização, retenção, descarte)? • Informações externas documentadas (normas, contratos) identificadas e controladas?	—	Procedimento de controle de documentos; registro de documentos; histórico de versões
Cláusula 8: Operação
8.1	Planejamento e Controle Operacional • Os processos do SGSI foram planejados, implementados, controlados e documentados? • Os processos de SI terceirizados foram identificados e controlados?	—	Procedimentos operacionais; controles de processos terceirizados
8.2	Avaliação de Riscos de Segurança da Informação (Operacional) • Avaliações de risco realizadas em intervalos planejados E desencadeadas por mudanças significativas? • Os resultados foram mantidos como informação documentada?	—	Registros de avaliação de riscos com datas; avaliações acionadas por mudanças
8.3	Tratamento de Riscos de Segurança da Informação (Operacional) • Plano de tratamento de riscos implementado com ações, responsáveis e datas-alvo? • A eficácia do tratamento é monitorada e relatada?	—	Rastreador de tratamento de risco; evidência de conclusão da ação
Cláusula 9: Avaliação de Desempenho
9.1	Monitoramento, Medição, Análise e Avaliação • As métricas de desempenho de SI são definidas, monitoradas e relatadas em intervalos planejados? • Os métodos de monitoramento produzem resultados válidos e reproduzíveis? • Os resultados foram analisados e utilizados para impulsionar melhorias?	—	Painel de KPIs de SI; metodologia de medição; relatórios de análise
9.2	Auditoria Interna • Programa de auditoria interna que abrange todas as áreas do SGSI, com critérios, escopo e frequência definidos? • Auditores selecionados para garantir objetividade e imparcialidade (sem autoauditoria)? • Resultados da auditoria comunicados à gerência; constatações acompanhadas até a sua conclusão?	—	Programa de auditoria; relatórios de auditoria; registro de acompanhamento de não conformidades
9.3	Revisão da Gestão • A revisão da gestão é realizada em intervalos planejados (pelo menos anualmente), abrangendo todos os insumos necessários? • Os dados de entrada incluem: resultados de auditoria, desempenho de segurança, status do tratamento de riscos, feedback das partes interessadas? • Os resultados (decisões, ações) foram documentados e monitorados?	—	Ata da reunião de revisão da gestão; registro de ações
Cláusula 10: Melhoria
10.1	Melhoria Contínua • Processo de melhoria contínua baseado em resultados de auditoria, dados de desempenho e resultados da análise gerencial? • Iniciativas de melhoria documentadas com resultados mensuráveis?	—	Registro de melhorias; métricas de antes/depois
10.2	Não conformidade e ação corretiva • Qual o processo para identificar, documentar e avaliar as não conformidades existentes? • Análise da causa raiz realizada; ações corretivas impedem a recorrência? • Registro de ações corretivas mantido com status e verificação de eficácia?	—	Registro de ações corretivas; análises de causa raiz; evidências de encerramento

Checklist de prontidão para a ISO 27001:2022: Anexo A.5 Controles Organizacionais

Página 3 de 6

Anexo A.5: Controles Organizacionais

37 controles

Ref	Nome do controle e pontos de verificação de auditoria	Status	Evidências Necessárias
A.5.1	Políticas de Segurança da Informação • As políticas de TI e as políticas específicas sobre tópicos estão documentadas, aprovadas pela gerência, publicadas e acessíveis a todos os funcionários? • As políticas são revistas em intervalos planejados ou após mudanças significativas? • Há registro de confirmação das políticas por parte da equipe?	—	Conjunto de políticas de SI; histórico de versões; aprovação da gerência; registro de aprovações da equipe
A.5.2	Funções e Responsabilidades de TI • Os papéis na área de SI são formalmente definidos com responsabilidades escritas (CISO, proprietários de dados, proprietários de sistemas)? • Funções atribuídas a indivíduos competentes e comunicadas em toda a organização?	—	Matriz RACI; descrições de cargos; organograma
A.5.3	Segregação de funções • Foram identificadas funções conflitantes para processos sensíveis (finanças, fornecimento de acesso, administração)? • Implementaram-se controles de segregação; controles compensatórios onde a separação total não é viável? • A segregação de funções (SoD) é revisada periodicamente e as exceções são documentadas?	—	Matriz de Segregação de Funções (SoD); controles de processo; revisões de acesso.
A.5.4	Responsabilidades de Gestão • A gerência exige ativamente que os funcionários apliquem as políticas de SI? • O compromisso foi demonstrado por meio de reuniões de segurança, comunicações e alocação de recursos?	—	Comunicações da gestão; ata do comitê diretivo de TI
A.5.5	Contato com as autoridades • Os contatos com as autoridades competentes (reguladoras, autoridades policiais, CERTs nacionais) foram mantidos? • Existe e é testado um procedimento que define quando e como contatar as autoridades?	—	Cadastro de contatos das autoridades; procedimento de escalonamento de incidentes
A.5.6	Contato com Grupos de Interesse Específico • A organização participa em fóruns de SI relevantes, ISACs ou grupos profissionais? • Informações sobre ameaças e melhores práticas compartilhadas/recebidas por meio desses canais?	—	Registros de membros; evidências de assinatura de inteligência de ameaças
A.5.7	Inteligência de Ameaças • Informações sobre ameaças coletadas de múltiplas fontes relevantes (governamentais, ISAC, fontes comerciais)? • Informações analisadas e utilizadas para atualizar avaliações de risco e decisões de controle? • O processo de inteligência de ameaças é documentado e revisado regularmente?	—	Fontes de inteligência sobre ameaças; relatórios de análise; atualizações do registro de riscos
A.5.8	SI em Gestão de Projetos • Está integrado à metodologia de gestão de projetos desde a iniciação? • As avaliações de risco são realizadas para todos os projetos significativos? • Os requisitos de SI foram rastreados e verificados no encerramento do projeto?	—	Política de gerenciamento de projetos; modelos de avaliação de riscos de SI; listas de verificação para encerramento de projetos
A.5.9	Inventário de Informações e Outros Ativos Associados • Mantém-se um inventário completo e atualizado, abrangendo informações, software, hardware e serviços? • Os registros incluem: tipo de ativo, localização, classificação e proprietário? • O inventário é revisado e conciliado em intervalos regulares?	—	Cadastro de ativos; data da última revisão; aprovações do proprietário do ativo
A.5.10	Uso Aceitável de Informações e Outros Ativos Associados • A Política de Uso Aceitável (PUA) está documentada e abrange todos os tipos de ativos relevantes? • A Política de Uso Aceitável (PUA) foi comunicada a todos os funcionários e contratados; o recebimento foi registrado? • As violações da Política de Uso Aceitável (AUP) foram monitoradas, relatadas e resolvidas?	—	Documento de Uso Aceitável; confirmações assinadas; registro de violações
A.5.11	Devolução de Ativos • O processo de devolução de ativos em caso de rescisão ou mudança de função está documentado? • Listas de verificação de devolução de ativos preenchidas e assinadas no desligamento? • O cadastro de ativos foi atualizado imediatamente após a devolução?	—	Checklist de desligamento; registros de devolução de ativos; atualizações de cadastro
A.5.12	Classificação da Informação • O esquema de classificação está documentado com categorias claras (ex.: Público/Interno/Confidencial/Restrito)? • Os critérios de classificação são aplicados de forma consistente a todos os ativos de informação? • Níveis alinhados aos requisitos legais, regulamentares e contratuais?	—	Política de classificação; cadastro de ativos com classificação; registros de treinamento
A.5.13	Rotulagem da Informação • O procedimento de rotulagem foi definido e implementado para todos os níveis de classificação? • Etiquetas aplicadas a documentos, emails, mídias de armazenamento e sistemas? • A conformidade da rotulagem foi auditada?	—	Procedimento de rotulagem; configuração da ferramenta DLP/rotulagem; resultados da auditoria
A.5.14	Transferência de Informação • As políticas e os procedimentos para transferência de informações (internas e externas) estão documentados? • Acordos de transferência com terceiros que abrangem confidencialidade e segurança? • Criptografia utilizada para transferência de informações sensíveis?	—	Política de transferência de dados; Acordos de confidencialidade; evidências de criptografia; registros de transferência
A.5.15	Controle de Acesso • A política de controle de acesso está documentada com base na necessidade de saber e no princípio do menor privilégio? • O acesso foi concedido e revogado por meio de um processo formal de aprovação? • Os direitos de acesso são revistos em intervalos regulares (pelo menos anualmente)?	—	Política de controle de acesso; registros de solicitações de acesso; revisões periódicas de acesso.
A.5.16	Gestão de Identidade • Existe um processo formal de gestão do ciclo de vida da identidade (criar, alterar, suspender, excluir)? • Contas compartilhadas/genéricas controladas, justificadas e auditadas? • Gestão de identidades integrada aos processos de admissão/transferência/desligamento de funcionários no RH?	—	Registros do sistema IAM; evidências de integração RH-TI; cadastro genérico de contas
A.5.17	Informações de autenticação • Credenciais de autenticação gerenciadas por meio de um processo formal? • As credenciais padrão foram alteradas em todos os sistemas antes da implantação? • Política de senhas/frases-senha fortes aplicada tecnicamente (comprimento, complexidade, MFA)?	—	Política de senhas; configuração do AD/IdP; auditoria de credenciais padrão
A.5.18	Direitos de Acesso • Os direitos de acesso são concedidos com base em aprovação formal e justificativa comercial? • Revisado periodicamente (trimestralmente para contas privilegiadas, anualmente para contas padrão)? • Os direitos de acesso são revogados imediatamente após o término do contrato ou mudança de função?	—	Registros de aprovação de acesso; relatórios de revisão de acesso; evidências de revogação
A.5.19	É nas relações com fornecedores • Existe alguma política documentada para a gestão de riscos de SI nas relações com fornecedores? • Os requisitos de SI foram identificados e avaliados antes da contratação de fornecedores? • As avaliações de risco de SI do fornecedor foram realizadas e documentadas?	—	Política de SI do fornecedor; avaliações de risco do fornecedor; cadastro de fornecedores
A.5.20	Está incluído nos Acordos com Fornecedores • Os contratos com fornecedores incluem requisitos de SI (proteção de dados, notificação de incidentes, direito à auditoria)? • Os contratos são revistos e atualizados quando os requisitos de TI mudam? • O cumprimento das cláusulas contratuais de SI é monitorado?	—	Contratos de fornecedores com cláusulas IS; registros de revisão de contratos
A.5.21	Gerenciando SI na Cadeia de Suprimentos de TIC • Os requisitos de SI são comunicados à cadeia de fornecimento de TIC e através dela? • Riscos de SI na cadeia de suprimentos avaliados (proveniência de hardware/software, diligência prévia de fornecedores)? • Qual o processo para verificar as práticas de SI do fornecedor e os controles do subcontratado?	—	Avaliações de risco da cadeia de suprimentos; requisitos de SI de compras; SBOM
A.5.22	Monitoramento, revisão e gestão de mudanças dos serviços de fornecedores • O desempenho do fornecedor é monitorado em relação às obrigações contratuais? • As avaliações de serviço do fornecedor são realizadas em intervalos planejados? • Alterações nos serviços do fornecedor avaliadas quanto ao impacto nos sistemas de informação?	—	Atas de revisão de fornecedores; relatórios de desempenho de SLA; avaliações de mudanças
A.5.23	É para Utilização de Serviços em Nuvem • Existe alguma política documentada para aquisição, uso, gerenciamento e desativação de serviços em nuvem? • Os contratos de nuvem são analisados quanto às cláusulas de segurança da informação (localização de dados, criptografia, direitos de auditoria)? • Serviços em nuvem avaliados de acordo com a classificação organizacional e os critérios de risco?	—	Política de utilização da nuvem; contratos com fornecedores; avaliações de risco na nuvem
A.5.24	Planejamento e Preparação para o Gerenciamento de Incidentes de SI • O procedimento de gerenciamento de incidentes de SI está documentado com funções, caminhos de escalonamento e cronogramas? • Equipe de resposta a incidentes definida, treinada e disponível 24 horas por dia, 7 dias por semana? • O procedimento foi testado (em simulação ou exercício prático) em intervalos planejados?	—	Plano de resposta a incidentes; atribuições de equipe; relatórios de exercícios
A.5.25	Avaliação e Decisão sobre Eventos de SI • Qual o processo definido para categorizar e priorizar eventos de SI de acordo com critérios de gravidade? • A triagem foi realizada dentro de prazos definidos?	—	Procedimento de triagem de eventos; critérios de classificação de gravidade; registros de eventos
A.5.26	Resposta a incidentes de segurança da informação • Manual de resposta a incidentes que abrange contenção, erradicação e recuperação? • Incidentes atendidos dentro dos SLAs definidos? • As provas foram preservadas para potenciais fins legais ou regulamentares?	—	Manual de resposta a incidentes; registros de incidentes; procedimento de manuseio de evidências
A.5.27	Aprendendo com incidentes de segurança da informação • As análises pós-incidente (PIRs) são realizadas para todos os incidentes significativos? • Lições aprendidas documentadas e comunicadas? • Incidentes recorrentes monitorados; causas raízes abordadas por meio de ações corretivas?	—	Relatórios PIR; registro de lições aprendidas; registros de ações corretivas
A.5.28	Coleta de Evidências • Os procedimentos para coleta, preservação e manuseio de evidências forenses digitais estão documentados? • A cadeia de custódia foi mantida para todas as evidências coletadas?	—	Procedimento de manuseio de evidências; formulários de cadeia de custódia; registros de treinamento
A.5.29	IS Durante Interrupção • Os controles de SI são mantidos durante incidentes disruptivos? • Continuidade da segurança da informação coberta no PCN/PRD e testada nos exercícios?	—	BCP/DRP com seção IS; resultados do teste de continuidade IS
A.5.30	Preparação das TIC para a Continuidade dos Negócios • Os objetivos de recuperação de TIC (RTO/RPO) foram definidos e documentados para todos os sistemas críticos? • As capacidades de redundância e failover estão implementadas e testadas? • A continuidade das TIC está integrada ao programa geral de continuidade de negócios?	—	Plano de Continuidade de Negócios de TIC; Registro RTO/RPO; Resultados do teste de Recuperação de Desastres
A.5.31	Requisitos Legais, Estatutários, Regulamentares e Contratuais • Os requisitos legais, regulamentares e contratuais aplicáveis em matéria de SI foram identificados e documentados? • Qual o processo para acompanhar as alterações nos requisitos existentes? • Obrigações registradas em um cadastro de conformidade e atribuídas aos proprietários?	—	Registro de obrigações legais/regulamentares; processo de acompanhamento da conformidade
A.5.32	Direitos de Propriedade Intelectual • Quais os procedimentos implementados para garantir a conformidade com os direitos de propriedade intelectual (licenciamento de software, direitos autorais, patentes)? • O registro de licenças de software é mantido e conciliado?	—	Registro de licenças de software; política de propriedade intelectual; registros de treinamento
A.5.33	Proteção de Registros • O cronograma de retenção de registros foi definido, documentado e implementado? • Os registros de TI estão protegidos contra perda, destruição, falsificação e acesso não autorizado? • Os registros são descartados com segurança ao final do período de retenção?	—	Cronograma de retenção; procedimento de gestão de registros; descarte de registros
A.5.34	Privacidade e Proteção de Informações Pessoais Identificáveis • A política de privacidade/proteção de dados está documentada e implementada? • Existe um processo de DPIA (Avaliação de Impacto sobre a Proteção de Dados) em vigor para os sistemas que processam dados pessoais? • Requisitos de tratamento de informações pessoais identificáveis incorporados em contratos de sistemas e fornecedores?	—	Política de privacidade; Registro DPIA; Acordos DPA; ROPA
A.5.35	Revisão Independente de SI • Revisões independentes de SI (auditoria interna, avaliação externa) realizadas em intervalos planejados? • Os resultados da revisão foram relatados à gerência; as conclusões foram acompanhadas até a sua conclusão?	—	Relatórios de auditoria interna; relatórios de avaliação externa; rastreador de não conformidades
A.5.36	Conformidade com as Políticas, Regras e Normas de SI • São realizadas revisões de conformidade regulares em relação às políticas e normas de SI? • A não conformidade foi documentada, corrigida e acompanhada até sua resolução?	—	Relatórios de monitoramento de conformidade; declarações da gerência; registro de não conformidades
A.5.37	Procedimentos Operacionais Documentados • Os procedimentos operacionais para os processos relevantes para os SI estão documentados e disponíveis para quem deles necessita? • Os procedimentos são revistos e atualizados quando os processos mudam?	—	Biblioteca de procedimentos; registros de controle de versão; registros de revisão

Checklist de prontidão para a ISO 27001:2022: A.6 Controles de Pessoas e A.7 Controles Físicos

Página 4 de 6

Anexo A.6: Controles de Pessoas

8 controles

Ref	Nome do controle e pontos de verificação de auditoria	Status	Evidências Necessárias
A.6.1	Triagem • Verificação de antecedentes realizada antes da contratação, compatível com a sensibilidade da função e o acesso aos dados? • Os resultados da triagem são documentados e mantidos em sigilo? • Reavaliação realizada para funções de alto risco ou mudanças significativas?	—	Política de triagem pré-emprego; registros do provedor de triagem; arquivos de RH
A.6.2	Termos e Condições de Emprego • Os contratos de trabalho incluem responsabilidades de TI, confidencialidade e obrigações de uso aceitável? • As responsabilidades são comunicadas antes da concessão do acesso? • Os contratos são revistos e atualizados quando os requisitos de TI mudam?	—	Modelo de contrato de trabalho; contratos assinados; revisão de cláusulas de segurança da informação.
A.6.3	Conscientização, Educação e Treinamento em SI • O programa de conscientização sobre SI é ministrado na integração e em intervalos regulares posteriormente? • Treinamento adaptado a diferentes funções (técnicas, gerenciais, de pessoal geral)? • A eficácia do treinamento foi medida (avaliações, simulações de phishing, taxas de conclusão)?	—	Plano de treinamento; registros de conclusão; resultados da simulação de phishing; pontuações de avaliação
A.6.4	Processo Disciplinar • O processo disciplinar formal para violações da política de SI foi documentado e comunicado? • Aplicadas de forma consistente; ações proporcionais e documentadas?	—	Política disciplinar; Registros de RH de ações disciplinares relacionadas a SI
A.6.5	Responsabilidades após o término ou alteração do vínculo empregatício • As responsabilidades do IS após o término do contrato estão documentadas (confidencialidade, devolução de ativos, revogação de acesso)? • Os acordos de confidencialidade e as obrigações de confidencialidade que sobrevivem à rescisão são aplicados? • O processo de desativação de conta aciona a revogação de acesso e a recuperação de ativos em tempo hábil?	—	Checklist desligamento; acordo de confidencialidade pós-rescisão; registros de revogação de acesso
A.6.6	Acordos de Confidencialidade ou Não Divulgação • Existem acordos de confidencialidade (NDAs) em vigor para todos os funcionários, contratados e terceiros relevantes? • Os acordos incluem obrigações específicas de SI (âmbito, duração, consequências)? • Os acordos de confidencialidade assinados foram mantidos e as violações foram monitoradas e as medidas cabíveis foram tomadas?	—	Modelo de NDA; registro de NDA assinado; registro de violações
A.6.7	Trabalho Remoto • Existe um documento que documente a política de trabalho remoto, abrangendo locais aprovados, dispositivos e requisitos de segurança? • Controles de acesso remoto implementados: VPN, MFA, criptografia de endpoint, privacidade de tela? • Os riscos do trabalho remoto foram avaliados e os controles verificados por meio de monitoramento?	—	Política de trabalho remoto; registros de VPN; configuração de MDM; evidências de MFA
A.6.8	Relatório de Eventos de Segurança da Informação • Existe um mecanismo claro e acessível para que os funcionários relatem incidentes de segurança da informação? • Funcionários treinados para reconhecer e relatar eventos de segurança da informação prontamente? • Relatórios reconhecidos e acompanhados; volumes de relatórios monitorados?	—	Documentação do canal de relatórios; registros de treinamento; estatísticas do log de eventos

Anexo A.7: Controles Físicos

14 controles

Ref	Nome do controle e pontos de verificação de auditoria	Status	Evidências Necessárias
A.7.1	Perímetros de Segurança Física • Os perímetros de segurança física foram definidos e documentados para todas as instalações? • Perímetros protegidos com barreiras adequadas; todos os pontos de entrada/saída controlados e monitorados?	—	Planta das instalações; registros do sistema de controle de acesso; relatórios de inspeção de segurança
A.7.2	Entrada Física • Acesso a áreas seguras controladas por autenticação (cartão, PIN, biometria)? • O acesso de visitantes é registrado, com tempo limitado e acompanhado durante todo o período? • Os registros de acesso são revisados regularmente em busca de anomalias?	—	Registros de controle de acesso; cadastro de visitantes; registros de revisão de acesso
A.7.3	Segurança de escritórios, salas e instalações • Escritórios protegidos contra acesso não autorizado? • Os ativos estão seguros quando as áreas estão desocupadas? • Equipe de limpeza/manutenção supervisionada em áreas sensíveis?	—	Política de segurança física; registros de inspeção; registros de acesso de terceiros
A.7.4	Monitoramento de Segurança Física • Existe algum sistema de videovigilância ou monitorização equivalente em áreas críticas e sensíveis? • Alarmes e detecção de intrusão operacionais, testados e monitorados 24 horas por dia, 7 dias por semana? • Os registros de monitoramento são mantidos conforme as exigências legais e revisados regularmente?	—	Especificações do sistema de CFTV; registros de testes de alarme; política de retenção de monitoramento
A.7.5	Proteção contra ameaças físicas e ambientais • Ameaças físicas/ambientais identificadas (incêndio, inundação, falha de energia, condições climáticas extremas)? • Quais as contramedidas implementadas (supressão de incêndio, barreiras contra inundações, UPS, controle de temperatura)? • Os controles foram testados e mantidos em intervalos planejados?	—	Avaliação de risco ambiental; registros de testes de incêndio/inundação; registros de testes de UPS
A.7.6	Trabalhando em Áreas Seguras • Os procedimentos para trabalhar em áreas seguras foram definidos e comunicados? • Fotografia/gravação restritas; áreas seguras inspecionadas regularmente?	—	Procedimentos de área segura; registros de inspeção; sinalização
A.7.7	Mesa limpa e tela limpa • A política de mesa e tela limpas está documentada e comunicada? • Bloqueio automático de telas não supervisionadas imposto via GPO ou MDM? • Auditorias de conformidade realizadas; medidas tomadas em relação às conclusões?	—	Política de mesa limpa; configurações de bloqueio de tela GPO/MDM; relatórios de auditoria
A.7.8	Localização e proteção de equipamentos • Equipamentos instalados de forma a minimizar o risco ambiental e com acesso restrito à vista do público? • Equipamentos protegidos contra flutuações de energia (proteção contra surtos, UPS)?	—	Plano de instalações; avaliação da localização dos equipamentos; comprovação da proteção de energia
A.7.9	Segurança de ativos fora das instalações • Existe alguma política documentada para ativos retirados das instalações (criptografia, rastreamento, seguro)? • Ativos externos criptografados em repouso e rastreados? • O processo para relatar e responder a bens perdidos/roubados foi definido e testado?	—	Política de ativos fora das instalações; evidências de criptografia; registros de incidentes de perda/roubo
A.7.10	Meios de armazenamento • Mídia removível gerenciada e controlada (registro, autorização, rastreamento)? • Os meios de comunicação são higienizados antes da reutilização e destruídos com segurança após o descarte? • O registro de meios de comunicação social foi mantido e conciliado?	—	Política de gestão de meios de comunicação; registro de meios de comunicação; certificados de destruição
A.7.11	Apoio às empresas de serviços públicos • Utilidades críticas (energia, refrigeração) protegidas com redundância? • A capacidade do UPS e do gerador foi testada em intervalos planejados? • Falhas nos serviços públicos monitoradas com alertas automatizados?	—	Registros de testes de UPS; registros de testes de geradores; alertas de monitoramento de serviços públicos
A.7.12	Segurança de cabeamento • Os cabos de energia e de rede estão protegidos contra interceptação, interferência e danos físicos? • Os cabos estão documentados, etiquetados e as salas de comunicações estão fisicamente protegidas?	—	Diagrama de cabeamento; registros de inspeção física; registros de acesso à sala de comunicações
A.7.13	Manutenção de Equipamentos • Os equipamentos são mantidos de acordo com as especificações do fabricante e os registros são mantidos? • Pessoal de manutenção terceirizado autorizado, supervisionado e registrado?	—	Cronograma de manutenção; registros de serviço; registros de acesso de terceiros
A.7.14	Descarte ou reutilização segura de equipamentos • Existe um procedimento seguro de destruição de dados implementado antes do descarte ou reutilização de equipamentos? • Certificados de destruição obtidos de fornecedores terceirizados de descarte? • Os registros de descarte de equipamentos são mantidos?	—	Procedimento de eliminação; certificados de destruição; registro de eliminação

Checklist de prontidão para ISO 27001:2022: Anexo A.8 Controles tecnológicos (A.8.1–A.8.17)

Página 5 de 6

Anexo A.8: Controles Tecnológicos

34 controles | Parte 1 de 2: A.8.1 a A.8.17

Ref	Nome do controle e pontos de verificação de auditoria	Status	Evidências Necessárias
A.8.1	Dispositivos de ponto final do usuário • Existe alguma política documentada para gerenciamento de dispositivos de endpoint, abrangendo dispositivos corporativos e BYOD? • Todos os endpoints estão inscritos no MDM/EMM com a linha de base de segurança aplicada (criptografia, bloqueio de tela, antivírus, aplicação de patches)? • O procedimento para dispositivo perdido/roubado foi documentado, testado e a capacidade de apagar remotamente os dados foi verificada?	—	Política de endpoint; relatório de inscrição no MDM; evidência de teste de limpeza remota
A.8.2	Direitos de Acesso Privilegiado • As contas privilegiadas são inventariadas, minimizadas e revisadas pelo menos trimestralmente? • Existe alguma solução PAM implementada para o armazenamento seguro de credenciais de administrador e gravação de sessões? • O acesso privilegiado é concedido sob demanda ou de acordo com a necessidade?	—	Registro de contas privilegiadas; evidências do sistema PAM; revisões trimestrais de acesso.
A.8.3	Restrição de Acesso à Informação • Acesso à informação restrito com base no princípio do menor privilégio e na necessidade de saber? • RBAC ou equivalente implementado em todos os sistemas? • Restrições de acesso aplicadas em nível de sistema?	—	Configuração de controle de acesso; matriz RBAC; teste de restrição de acesso
A.8.4	Acesso ao código-fonte • O acesso aos repositórios de código-fonte é restrito a desenvolvedores autorizados? • Código-fonte armazenado em repositório com controle de versão e registro de acesso? • As alterações de código são rastreadas, revisadas e aprovadas?	—	Controles de acesso ao repositório; registros de auditoria; registros de revisão de código
A.8.5	Autenticação Segura • A autenticação multifator (MFA) é obrigatória para acesso privilegiado, acesso remoto e serviços em nuvem? • Não há protocolos de autenticação fracos em uso (NTLM, autenticação básica, Telnet)? • As tentativas de autenticação falhas foram registradas, alertadas e investigadas?	—	Configuração de MFA; auditoria do protocolo de autenticação; configuração de alerta de falha de login
A.8.6	Gestão de Capacidade • Os limites de capacidade são definidos e monitorados para todos os sistemas críticos (CPU, memória, armazenamento, largura de banda)? • Previsões de capacidade produzidas em intervalos planejados? • Alertas automatizados acionados antes que os limites sejam atingidos?	—	Painel de monitoramento de capacidade; configuração de alertas de limite; relatórios de previsão
A.8.7	Proteção contra malware • O sistema antimalware está instalado e atualizado em todos os endpoints, servidores e gateways de e-mail? • Atualizações de definições automatizadas com alerta em caso de falha? • Os incidentes de malware foram registrados, respondidos conforme o procedimento de resposta a incidentes e revisados?	—	Relatório de implantação de antivírus; política de atualização; registro de incidentes de malware
A.8.8	Gestão de Vulnerabilidades Técnicas • Existe um programa de gestão de vulnerabilidades com varreduras regulares (pelo menos trimestrais)? • Vulnerabilidades priorizadas por status CVSS e KEV; SLAs definidos por nível de criticidade? • Vulnerabilidades críticas foram corrigidas dentro dos SLAs definidos; o progresso foi monitorado e relatado?	—	Relatórios de varredura de vulnerabilidades; política de SLA; rastreador de remediação; métricas de KPIs
A.8.9	Gerenciamento de Configuração • Linhas de base de configuração segura (CIS Benchmarks ou equivalente) definidas para todos os tipos de ativos? • Conformidade da configuração monitorada por meio de varredura automatizada? • Alterações de configuração gerenciadas por meio de controle de mudanças formal?	—	Documentos de configuração de linha de base; resultados da verificação de conformidade; registros de alterações
A.8.10	Exclusão de informações • Foi implementado o procedimento para a eliminação segura de informações no final do período de retenção? • A exclusão está alinhada ao cronograma de retenção e às solicitações do titular dos dados? • Registros de exclusão mantidos (o quê, quando, método)?	—	Procedimento de exclusão; cronograma de retenção; trilha de auditoria de exclusão
A.8.11	Mascaramento de Dados • Mascaramento de dados aplicado a dados sensíveis (PII, PCI, credenciais) em ambientes que não sejam de produção? • Os controles de mascaramento foram verificados e testados para evitar a reidentificação? • As exceções ao mascaramento foram documentadas, aprovadas e os riscos são aceitos?	—	Política de mascaramento; evidências de classificação de dados não produtivos; resultados de testes de mascaramento
A.8.12	Prevenção de Vazamento de Dados • Tecnologia DLP implantada em e-mail, endpoints, nuvem e canais da web? • As políticas de DLP estão configuradas para detectar e bloquear/alertar sobre a exfiltração de dados sensíveis? • Os alertas de DLP são analisados e investigados dentro dos prazos definidos?	—	Configuração da ferramenta DLP; conjunto de regras de política; registro de investigação de alertas
A.8.13	Backup de informações • Política de backup definida com requisitos de RTO/RPO por criticidade do sistema? • Os backups são testados por meio de restauração completa em intervalos regulares (pelo menos anualmente)? • Cópias de segurança armazenadas de forma segura (criptografadas), incluindo armazenamento externo ou em nuvem imutável?	—	Política de backup; restauração de registros de teste; logs de sucesso de tarefas de backup; evidências externas
A.8.14	Redundância de instalações de processamento de informações • Sistemas críticos configurados com redundância (alta disponibilidade, failover, balanceamento de carga)? • O failover foi testado em intervalos planejados para verificar se os objetivos de RTO foram atendidos? • A capacidade de redundância é adequada para manter as operações plenas durante uma falha primária?	—	Diagramas de arquitetura; configuração de alta disponibilidade; relatórios de teste de failover
A.8.15	Registro de atividades • Registros de auditoria gerados para eventos relevantes para o sistema de informação: autenticação, escalonamento de privilégios, acesso a dados, ações administrativas? • Registros protegidos contra adulteração (gravação única, encaminhamento SIEM, verificação de integridade)? • Os períodos de retenção de logs são definidos, aplicados e adequados aos requisitos regulamentares?	—	Política de registro; configuração do SIEM; controles de integridade de logs; configurações de retenção
A.8.16	Atividades de Monitoramento • Existe um sistema SIEM/IDS/IPS implementado para monitoramento de rede e sistemas em tempo real? • Atividades anômalas foram detectadas e investigadas dentro dos SLAs definidos? • A cobertura de monitoramento, os limites e os casos de uso são revisados e ajustados regularmente?	—	Evidências de implantação do SIEM; configuração de alertas; registros de investigação; log de ajuste
A.8.17	Sincronização de Relógios • Existe algum sistema NTP ou equivalente implementado para sincronizar todos os relógios do sistema com uma fonte autorizada? • Todos os endpoints, servidores e dispositivos de rede estão sincronizados? • Desvio de relógio monitorado e alertado?	—	Configuração NTP; monitoramento de sincronização de tempo; configurações de alerta de desvio

Checklist de prontidão para ISO 27001:2022: Anexo A.8 Controles tecnológicos (A.8.18–A.8.34)

Página 6 de 6

Anexo A.8: Controles Tecnológicos (continuação)

Parte 2 de 2: A.8.18 a A.8.34

Ref	Nome do controle e pontos de verificação de auditoria	Status	Evidências Necessárias
A.8.18	Utilização de Programas de Utilidade Pública Privilegiados • Programas utilitários privilegiados (scanners de rede, ferramentas administrativas, utilitários de senhas) são controlados e inventariados? • O uso de programas utilitários é registrado e revisado? • Programas utilitários desnecessários foram removidos ou desativados dos sistemas de produção?	—	Inventário de ferramentas privilegiadas; registros de uso; linha de base de software
A.8.19	Instalação de Software em Sistemas Operacionais • Política que restringe a instalação de software a pessoal autorizado e software aprovado? • A instalação é controlada via MDM, lista de permissões de aplicativos ou imagens padrão? • Software não aprovado detectado por meio de varredura e corrigido?	—	Política de instalação de software; configuração de MDM; varreduras de inventário de software
A.8.20	Segurança de Redes • A política de segurança de rede está documentada e implementada? • Redes segmentadas por função (produção, DMZ, usuário, convidado, OT/IoT)? • Os controles de acesso à rede (firewalls, ACLs) são gerenciados, documentados e revisados?	—	Diagrama de arquitetura de rede; conjunto de regras de firewall; política de segurança de rede
A.8.21	Segurança dos Serviços de Rede • Requisitos de segurança e SLAs definidos para todos os serviços de rede? • Os provedores de serviços de rede são avaliados quanto à conformidade com os padrões de segurança da informação? • O desempenho e a segurança do serviço são monitorados em relação aos SLAs?	—	SLAs de serviço de rede; avaliação de SI do provedor; evidências de monitoramento
A.8.22	Segregação de Redes • Redes segregadas por função e sensibilidade (VLAN, DMZ, microssegmentação zero trust)? • Tráfego entre zonas inspecionado por firewall/NGFW? • Movimento lateral entre segmentos monitorado e alertado?	—	Diagrama de segmentação de rede; regras de firewall entre zonas; alertas NDR/IDS
A.8.23	Filtragem da Web • Filtragem de conteúdo web implementada para bloquear sites maliciosos, de phishing e que violam as políticas? • Filtrar políticas documentadas com categorias definidas? • Tentativas de contornar filtros (VPN, DNS sobre HTTPS) foram detectadas e investigadas?	—	Configuração do filtro da Web; política de categoria de bloqueio; registros de tentativas de bypass
A.8.24	Uso da Criptografia • A política de criptografia que especifica os algoritmos aprovados (AES-256, RSA-2048+, TLS 1.2/1.3) está documentada? • Criptografia aplicada a dados em repouso e em trânsito para dados sensíveis? • O ciclo de vida da gestão de chaves está documentado (geração, distribuição, armazenamento, rotação, revogação)?	—	Política de criptografia; configuração de criptografia; procedimento de gerenciamento de chaves
A.8.25	Ciclo de Vida de Desenvolvimento Seguro • O IS está integrado ao SDLC desde os requisitos até o projeto, desenvolvimento, teste e implantação? • Os requisitos de segurança foram definidos no início do projeto; foi realizada a modelagem de ameaças? • SAST/DAST executado como parte do pipeline CI/CD?	—	Política de segurança do SDLC; exemplos de modelos de ameaças; relatórios de varredura SAST/DAST
A.8.26	Requisitos de segurança de aplicativos • Os requisitos de SI foram identificados, especificados e aprovados para todas as aplicações na fase de projeto? • Requisitos derivados de avaliações de risco e obrigações regulamentares? • Os requisitos de SI foram verificados por meio de testes de segurança antes da entrada em produção?	—	Especificações de requisitos de TI para a aplicação; avaliações de risco; relatórios de testes pré-implantação
A.8.27	Arquitetura de Sistemas Seguros e Princípios de Engenharia • Princípios de arquitetura segura aplicados (defesa em profundidade, confiança zero, privilégio mínimo, à prova de falhas)? • Revisões de projeto de segurança realizadas para sistemas novos e modificados? • As decisões de arquitetura foram documentadas, revisadas e aprovadas?	—	Padrões de arquitetura de segurança; registros de revisão de projeto; registros de decisão de arquitetura
A.8.28	Codificação Segura • Padrões de codificação segura documentados e aplicados (OWASP Top 10, CERT/SEI)? • Desenvolvedores treinados em práticas de programação segura? • O código é revisado (revisão por pares e/ou SAST) antes de cada lançamento?	—	Padrões de codificação segura; registros de treinamento de desenvolvedores; evidências de revisão de código
A.8.29	Testes de segurança em desenvolvimento e aceitação • Testes de segurança (testes de penetração, varredura de vulnerabilidades) realizados antes do lançamento? • Os resultados dos testes foram documentados e as conclusões foram acompanhadas até a sua resolução? • Resultados críticos/de alta prioridade foram resolvidos como critérios de aceitação antes da implementação em produção?	—	Relatórios de pentest/varredura pré-lançamento; evidências de correção; registros de go/no-go
A.8.30	Desenvolvimento terceirizado • Os requisitos de SI estão incluídos nos contratos de desenvolvimento terceirizado? • O código terceirizado é revisado (revisão de código/SAST) antes da aceitação? • Os desenvolvedores terceirizados estão sujeitos a controles de SI (triagem, acordos de confidencialidade, controles de acesso)?	—	Contratos de terceirização com cláusulas de segurança da informação; registros de revisão de código; triagem de desenvolvedores.
A.8.31	Separação dos ambientes de desenvolvimento, teste e produção • Os ambientes de desenvolvimento, teste e produção estão fisicamente ou logicamente separados? • Os dados de produção são proibidos em ambientes de teste (ou mascarados quando inevitável)? • Os controles de acesso variam entre os ambientes; o acesso à produção é rigorosamente restrito?	—	Arquitetura de ambiente; comparação de controle de acesso; política de dados de teste
A.8.32	Gestão de Mudanças • Existe um processo formal de gestão de mudanças que rege todas as alterações relevantes para os sistemas de informação (RFC, avaliação de impacto, aprovação, CAB)? • O impacto é avaliado para todas as alterações? • As alterações foram testadas em ambiente de não produção antes da implementação; os planos de reversão foram documentados?	—	Procedimento de gestão de mudanças; registros de RFC; atas do CAB; planos de reversão
A.8.33	Informações do teste • Dados de produção não podem ser usados em ambientes de teste por política da empresa? • Quando são necessários dados semelhantes aos de produção, eles são mascarados/anonimizados antes do uso? • Os controles de dados do ambiente de teste estão documentados e aplicados?	—	Política de dados de teste; evidências de mascaramento de dados; controles de acesso ao ambiente de teste
A.8.34	Proteção de SI durante testes de auditoria • As atividades de auditoria e teste de penetração foram planejadas, definidas e aprovadas antecipadamente (Regras de Engajamento)? • O acesso para testes de auditoria é restrito, limitado no tempo e registrado? • Os resultados dos testes de auditoria e as ferramentas estão protegidos contra acesso não autorizado?	—	Regras de Engajamento/Declaração de Trabalho; aprovações de janela de teste; registros de acesso à auditoria; controles de relatório

Auditor Líder

Nome:

Empresa:

Data:

Assinatura:

Representante do Cliente

Nome:

Função:

Data:

Assinatura:

Resumo da Auditoria

Total de controles: 118 (25 Cláusulas + 93 Anexo A)

Em conformidade: 0

Parcial: 0

Não Conforme: 0

Não aplicável: 0

Pontuação: 0%