Glossário
22 termos que aparecem em qualquer projeto de certificação, definidos sem rodeios. Se algo do que explicamos não se entende, a culpa é nossa: comece por aqui.
Sistemas de gestão
- Sistema de Gestão da Segurança da InformaçãoSGSI
Conjunto de políticas, processos, papéis e controles com os quais uma organização gere de forma deliberada a segurança da sua informação. É o que a ISO/IEC 27001 certifica: não uma tecnologia nem um produto, mas a maneira sistemática como a organização identifica seus riscos, decide o que fazer com eles e verifica que o decidido funciona.
A confusão mais comum é esperar que o SGSI seja um software. O software pode sustentar o sistema —registrar riscos, versionar documentos, agendar tarefas—, mas o sistema é a estrutura de decisão: quem responde por quê, com qual critério e com qual evidência.
- Anexo A
Lista de referência de controles de segurança que acompanha a ISO/IEC 27001. Na versão 2022 contém 93 controles agrupados em quatro temas —organizacionais, de pessoas, físicos e tecnológicos—, contra 114 em quatorze domínios na versão 2013.
O Anexo A não é uma lista de tarefas obrigatórias: é um catálogo contra o qual a organização compara os controles que sua análise de riscos determinou necessários, para verificar que nada relevante ficou de fora. As exclusões são legítimas se estiverem justificadas na Declaração de Aplicabilidade.
- Declaração de AplicabilidadeSoA
Documento obrigatório da ISO/IEC 27001 que enumera todos os controles do Anexo A e indica, para cada um, se é aplicável, como está implementado e —quando não é— por que se exclui.
É o documento que o auditor externo lê primeiro, porque mostra de relance a coerência entre a análise de riscos e os controles efetivamente implantados. Uma SoA que declara aplicáveis os 93 controles sem distinção costuma indicar que a análise de riscos não foi feita a sério.
- Escopo do sistema de gestão
Definição explícita de quais processos, serviços, áreas, unidades e ativos ficam dentro do sistema de gestão e, por diferença, quais ficam fora. É o que consta no certificado.
Um escopo menor não é uma armadilha: é uma decisão legítima de priorização. O que não é legítimo é deixar sem tratamento as interfaces com o que ficou de fora, porque o risco entra justamente por aí.
- Análise crítica pela direção
Instância formal e documentada em que a alta direção avalia o desempenho do sistema de gestão —indicadores, incidentes, constatações de auditoria, cumprimento de objetivos, mudanças de contexto— e toma decisões sobre recursos e melhoria.
É um requisito, não uma formalidade: se a direção não deixa registro de ter analisado e decidido, o sistema não cumpre. Na prática, é também o momento em que o projeto deixa de ser da área de TI e passa a ser da organização.
- Sistema de Gestão de Inteligência ArtificialAIMS
Sistema de gestão definido pela ISO/IEC 42001:2023 para governar o uso de inteligência artificial em uma organização: inventário de sistemas de IA, responsáveis, avaliação de riscos e impactos sobre as pessoas, controle do ciclo de vida e dos dados, e transparência.
É a primeira norma internacional certificável na matéria. Não regula a tecnologia: regula as decisões sobre a tecnologia, com a mesma lógica de gestão e melhoria contínua da ISO/IEC 27001.
- Escala de maturidade
Forma de medir um controle não por sua existência, mas por seu grau de desenvolvimento, em uma escala de vários níveis que vai de inexistente até gerenciado, medido e otimizado.
Substituir o sim/não por uma escala de maturidade muda o resultado de um diagnóstico e, sobretudo, muda o plano: em vez de uma lista de faltantes, produz uma ordem de trabalho, porque distingue o que não existe do que existe mas não é aplicado nem medido.
Certificação
- Etapa 1 e etapa 2 da certificação
As duas fases da auditoria de certificação inicial. Na etapa 1 o organismo revisa a documentação e a preparação do sistema e determina se a organização tem condições de seguir adiante. Na etapa 2 verifica em campo que o sistema realmente opera e gera a evidência que declara.
Entre uma e outra costumam passar de quatro a oito semanas, dedicadas a fechar as observações da etapa 1. Certificar sem não conformidades na etapa 2 é pouco frequente: o habitual é encerrar com algumas menores, sanadas antes da emissão do certificado.
- Não conformidade
Descumprimento de um requisito da norma detectado em uma auditoria. Classifica-se em maior —quando compromete a capacidade do sistema de alcançar seu objetivo, ou quando um requisito simplesmente não é cumprido— e menor, quando se trata de um desvio pontual.
Uma não conformidade maior bloqueia a certificação até ser resolvida e verificada. As menores são encerradas com um plano de ação corretiva aceito pelo auditor. Nenhuma das duas é um fracasso do projeto: fazem parte do processo normal.
- Acreditação e certificação
A certificação é emitida por um organismo de certificação sobre uma organização. A acreditação é o reconhecimento que um organismo nacional de acreditação concede a esse organismo de certificação, habilitando-o a emitir certificados com validade internacional.
A distinção importa comercialmente: um certificado emitido por um organismo não acreditado para aquela norma tem valor muito menor perante terceiros. Convém verificar a acreditação antes de contratar a auditoria, não depois.
- Auditoria interna
Auditoria que a própria organização realiza sobre seu sistema de gestão antes da auditoria externa. Todas as normas ISO de sistemas de gestão a exigem, e exigem ainda que seja executada por pessoas independentes da área auditada.
Essa independência é o ponto mais negligenciado: quem implantou o sistema não pode auditá-lo. Pode ser resolvido com pessoal interno de outra área devidamente formado ou com auditores externos alheios à equipe de consultoria.
Risco e continuidade
- Análise de riscos
Processo de identificar os riscos que ameaçam a informação da organização, estimar sua probabilidade e impacto, compará-los com os critérios de aceitação definidos e decidir o tratamento de cada um: mitigar, transferir, evitar ou aceitar.
É o coração da ISO/IEC 27001 e o que determina quais controles cabem. Uma análise copiada de um modelo genérico produz um sistema que não protege o que esta organização em particular precisa proteger.
- Análise de impacto no negócioBIA
Estudo que determina quais processos são críticos para a organização, quanto tempo podem ficar interrompidos antes que o dano seja inaceitável e de quais recursos precisam para voltar a operar.
O BIA precede o plano de continuidade: sem ele, o plano protege o que parece importante em vez do que efetivamente é. Dele saem os objetivos de tempo e de ponto de recuperação.
- RTO e RPO
RTO (Recovery Time Objective) é o tempo máximo aceitável durante o qual um processo pode permanecer interrompido. RPO (Recovery Point Objective) é a quantidade máxima de dados, medida em tempo, que a organização aceita perder diante de uma interrupção.
Um RPO de quatro horas implica que o backup deve rodar pelo menos a cada quatro horas. Ambos os valores são definidos pelo negócio, não pela tecnologia: a tecnologia depois diz quanto custa cumpri-los.
- BCP e DRP
O plano de continuidade de negócios (BCP) descreve como a organização segue operando durante uma interrupção grave, incluídos os procedimentos manuais alternativos. O plano de recuperação de desastres (DRP) descreve como os sistemas e a infraestrutura tecnológica são restaurados.
O BCP é da organização; o DRP é de TI e está contido nele. Um plano que nunca foi testado não é um plano: o teste documentado faz parte do entregável.
Técnico
- Attack Surface ManagementASM
Descoberta e monitoramento contínuo de tudo o que uma organização expõe na internet: domínios, subdomínios, endereços IP, serviços abertos, certificados e painéis acessíveis. Parte dos domínios conhecidos e encontra o que o inventário declarado não registra.
Não é um teste de invasão. O ASM é amplo e contínuo, mas não explora o que encontra; o pentest é restrito e profundo, mas é feito uma vez. Costumam ser usados juntos: o ASM indica onde vale a pena apontar o pentest.
- Subdomain takeover
Situação em que um registro DNS da organização continua apontando para um serviço externo já desativado, de modo que um terceiro pode reivindicar esse recurso e servir conteúdo sob o domínio legítimo.
É um dos achados mais frequentes e mais subestimados de um monitoramento de superfície de ataque. O dano não é técnico, e sim reputacional: o conteúdo do atacante aparece sob o domínio de confiança da organização.
- Inteligência de ameaças
Coleta e análise de informação sobre vulnerabilidades, campanhas de ataque e atores ativos, filtrada e priorizada conforme sua relevância para a tecnologia concreta que a organização utiliza.
A ISO/IEC 27001:2022 a incorporou como controle novo do Anexo A e exige que a informação coletada seja analisada e utilizada: acumular boletins sem processá-los não satisfaz o controle.
- Phishing controlado
Exercício simulado em que se envia ao pessoal um e-mail de aparência fraudulenta, previamente acordado com a direção, para medir a exposição real da organização ao engano antes de desenhar o programa de conscientização.
Seu valor está em medir antes de capacitar. Para não danificar a confiança da equipe, os resultados individuais não são publicados e o exercício é comunicado com suas conclusões assim que termina.
Regulação
- Operador Econômico AutorizadoOEA
Reconhecimento concedido pela autoridade aduaneira às empresas que demonstram conformidade, solvência e segurança em sua cadeia de suprimentos. Habilita facilitações operacionais: menos inspeções físicas, despacho prioritário e reconhecimento mútuo com as aduanas de outros países.
Não é uma certificação ISO, embora a ISO 28000 forneça o sistema de gestão que organiza e evidencia boa parte do que a aduana verifica. O referencial internacional é o Marco SAFE da Organização Mundial das Aduanas.
- LGPD e Lei 18.331
A LGPD (Lei 13.709/2018) é a lei brasileira de proteção de dados pessoais; a Lei 18.331 é sua equivalente uruguaia. Ambas estabelecem princípios de tratamento —finalidade, base legal, minimização, segurança—, os direitos dos titulares sobre seus dados e as obrigações de quem os trata, sob supervisão de uma autoridade de controle.
As duas tratam como dados sensíveis os relativos a saúde, origem étnica, convicções e vida sexual, com exigências reforçadas. Um SGSI ISO/IEC 27001 não garante por si só a conformidade legal, mas provê a maior parte dos controles e da evidência que a lei requer.
- Due diligence de terceiros
Processo de avaliar o risco que um sócio, fornecedor, agente ou intermediário representa antes de contratá-lo e periodicamente depois, considerando seu histórico, sua estrutura societária, sua exposição à corrupção e sua capacidade de cumprir as obrigações que lhe são transferidas.
É um requisito central da ISO 37001 e uma parte crescente da ISO/IEC 27001, em que a cadeia de fornecedores concentra boa parte do risco real da organização.