Assessment ISO/IEC 27001:2022
Avalie o seu Sistema de Gestão de Segurança da Informação contra as cláusulas 4 a 10 e os 4 temas do Anexo A da ISO/IEC 27001:2022. Descubra o seu nível de maturidade e o que falta para a auditoria. Resultado na hora, sem custo.
O que é
A ISO/IEC 27001 é a norma internacional que define os requisitos de um Sistema de Gestão de Segurança da Informação (SGSI). É a única norma de segurança da informação certificável por organismo acreditado — e por isso a mais pedida em contratos, licitações e due diligence.
A norma tem duas partes. As cláusulas 4 a 10 são obrigatórias: contexto, liderança, riscos, suporte, operação, avaliação e melhoria. O Anexo A traz 93 controles de referência em quatro temas, escolhidos a partir da análise de riscos e justificados na Declaração de Aplicabilidade. Os certificados da versão 2013 deixaram de valer em 31 de outubro de 2025: hoje, só a 2022 conta.
Para que serve
Ganhar e manter contratos
Grandes clientes, multinacionais e o setor financeiro exigem a ISO 27001 do fornecedor — ou um plano claro para chegar lá.
Saber a distância até a certificação
O resultado separa o que é obrigatório (cláusulas) do que é controle, e mostra o que reprovaria numa auditoria hoje.
Organizar a segurança como gestão
O SGSI tira a segurança do improviso: riscos avaliados, donos definidos, evidência e melhoria contínua.
Base para LGPD e privacidade
O SGSI é a fundação da ISO 27701 e cobre boa parte das medidas de segurança que a LGPD exige.
Para quem é
O que é avaliado
Quatro blocos avaliam o SGSI (cláusulas 4 a 10) e outros quatro avaliam os controles do Anexo A: organizacionais, de pessoas, físicos e tecnológicos. Cada pergunta traz a referência da norma.
01
Contexto e Liderança (cláusulas 4 e 5)
Escopo do SGSI, partes interessadas, compromisso da direção e a política de segurança.
3 perguntas
02
Planejamento e Riscos (cláusula 6)
O coração da norma: avaliação e tratamento de riscos e a Declaração de Aplicabilidade.
3 perguntas
03
Suporte e Operação (cláusulas 7 e 8)
Recursos, competência, conscientização, documentação e a execução do tratamento de riscos.
3 perguntas
04
Avaliação e Melhoria (cláusulas 9 e 10)
Indicadores, auditoria interna, análise crítica pela direção e ação corretiva.
4 perguntas
05
Controles Organizacionais (A.5)
37 controles: políticas, ativos, acessos, fornecedores, nuvem, incidentes e continuidade.
7 perguntas
06
Controles de Pessoas (A.6)
8 controles: do processo seletivo ao desligamento, passando por conscientização e trabalho remoto.
3 perguntas
07
Controles Físicos (A.7)
14 controles: perímetro, acesso físico, proteção de equipamentos e descarte seguro.
2 perguntas
08
Controles Tecnológicos (A.8)
34 controles: endpoints, privilégios, malware, vulnerabilidades, backup, logs, rede e desenvolvimento.
8 perguntas
O resultado
Controles do Anexo A sem um SGSI por trás não passam numa auditoria. Por isso o nível de maturidade é limitado pelas cláusulas 4 a 10: uma empresa com ótimos controles técnicos e sem análise de riscos, sem auditoria interna e sem análise crítica da direção não é classificada como Gerenciada. O resultado ainda mostra, à parte, quantos requisitos obrigatórios estão abaixo do mínimo para a certificação.
1
Inicial
A segurança ainda não funciona como um sistema de gestão.
2
Repetível
Há práticas que se repetem, mas o SGSI ainda não existe no papel.
3
Definido
O SGSI está estruturado e documentado.
4
Gerenciado
O SGSI é medido e revisado — perfil de empresa certificável.
5
Otimizado
O SGSI melhora continuamente.
A escala de 0 a 5
Cada controle recebe uma nota de maturidade, e cada nota tem peso pela criticidade do controle (crítico, alto ou médio). É a mesma lógica usada em auditorias: não basta existir, precisa ser documentado, medido e melhorado.
0 · Inexistente
Não existe hoje
1 · Inicial
Feito às vezes, depende de alguém lembrar
2 · Repetível
Feito com frequência, mas sem padrão escrito
3 · Definido
Documentado, aprovado e aplicado
4 · Gerenciado
Medido, revisado e com evidência
5 · Otimizado
Automatizado e em melhoria contínua
Como funciona
33 perguntas com a referência oficial da ISO/IEC 27001:2022, cada uma com nota de 0 a 5. Existe "não sei informar" sem prejuízo.
Maturidade do SGSI, maturidade por bloco e a barreira que trava o próximo nível — na hora, na tela.
Em até 15 dias você recebe o plano de adequação com os gaps priorizados em 30, 90 e 180 dias, esforço e investimento.
Nenhum dado pessoal é pedido antes das perguntas.
Dúvidas
Não. É uma autoavaliação guiada que mostra a maturidade e a distância até a certificação. A auditoria de certificação é feita por organismo acreditado; a CAME prepara a empresa para ela.
Depende do ponto de partida. Com o SGSI já estruturado, o ciclo de implantação, auditoria interna e análise crítica costuma levar de 6 a 12 meses. O diagnóstico do especialista traz a estimativa para o seu caso.
Os certificados da versão 2013 perderam a validade em 31/10/2025. A transição para a 2022 envolve os 11 controles novos (como inteligência de ameaças, prontidão de TIC e filtro web), e este assessment já os cobre.
Sim. A avaliação e o plano apresentado pelo especialista não têm custo e não geram compromisso.
Cada nível tem uma descrição curta ao lado. Na dúvida entre dois, escolha o menor: numa auditoria, o nível só conta quando existe evidência. Controles fora do seu escopo podem ser marcados como "não se aplica" quando a pergunta permitir — eles saem do cálculo.
Usamos exclusivamente para elaborar o seu diagnóstico e para o contato que você autoriza no formulário. Não vendemos nem cedemos seus dados: eles passam apenas pelos fornecedores que operam o envio de e-mail e o nosso CRM. O tratamento segue a nossa Política de Privacidade e a LGPD.
Pode. O progresso fica salvo no seu navegador — ao voltar pelo mesmo dispositivo, você retoma de onde parou.
Sem custo, sem compromisso e sem pedir dado nenhum antes de você ver valor.
Outros assessments
CAME · Continuidade e Segurança para seu negócio · SOC 24/7/365 · SLA médio de 30 minutos
