Modelos e registos · ISO 27001

Modelos e registos da ISO 27001

Nove registos que sustentam um sistema de gestão da segurança da informação, cada um com a secção ou o controlo que o exige, os seus campos e um exemplo preenchido.

Numa frase

A ISO/IEC 27001 exige documentar o processo de análise de riscos, os seus resultados, o plano de tratamento e a declaração de aplicabilidade, que constituem o núcleo de qualquer certificação; os restantes registos —inventário de ativos, incidentes, revisão de acessos, testes de continuidade, fornecedores— decorrem dos controlos do Anexo A que a própria organização declara aplicáveis e são a evidência que o auditor pede para comprovar que esses controlos funcionam.

Conteúdo revisto em 17 de outubro de 2026

Edição: ISO/IEC 27001:2022 A transição a partir da edição de 2013 terminou a 31 de outubro de 2025
Documentos do núcleo: Riscos, tratamento e SoA Secções 6.1.2, 6.1.3, 8.2 e 8.3
Anexo A: 93 controlos em 4 temas Organizacionais, de pessoas, físicos e tecnológicos
Formato: Livre A norma fixa o conteúdo, não o modelo

Índice

Modelos e registos para ISO 27001

As secções seguem a ISO/IEC 27001:2022; as que começam por «A.» são controlos do Anexo A, exigíveis na medida em que a declaração de aplicabilidade os inclua.

Perguntas frequentes

O que nos perguntam antes de começar

Que documentos são obrigatórios na ISO 27001?

Os que as secções da norma exigem: âmbito (4.3), política (5.2), processo e resultados da análise de riscos (6.1.2 e 8.2), processo e resultados do tratamento (6.1.3 e 8.3), declaração de aplicabilidade (6.1.3 d), objetivos (6.2), evidências de competência (7.2), resultados da monitorização (9.1), programa e resultados de auditoria (9.2), revisão pela gestão (9.3) e não conformidades com as respetivas ações (10.2). A estes soma-se o que exigirem os controlos do Anexo A declarados aplicáveis.

Os controlos do Anexo A obrigam a manter registos?

Indiretamente. Um controlo declarado aplicável tem de poder ser demonstrado e, na prática, isso faz-se com registos: o inventário de ativos para o controlo 5.9, o registo de incidentes para os controlos 5.24 a 5.28 ou as atas de revisão de acessos para o 5.18. Um controlo excluído com justificação não precisa de evidência de funcionamento.

Os mesmos registos servem para o ENS?

Em boa parte, sim: a análise de riscos, o inventário e o registo de incidentes podem ser partilhados. O que não se partilha é a declaração de aplicabilidade, porque o Esquema Nacional de Seguridad espanhol tem o seu próprio catálogo de medidas no Anexo II do Real Decreto 311/2022 e a sua própria assinatura.

Faça a gestão dos registos do referencial ISO 27001 sem modelos avulsos

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar

Páginas relacionadas

Fontes

De onde vem cada dado

Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.

ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação. Requisitos ISO/IEC · 25 de outubro de 2022
ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022
ISO/IEC 27005:2022 — Orientações sobre a gestão dos riscos de segurança da informação ISO/IEC · Outubro de 2022

Modelos e registos da ISO 27001

Numa frase

Modelos e registos para ISO 27001

Declaração de aplicabilidade

Análise de riscos

Plano de tratamento de riscos

Inventário de ativos

Requisitos legais e contratuais

Registo de incidentes

Revisão de acessos

Testes de continuidade e cópias

Segurança de fornecedores