Modelos e registos · ISO 27001 · Cláusula 6.1.2
Modelo de análise de riscos de segurança ISO 27001
A análise que identifica o que pode comprometer a confidencialidade, a integridade ou a disponibilidade da informação, quem responde por cada risco e quanto pesa.
Numa frase
A análise de riscos de segurança da informação identifica os riscos para a confidencialidade, a integridade e a disponibilidade, atribui a cada um proprietário, avalia a sua probabilidade e as suas consequências e compara-os com critérios de aceitação definidos previamente; a ISO/IEC 27001 exige documentar o processo (6.1.2) e conservar os seus resultados (8.2).
- Onde a norma o exige
- ISO 27001 · Cláusula 6.1.2 As secções seguem a ISO/IEC 27001:2022; as que começam por «A.» são controlos do Anexo A, exigíveis na medida em que a declaração de aplicabilidade os inclua.
- Tipo de informação
- Registo obrigatório Processo documentado (6.1.2) e resultados a conservar (8.2)
- Quem o preenche
- Responsável de segurança com os proprietários Cada risco tem um proprietário com autoridade para decidir o seu tratamento
- Quando
- Pelo menos uma vez por ano E perante alterações relevantes: um serviço novo, um fornecedor crítico, um incidente grave
- Durante quanto tempo se conserva
- Definido pela organização A ISO/IEC 27001 não fixa prazos: pede que se decida a conservação e a eliminação da informação documentada (7.5.3). Abranger o ciclo de certificação de três anos permite mostrar o histórico na renovação.
O que a norma exige
O que o referencial ISO 27001 exige e o que fica ao seu critério
A norma pede que se defina um processo de análise com critérios de aceitação do risco e critérios para a realizar, de modo que, repetido, produza resultados coerentes e comparáveis. Dentro desse processo é preciso identificar os riscos, designar o seu proprietário, avaliar consequências e probabilidade, determinar o nível e definir prioridades.
Não impõe método. Desde 2013 não exige partir dos ativos: pode trabalhar-se por cenários, por processos ou por ativos. A ISO/IEC 27005 dá orientações, mas não é certificável nem obrigatória.
A análise repete-se a intervalos planeados e quando há alterações significativas (8.2). O que se conserva são os resultados de cada execução, não apenas a versão mais recente.
Estrutura
Campos que o modelo deve ter
- Critérios de aceitação e escalas de probabilidade e impacto
- Identificador e descrição do risco (ameaça e vulnerabilidade ou cenário)
- Ativo, processo ou serviço afetado
- Dimensão afetada: confidencialidade, integridade ou disponibilidade
- Proprietário do risco
- Controlos existentes
- Probabilidade, impacto e nível de risco
- Decisão: aceitar ou tratar
- Data da análise e versão
Exemplo
Exemplo: um risco da análise anual
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Risco | R-07 · Indisponibilidade prolongada do fornecedor de alojamento da plataforma |
| Serviço afetado | Plataforma SaaS da Nubeta (fictícia) |
| Dimensão | Disponibilidade |
| Proprietária | Diretora de operações |
| Controlos existentes | Cópias diárias noutra região; contrato com nível de serviço de 99,9 % |
| Avaliação | Probabilidade 2 em 5 · Impacto 5 em 5 · Nível 10, alto |
| Critério de aceitação | Aceitam-se riscos de nível 6 ou inferior |
| Decisão | Tratar · passa para o plano de tratamento como ação T-07 |
| Data | Análise anual, 2 de setembro de 2026 |
Na auditoria
Erros que os auditores costumam apontar
- Não há critérios de aceitação escritos, ou são fixados depois de ver os resultados.
- Riscos sem proprietário, ou com «Informática» como proprietária de todos.
- A análise não se repete após um incidente grave ou uma mudança de fornecedor.
- A versão anterior é apagada ao atualizar: não fica resultado para conservar.
- As escalas mudam de um ano para o outro e os resultados deixam de ser comparáveis.
No Kimobox
Como se gere este registo no Kimobox
- 1Cada risco é registado com o seu ativo, o seu tratamento e o seu proprietário.
- 2O proprietário de cada risco e de cada ativo é atribuído diretamente no sistema.
- 3Cada versão da análise fica guardada e, após um incidente relevante, é atualizada a partir da própria ação corretiva.
Perguntas frequentes
O que nos perguntam antes de começar
É preciso partir do inventário de ativos?
Não é obrigatório desde a edição de 2013, embora muitas empresas continuem a fazê-lo, porque ajuda a não esquecer nada. Pode analisar-se por cenários ou por processos, desde que os resultados sejam coerentes e comparáveis.
O que é o proprietário do risco?
A pessoa com autoridade e responsabilidade para gerir um risco. É quem aprova o plano de tratamento e aceita o risco residual, e costuma ser um responsável de negócio, não o técnico de sistemas.
Faça a gestão dos registos do referencial ISO 27001 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Planeamento
Planear na ISO 27001 significa analisar o risco de cada ativo e decidir, com critério, que controlos do…
Modelo de declaração de aplicabilidade ISO 27001
O que deve conter a declaração de aplicabilidade da ISO 27001 (6.1.3 d): controlos necessários…
Modelo de plano de tratamento de riscos ISO 27001
O que deve incluir o plano de tratamento de riscos da ISO 27001 (6.1.3 e): opção escolhida, controlos…
Modelo de inventário de ativos de informação ISO 27001
Como montar o inventário de ativos de informação exigido pelo controlo 5.9 da ISO 27001: tipo, proprietário…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação. Requisitos ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27005:2022 — Orientações sobre a gestão dos riscos de segurança da informação ISO/IEC · Outubro de 2022