Modelos e registos · ISO 27001 · Cláusula A.5.9
Modelo de inventário de ativos de informação ISO 27001
A relação da informação e dos sistemas que a suportam, cada um com o seu proprietário e a sua classificação, que dá sentido à análise de riscos e ao controlo de acessos.
Numa frase
O inventário de ativos de informação relaciona a informação e os ativos associados —aplicações, equipamentos, serviços na nuvem, pessoas-chave— com o seu proprietário, a sua localização e a sua classificação; é exigido pelo controlo 5.9 do Anexo A da ISO/IEC 27001:2022, que pede que seja elaborado e mantido atualizado.
- Onde a norma o exige
- ISO 27001 · Cláusula A.5.9 As secções seguem a ISO/IEC 27001:2022; as que começam por «A.» são controlos do Anexo A, exigíveis na medida em que a declaração de aplicabilidade os inclua.
- Tipo de informação
- Documento obrigatório Controlo 5.9 do Anexo A: mantém-se se a declaração de aplicabilidade o incluir
- Quem o preenche
- Proprietários dos ativos Os sistemas de informação consolidam-no; cada proprietário responde por que o que é seu esteja lá e esteja correto
- Quando
- Em cada entrada, saída ou alteração Com uma revisão completa pelo menos antes da análise de riscos anual
- Durante quanto tempo se conserva
- Sempre em vigor Mantém-se atualizado; convém conservar o histórico de entradas e saídas para reconstituir o que existia numa data
O que a norma exige
O que o referencial ISO 27001 exige e o que fica ao seu critério
O corpo da norma não obriga a inventariar: fá-lo o controlo 5.9, que pede um inventário da informação e de outros ativos associados, com os respetivos proprietários. Como é raro uma organização excluí-lo com fundamento, na prática todos os auditores contam com ele.
A ISO/IEC 27002 dá orientações sobre o nível de detalhe: o suficiente para gerir os riscos, não uma lista de cada cabo. O que importa é que cada ativo relevante tenha dono e que o inventário se mantenha atualizado à medida que há entradas e saídas.
O inventário apoia-se noutros controlos: a classificação (5.12), a utilização aceitável (5.10) e a devolução de ativos à saída da empresa (5.11).
Estrutura
Campos que o modelo deve ter
- Identificador e nome do ativo
- Tipo: informação, aplicação, serviço na nuvem, equipamento, suporte, pessoa-chave
- Proprietário
- Localização ou fornecedor que o aloja
- Classificação da informação (por exemplo, pública, interna, confidencial)
- Processos ou serviços que dependem dele
- Se contém dados pessoais
- Data de entrada, última revisão e saída
Exemplo
Exemplo: quatro ativos de uma empresa de software
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| A-001 Base de dados de clientes | Informação · Proprietária: diretora comercial · Confidencial · Dados pessoais: sim |
| A-014 Plataforma SaaS | Aplicação · Proprietária: diretora de operações · Alojada num fornecedor de nuvem, região UE |
| A-022 Repositório de código | Serviço na nuvem · Proprietário: diretor técnico · Confidencial |
| A-040 Portáteis da equipa | 82 unidades · Proprietário: responsável de sistemas · Cifragem de disco obrigatória |
| Última revisão | 28 de agosto de 2026, antes da análise de riscos anual |
Na auditoria
Erros que os auditores costumam apontar
- Inventário apenas de hardware: falta a informação e os serviços na nuvem.
- Proprietário genérico («departamento de TI») em vez de uma pessoa.
- Saídas de colaboradores sem registo da devolução dos equipamentos.
- A classificação do inventário não coincide com a que se aplica aos documentos.
No Kimobox
Como se gere este registo no Kimobox
- 1O inventário de ativos de informação é construído com proprietário e classificação para cada ativo.
- 2O proprietário de cada ativo e de cada risco é atribuído diretamente no sistema, e a análise de riscos liga-se aos ativos.
- 3O inventário é um registo versionado: cada entrada, saída ou alteração fica com a sua data e o seu autor.
Perguntas frequentes
O que nos perguntam antes de começar
Que nível de detalhe precisa o inventário?
O suficiente para gerir os riscos. Agrupar numa linha os portáteis do mesmo modelo e configuração é razoável; agrupar numa só linha toda a informação de clientes, não.
O mesmo inventário serve para o ENS?
Sim, com nuances: a medida op.exp.1 do ENS também pede um inventário atualizado com o seu responsável. Convém acrescentar a que sistema categorizado pertence cada ativo.
Faça a gestão dos registos do referencial ISO 27001 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Contexto da organização
O sistema de segurança da informação começa por saber que ativos é preciso proteger e quem tem expectativas…
Modelo de declaração de aplicabilidade ISO 27001
O que deve conter a declaração de aplicabilidade da ISO 27001 (6.1.3 d): controlos necessários…
Modelo de análise de riscos de segurança ISO 27001
Como documentar a análise de riscos de segurança exigida pela ISO 27001: critérios de aceitação…
Modelo de plano de tratamento de riscos ISO 27001
O que deve incluir o plano de tratamento de riscos da ISO 27001 (6.1.3 e): opção escolhida, controlos…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação. Requisitos ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022