A mesma máquina, apontada para segurança

O curso de nível Sênior "Sistema de gestão de IA: ISO 42001" já ensinou a máquina. Ele cobriu as cláusulas 4 a 10, o Plan-Do-Check-Act, um Anexo A de controles adotados de forma seletiva, a auditoria interna e a análise crítica pela direção. Cobriu também não conformidade, ação corretiva e melhoria contínua. Quem fez aquele curso conhece bem o formato de uma norma de sistema de gestão com Estrutura Harmonizada. A ISO/IEC 27001 é a mesma máquina. Não é uma norma-prima com um aparato novo para aprender. É o modelo original de onde a ISO 42001 tirou o padrão do Anexo A, rodando sobre segurança da informação em vez de IA.

Por isso este curso não vai reexplicar o que é um sistema de gestão, o que o PDCA faz ou como funciona uma auditoria interna. A lição 5 do curso de nível Sênior "Conformidade: o panorama regulatório" adiantou o parentesco entre as duas normas, e este curso vai até o fim. Ele gasta o tempo no que é específico de segurança da informação e novo. Isso inclui o documento que um auditor da ISO 27001 abre primeiro e a avaliação de risco de um programa de segurança, que uma avaliação de impacto de IA não substitui. Inclui também as partes dos quatro temas do Anexo A que caem na mesa de um time de engenharia.

O que se mantém sem mudança

Se uma frase abaixo soar como déjà vu, é esse o ponto. A cláusula por trás é idêntica:

• As cláusulas 4 a 10 são o mesmo esqueleto: contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho, melhoria. A ISO 27001 as preenche com conteúdo de segurança da informação, e a ISO 42001 as preenchia com governança de IA. A estrutura não muda de uma norma para outra.
• O PDCA é o mesmo ciclo. Planeje o sistema de gestão, rode, confira contra evidências e aja sobre o que a conferência encontrar. A lição 6 deste curso é a metade Check e Act, auditorias e ação corretiva, e vai parecer familiar.
• O Anexo A é o mesmo padrão: uma lista de referência de controles, adotados de forma seletiva e não em bloco, cada um justificado. O Anexo A da ISO 42001 cobria controles de ciclo de vida de IA. O Anexo A da ISO 27001, o original de onde o padrão veio, cobre controles de segurança da informação em quatro temas, que a lição 4 cobre a fundo.
• Auditoria interna e análise crítica pela direção são a mesma estrutura de duas reuniões. Alguém independente na organização confere se os controles estão sendo seguidos. A liderança pergunta de tempos em tempos se os controles ainda são os certos. A lição 6 retoma isso, desta vez voltada para fora, para o auditor de um organismo certificador além do interno.
• A melhoria contínua é a mesma cláusula de fechamento. Não conformidades são corrigidas, ações corretivas são acompanhadas, e o sistema como um todo deve melhorar numa cadência, e não só quando algo quebra.

O que é novo neste curso

Cinco coisas ganham lição própria porque o curso de ISO 42001 não as cobriu a fundo:

1. A Declaração de Aplicabilidade (Statement of Applicability): o documento que um auditor da ISO 27001 abre primeiro. A ISO 42001 também exige uma, mas o curso de gestão de IA só a mencionou de passagem. A lição 2 é construída em torno dela.
2. Avaliação e tratamento de risco, no formato de ativo, ameaça e vulnerabilidade que a ISO 27001 usa. Ela se relaciona com a divisão entre risco e impacto que a ISO 42001 ensinou, mas é distinta. A lição 3 traça essa linha, porque confundir as duas é o erro mais comum de quem vem do curso de IA.
3. Os quatro temas do Anexo A depois da revisão de 2022, e quais controles chegam ao dia a dia de um time de engenharia Rails. Lição 4.
4. A definição de escopo, a decisão que define o que um certificado significa na prática. Lição 5.
5. O ciclo de certificação do outro lado da mesa: ser auditado por um organismo certificador acreditado, em vez de rodar uma auditoria interna. Lição 6.

ISO/IEC 27001:2022, a edição vigente neste curso

A edição vigente é a ISO/IEC 27001:2022. Ela reorganizou o Anexo A, dos quatorze domínios da edição de 2013 para quatro temas, que a lição 4 cobre a fundo. A janela de transição para certificados na edição de 2013 já fechou, então um certificado ISO 27001 válido hoje significa a edição de 2022. Uma emenda de 2024 exige que a organização considere se a mudança climática é uma questão relevante. Isso vale para o seu contexto e para o que as partes interessadas esperam (cláusulas 4.1 e 4.2). Ela não acrescentou controles ao Anexo A, então trate-a como um detalhe de contexto, e não como uma família nova de controles.

Duas normas relacionadas merecem nomes precisos para você não confundi-las. A ISO/IEC 27002 é um guia complementar que detalha como implementar cada controle do Anexo A. Ela não é certificável: você se certifica na 27001 e usa a 27002 como manual. A ISO/IEC 27701 cobre a gestão de informações de privacidade, ao lado de obrigações no formato da GDPR e da LGPD. A edição de 2025 virou uma norma de sistema de gestão independente, que não exige mais a 27001 por baixo. Muitas organizações ainda certificam as duas juntas, porque elas compartilham a mesma estrutura.

O que este curso cobre

1. Esta lição: por que a ISO 27001 é a mesma máquina de Estrutura Harmonizada que a ISO 42001 já ensinou, apontada para segurança da informação, e as cinco coisas que são novas.
2. A Declaração de Aplicabilidade: cada controle do Anexo A justificado como aplicável ou excluído, e por que um auditor lê esse documento primeiro.
3. Avaliação e tratamento de risco: abordagens por ativo e por cenário, donos de risco, planos de tratamento e risco residual. A lição mostra também como isso difere da avaliação de impacto de IA que a ISO 42001 ensinou.
4. O Anexo A depois da revisão de 2022: os quatro temas e os controles que caem num time de engenharia. Eles incluem desenvolvimento seguro, gestão de mudanças, controle de acesso, criptografia, log, relação com fornecedores, gestão de vulnerabilidades e backup.
5. Definição de escopo: a decisão que define o que o certificado cobre, e o modo de falha de um escopo tão estreito que o certificado diz pouco ao cliente que o lê.
6. O ciclo de certificação: auditorias de estágio 1 e estágio 2, auditorias de manutenção, o ciclo de três anos e como as não conformidades se fecham, do lado de quem é auditado.
7. Juntando tudo: o que a certificação prova e não prova para um cliente, a resposta honesta de engenharia a um questionário de segurança e um checklist com formato de Rails.

Um aviso antes de qualquer coisa: nada neste curso é aconselhamento jurídico. Se a sua organização precisa da ISO 27001, qual deve ser o escopo e como deve ficar a Declaração de Aplicabilidade: essas decisões cabem ao advogado e a um responsável de segurança qualificado. Eles precisam conhecer os seus sistemas. Este curso ensina o formato da norma o bastante para você ter essa conversa em vez de adivinhar.