November 10, 2026
Controles de segurança da informação baseados na ISO/IEC 27002:2022 em empresas no Brasil
Caio Alves Rios; Mônica Mancini
DOI: 10.22167/2675-6528-202604384
Artigo derivado de Trabalho de Conclusão de Curso (TCC), com conteúdo baseado no trabalho original do aluno e adaptado ao formato editorial da Revista E&S com apoio da ferramenta ResumeAI, solução de inteligência artificial desenvolvida pelo Instituto Pecege para síntese e organização textual.
Resumo
A segurança da informação representa um requisito fundamental para empresas e entidades governamentais, especialmente diante da crescente digitalização e dos riscos associados à proteção de dados e integridade de sistemas. O objetivo foi analisar 25 controles da norma ISO/IEC 27002:2022, distribuídos em 15 organizacionais, 5 tecnológicos, 3 de pessoas e 2 físicos, em organizações no Brasil. Para isso, realizou-se uma pesquisa exploratória de abordagem quantitativa, que aplicou um questionário estruturado com 30 perguntas a 66 profissionais de segurança da informação. Os dados foram coletados virtualmente entre fevereiro e março de 2026 e analisados por meio de gráficos e tabelas. Os resultados indicaram que as organizações priorizaram controles como restrição de acesso físico, proteção contra malware e remoção de acessos após desligamento. Em contrapartida, controles relacionados à auditoria em segurança da informação, continuidade dos negócios e aprendizado organizacional foram os menos utilizados. A análise revelou que, embora a priorização de controles operacionais gere resultados imediatos, ela compromete o amadurecimento da segurança da informação. Concluiu-se que a implementação consistente de controles estruturantes é crucial para fortalecer a resiliência corporativa e alinhar o sistema de segurança da informação às exigências de gestão e conformidade.
Palavras-chave: conformidade; controles organizacionais; governança; segurança da informação.
1. Introdução
A segurança da informação é reconhecida como um requisito fundamental para empresas e entidades governamentais na atualidade. Com o avanço da digitalização e a crescente utilização de sistemas informatizados, observa-se um aumento significativo nos riscos relacionados à proteção de dados e à integridade dos sistemas. Tais riscos impactam diretamente a continuidade dos negócios e a resiliência organizacional.
Historicamente, a concentração de informações em computadores e o alto volume de dados geraram desafios para a segurança. A proliferação de microcomputadores, o uso de redes locais e remotas, a expansão da internet e a informatização de diversos setores da sociedade intensificaram esses riscos (Silva Neto, 2007). Nesse contexto, a proteção dos ativos informacionais tornou-se uma prioridade estratégica.
Para mitigar esses riscos, normas de segurança da informação, como a ISO/IEC 27002, desempenham um papel crucial. Essa norma, publicada pela International Organization for Standardization (ISO), oferece um conjunto de instruções práticas para a implementação de controles de segurança. Ela é complementar à ISO/IEC 27001 e estabelece controles organizacionais, técnicos, físicos e de pessoas, que podem ser adaptados ao contexto e porte de cada organização (Beal, 2005). A versão 2022 da norma reorganizou esses controles em quatro categorias principais: organizacionais, de pessoas, físicos e tecnológicos, buscando alinhamento com as práticas modernas de cibersegurança e privacidade.
A complexidade crescente dos ambientes digitais e a proliferação de ameaças cibernéticas exigem uma abordagem proativa e estratégica na gestão da segurança da informação. A ISO/IEC 27002, ao fornecer uma estrutura de controles, capacita as organizações a desenvolver políticas robustas e eficazes, alinhadas às suas necessidades específicas e ao contexto operacional (Sêmola, 2014). No entanto, um problema relevante reside na possibilidade de haver uma lacuna entre a norma e sua efetiva aplicação nas empresas brasileiras.
Apesar de a ISO/IEC 27002 ser amplamente reconhecida internacionalmente, ainda existem poucos estudos que avaliam sua aplicação no Brasil. Essa lacuna de conhecimento impede uma compreensão aprofundada sobre quais controles são mais frequentemente implementados e qual o nível de adesão à norma em empresas brasileiras, bem como os fatores que influenciam essa adoção e as dificuldades enfrentadas pelas organizações. A justificativa para este estudo emerge do aumento de ataques cibernéticos em empresas, conforme evidenciado por relatórios como o Global Threat Report (Crowdstrike, 2025). Em um cenário de negócios cada vez mais interconectado, a informação constitui um dos ativos mais importantes de qualquer organização moderna (Sêmola, 2014). Assim, a investigação sobre a utilização de controles de segurança da informação é essencial para acompanhar as prioridades e o preparo das organizações diante de ataques direcionados à informação dos usuários. Diante desse cenário, o objetivo geral deste trabalho foi analisar 25 controles compreendidos entre 15 organizacionais, 5 tecnológicos, 3 de pessoas e 2 físicos da norma ISO 27002 em organizações no Brasil.
2. Material e Métodos
A pesquisa foi de natureza exploratória, com o propósito de gerar maior familiaridade com o problema de estudo, conforme preconizado por Gil (1991). Adotou-se uma abordagem quantitativa, caracterizada pela coleta e análise de dados numéricos por meio de operações matemáticas e estatísticas, o que permitiu a generalização da análise (Günther, 2006). Essa metodologia foi selecionada para investigar a aplicação de controles de segurança da informação em organizações brasileiras.
O objeto empírico do estudo consistiu em empresas de pequeno, médio e grande porte localizadas no Brasil. A unidade de análise foi composta por 66 profissionais atuantes na área de segurança da informação, incluindo analistas e coordenadores. Esses participantes foram selecionados por sua experiência e conhecimento direto na implementação e gestão de controles de segurança em seus respectivos ambientes organizacionais.
Para a coleta de dados, utilizou-se um questionário estruturado, composto por trinta perguntas. O instrumento foi elaborado para abordar os controles da norma ISO/IEC 27002:2022 e aspectos contextuais das organizações. As questões iniciais buscaram informações gerais sobre as empresas, como porte, área de atuação, existência de certificação ISO 27001 e o principal modelo de governança de segurança da informação adotado.
As perguntas subsequentes do questionário foram direcionadas aos 25 controles específicos da norma ISO/IEC 27002:2022, que constituíram o foco da análise. Desses, quinze eram controles organizacionais, cinco tecnológicos, três de pessoas e dois físicos, conforme o objetivo do estudo. A seleção desses controles teve como base trabalhos anteriores de Albuquerque Junior et al. (2014), Oliveira et al. (2015) e Mendes et al. (2013), que identificaram controles frequentemente acompanhados e relevantes para aprendizado organizacional, operações e continuidade de negócios.
A coleta de dados ocorreu virtualmente, no período compreendido entre 10 de fevereiro de 2026 e 30 de março de 2026. O questionário foi disponibilizado por meio da plataforma Google Forms. A divulgação e a solicitação de preenchimento foram realizadas em plataformas digitais, como a rede social profissional LinkedIn, e em comunidades online especializadas em discussões sobre Tecnologia da Informação, visando alcançar o público-alvo de profissionais de segurança da informação.
Os dados coletados foram organizados e analisados com o auxílio da ferramenta Microsoft Excel. A análise envolveu a apresentação dos dados por meio de gráficos e tabelas, e o cálculo das médias de utilização para cada controle investigado. Para garantir a pertinência da análise, as respostas de participantes que não indicaram a ISO/IEC 27002 como principal mecanismo de governança foram desconsideradas dos cálculos de média, alinhando-se ao objetivo central do estudo.
Em relação aos cuidados éticos, a participação na pesquisa foi voluntária e anônima. As respostas fornecidas pelos profissionais foram tratadas de forma confidencial, sem a necessidade de identificação pessoal dos respondentes ou da empresa à qual estavam vinculados. Tais medidas visaram preservar a privacidade dos participantes e a integridade dos dados coletados.
3. Resultados e Discussão
A presente seção detalha os achados da pesquisa sobre a aplicação dos controles da norma ISO/IEC 27002:2022 em organizações brasileiras, interpretando-os à luz do objetivo de analisar a adoção desses controles. Os resultados iniciais fornecem um panorama do perfil das empresas participantes, seguido por uma análise aprofundada dos controles mais e menos utilizados, categorizados por seus pilares e grau de implementação. Essa abordagem permite identificar padrões de priorização e lacunas na gestão da segurança da informação, contribuindo para uma compreensão mais clara da maturidade das práticas de cibersegurança no contexto nacional, conforme delineado pelo problema de pesquisa.
Análise das empresas respondentes
A análise do perfil das organizações participantes revelou uma distribuição notável em relação ao porte. Verificou-se que 30 (45%) dos respondentes atuavam em empresas de grande porte, enquanto 27 (41%) pertenciam a empresas de médio porte. Organizações de pequeno porte representaram 8 (12%) da amostra, e microempresas apenas 1 (2%). Essa predominância de empresas de médio e grande porte pode ser atribuída ao direcionamento do questionário a profissionais de segurança da informação, um papel que tende a ser mais estruturado em contextos organizacionais de maior complexidade operacional. Tal achado sugere que a formalização da segurança da informação, incluindo a adoção de controles robustos, é mais prevalente em empresas com maior capacidade de investimento e maturidade de gestão, conforme apontado por Sêmola (2014).
Quanto à área de atuação, os resultados indicaram que 25 (38%) das empresas pertenciam ao setor de tecnologia, seguido por 10 (15%) do setor financeiro e 9 (14%) da indústria. Os setores de administração, educação e saúde representaram 6 (9%) cada, enquanto o comércio somou 4 (6%). Essa concentração em tecnologia e finanças é consistente com a literatura, que reconhece esses setores como historicamente mais expostos a riscos cibernéticos e sujeitos a rigorosos requisitos regulatórios. A maior preocupação com a segurança da informação nesses segmentos, como destacado por Sêmola (2014), impulsiona a adoção de práticas e controles mais robustos, como os propostos pela ISO/IEC 27002.
Apesar da relevância da norma, a pesquisa revelou que 49 (74%) dos respondentes ainda não possuíam a certificação ISO 27001, enquanto 16 (24%) já a detinham e 1 (2%) estava em processo de obtenção. Este dado sugere que, embora a importância da segurança da informação seja reconhecida, a formalização de um Sistema de Gestão de Segurança da Informação (SGSI) ainda se encontra em estágio de consolidação no Brasil. A própria ISO destaca que a adoção de controles deve ser guiada por avaliação de riscos, requisitos legais e objetivos de negócio, processos que muitas organizações ainda não estruturam de forma sistemática.
Em relação ao principal modelo de governança utilizado, 62 (94%) dos participantes indicaram a ISO 27002, enquanto 1 (2%) utilizava NIST, 1 (2%) não utilizava nenhum e 2 (3%) outros modelos não listados. É importante considerar que este resultado pode ter sido influenciado pelo escopo do questionário, que focou especificamente na ISO/IEC 27002, atraindo profissionais já familiarizados com essa norma. Contudo, a prevalência da ISO 27002 reforça sua crescente relevância como framework para cibersegurança e privacidade, especialmente após a reorganização de seus controles na versão 2022 em categorias como organizacionais, pessoas, físicos e tecnológicos, o que pode ter contribuído para sua adoção mais ampla.
Controles organizacionais com maiores e menores grau de utilização
A análise dos controles organizacionais revelou que os mais adotados, com média de utilização igual ou superior a 3,5, foram: Requisitos legais regulatórios (3,95), Política de segurança da informação (3,88), Papéis e responsabilidades (3,85), Contratos com terceiros com cláusulas de SI (3,82) e Revisão da política de segurança da informação (3,50). Esses achados indicam uma priorização das organizações em estabelecer a base formal e de conformidade para a segurança da informação. A implementação desses controles é crucial para definir diretrizes claras, responsabilidades e o alinhamento institucional necessário para a governança eficaz da segurança, funcionando como base para os demais processos de segurança.
Em contraste, controles organizacionais com média inferior a 3,5 apresentaram menor grau de utilização. Entre eles, destacam-se: Gestão de incidentes (3,48), Riscos de SI em fornecedores (3,45), Segregação de funções (3,33), Classificação da informação (3,24), Utilização de incidentes para melhoria contínua (3,23), Gestão de riscos da segurança da informação (3,08), Inventário de dados (3,08), Auditoria dos controles de SI (3,05), Plano de continuidade de negócios (2,97) e Aprendizado com resultado da auditoria de SI (2,95). A baixa adoção desses controles sugere que as organizações ainda enfrentam desafios na capacidade de monitorar, avaliar e aprimorar continuamente seus sistemas de segurança da informação, indicando uma lacuna em aspectos estratégicos de governança (Ross, 2012).
Essa discrepância na adoção dos controles organizacionais aponta para uma maturidade assimétrica na segurança da informação nas empresas brasileiras. Enquanto os controles operacionais e de conformidade inicial são amplamente implementados, os controles mais estratégicos, que permitem a melhoria contínua e a resiliência organizacional, permanecem subdesenvolvidos. A ausência de processos robustos de auditoria e aprendizado contínuo pode levar à repetição de falhas e à menor capacidade de adaptação frente a novas ameaças, conforme discutido por COBIT (2013). Isso sugere que a adoção da ISO/IEC 27002 no Brasil, embora avançada em alguns aspectos, ainda possui lacunas significativas em sua governança.
Controles com maiores e menores grau de utilização
Ao expandir a análise para todos os pilares da ISO/IEC 27002, os controles com maior grau de utilização, apresentando média igual ou superior a 4,0, foram: Controle de acesso físico (4,24), Controle contra malware (4,12), Remoção dos acessos após desligamento (4,06), Autenticação segura (4,06) e Proteção dos equipamentos contra danos e acesso não autorizado (4,05). Esses controles, pertencentes aos pilares físico, tecnológico e de pessoas, representam práticas de segurança tradicionalmente consolidadas e consideradas requisitos básicos de segurança operacional. A priorização desses controles preventivos e tecnológicos é consistente com a literatura que destaca seu impacto imediato na redução de vulnerabilidades (Ross, 2012).
Controles com médias entre 3,5 e 3,94 incluem: Requisitos legais regulatórios (3,95), Termos de confidencialidade assinados por colaboradores (3,94), Política de segurança da informação (3,88), Papéis e responsabilidades (3,85), Cópias de segurança e testes de restauração (3,85), Contratos com terceiros com cláusulas de SI (3,82), Princípio do menor privilégio (3,58) e Revisão da política de segurança da informação (3,50). Esses controles, embora bem avaliados, indicam um nível de implementação que, embora presente, pode não estar totalmente otimizado ou integrado. Eles representam uma fase de consolidação que ainda demanda atenção para alcançar a excelência na gestão da segurança da informação, sendo fundamentais para a estruturação de um SGSI robusto.
Os controles com menor grau de utilização, com média inferior a 3,5, abrangem: Gestão de incidentes (3,48), Riscos de SI em fornecedores (3,45), Mudanças considerando gestão de SI (3,44), Segregação de funções (3,33), Treinamento dos colaboradores (3,32), Classificação da informação (3,24), Utilização de incidentes para melhoria contínua (3,23), Gestão de riscos da segurança da informação (3,08), Inventário de dados (3,08), Auditoria dos controles de SI (3,05), Plano de continuidade de negócios (2,97) e Aprendizado com resultado da auditoria de SI (2,95). A baixa adoção desses controles, que são cruciais para o monitoramento, revisão e melhoria contínua, revela fragilidades na governança e na capacidade de adaptação das organizações a novas ameaças (COBIT, 2013).
A análise específica dos controles organizacionais indica um padrão de adoção. Os controles mais implementados, como requisitos legais, política de segurança e definição de papéis, representam elementos básicos de conformidade e estruturação inicial. A ISO enfatiza que esses controles são fundamentais para estabelecer diretrizes, responsabilidades e alinhamento institucional, servindo como base para os demais processos de segurança. No entanto, controles relacionados à auditoria, continuidade de negócios e aprendizado institucional permanecem com menor grau de implementação, sendo classificados pela ISO como essenciais para monitoramento, revisão e melhoria contínua, e sua ausência indica fragilidades na governança (Ross, 2012).
Assim, os resultados revelam uma maturidade assimétrica na segurança da informação nas empresas brasileiras: enquanto controles operacionais são amplamente adotados, os controles estratégicos permanecem subdesenvolvidos. Essa discrepância sugere que a adoção da ISO/IEC 27002 no Brasil ainda está em estágio intermediário, com avanços importantes, mas também com lacunas significativas em aspectos de governança. Organizações que não estruturam processos de auditoria e aprendizado contínuo tendem a repetir falhas e a apresentar menor capacidade de adaptação frente a mudanças e ameaças emergentes (COBIT, 2013), o que pode comprometer a resiliência corporativa a longo prazo.
Em síntese, os resultados da pesquisa evidenciam que as organizações brasileiras priorizam a implementação de controles de segurança da informação que oferecem resultados imediatos e são mais tangíveis, como os de acesso físico, proteção contra malware e gestão de acessos de pessoas. Contudo, controles de natureza mais estratégica e estruturante, como auditoria, gestão de riscos, continuidade de negócios e aprendizado organizacional, apresentam um nível de adoção significativamente menor. Essa assimetria na maturidade da segurança da informação sugere que, embora haja avanços importantes na proteção operacional, ainda existem lacunas na governança e na capacidade de adaptação contínua, o que compromete a resiliência corporativa e o alinhamento estratégico da segurança da informação às exigências contemporâneas de gestão e conformidade.
4. Conclusão
O presente estudo buscou analisar 25 controles da norma ISO/IEC 27002:2022, distribuídos em categorias organizacionais, tecnológicas, de pessoas e físicas, em organizações no Brasil. Verificou-se que as empresas priorizaram controles de segurança da informação que oferecem resultados imediatos e são mais tangíveis, como o controle de acesso físico, a proteção contra malware e a remoção de acessos após desligamento de colaboradores. Em contrapartida, observou-se menor grau de utilização em controles de natureza mais estratégica e estruturante, como a auditoria em segurança da informação, a gestão de riscos, o plano de continuidade de negócios e o aprendizado organizacional. Essa priorização de controles operacionais, embora gere resultados a curto prazo, compromete o amadurecimento da segurança da informação nas organizações. A principal contribuição deste trabalho reside em evidenciar essa assimetria na maturidade da segurança da informação no contexto brasileiro, destacando a necessidade de uma abordagem mais equilibrada para fortalecer a resiliência corporativa.
Apesar dos achados relevantes, o estudo apresentou limitações relacionadas ao tamanho da amostra e à predominância de empresas de médio e grande porte, influenciadas pelo perfil dos profissionais que responderam ao questionário e pelo foco na ISO/IEC 27002. Para estudos futuros, recomenda-se investigar a aplicação da norma ISO/IEC 27002 em setores específicos, a fim de compreender as particularidades na implementação dos processos de segurança da informação. A implementação consistente de controles estruturantes é crucial para que as organizações avancem de um modelo reativo para um preventivo, alinhando seus sistemas de segurança da informação às exigências de gestão e conformidade, e garantindo maior capacidade de adaptação frente a ameaças emergentes.
Referências Bibliográficas
Albuquerque Junior, A. E. de; Santos, E. M. dos; Albuquerque, E. S. de. 2014. Segurança da informação em um instituto de pesquisa: uma análise utilizando a norma ISO/IEC 27002:2005. Disponível em <https://adventista.emnuvens.com.br/formadores/article/view/442>. Acesso em: 01 abr. 2026.
Beal, Adriana. 2005.Segurança da Informação: princípios e melhores práticas para a proteção dos ativos de informação nas organizações. 1ed. Atlas, São Paulo, SP, Brasil.
COBIT. 2013. Process Assessment Model (PAM). Disponível em <https://www.astarnet.jp/astarsaassv/doc/CGEIT/Reference/COBIT/COBIT-5-ProceeAssementModel.pdf>. Acesso em: 01 abr. 2026
Crowdstrike. 2025. Global Threat Report. Disponível em <https://go.crowdstrike.com/2025-global-threat-report.html>. Acesso em: 26 out. 2025.
Gil, A. C. 1991. Como elaborar projetos de pesquisa. Atlas, São Paulo, SP, Brasil.
Günther, H. 2006. Pesquisa qualitativa versus pesquisa quantitativa: esta é a questão? Universidade de Brasília [UnB], Brasília, DF, Brasil.
Mendes, R. R.; Oliveira, R. R. L. De; Costa, A. F. B. F. da; Gomes, R. C. de m. Uma metodologia para implantação de um sistema de gestão de segurança da informação (SGSI) baseado nas normas ABNT NBR ISO/IEC 27001 e 27002. 2013. Revista Principia, n. 22, p. 69-80. Disponível em <https://periodicos.ifpb.edu.br/index.php/principia/article/view/158>. Acesso em: 01 abr. 2026.
Oliveira, M.S.; Peixoto, S.C.; Santos. A.F.; Maniçoba, R.H.C.; Guimarães, M.A. 2015. Aplicação das normas ABNT NBR ISO/IEC 27001 e ABNT NBR ISO/IEC 27002 em uma média empresa. Uni-FACEF, São Paulo, SP, Brasil.
Ross, R. S. 2012. Guide for Conducting Risk Assessments. Disponível em <https://www.nist.gov/publications/guide-conducting-risk-assessments>. Acesso em: 01 abr. 2026
Silva Neto, Abner da. 2007. Gestão da Segurança da Informação: fatores que influenciam sua adoção em pequenas e médias empresas. Journal of Information Systems and Technology Management, v. 4, n. 3, p. 375-397.
Sêmola, M. 2014. Gestão de segurança da informação: uma visão executiva. 2ed. Elsevier Editora Ltda, Rio de Janeiro, RJ, Brasil.
Artigo oriundo de Trabalho de Conclusão de Curso da Especialização em Engenharia de Software do MBA USP/Esalq
Para saber mais sobre o curso, clique aqui e acesse a plataforma MBX Academy