DIFERENÇAS ENTRE ISO 27001 E ISO 27002

 A ISO 27001 e a ISO 27002 são normas complementares no campo da segurança da informação, mas elas servem a propósitos diferentes. 

Vou explicar as principais diferenças entre elas:

ISO 27001

    Objetivo: A ISO 27001 é uma norma que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação (SGSI). Ela é voltada para a certificação e fornece um framework para a gestão de segurança da informação dentro de uma organização.

    Estrutura: A norma é estruturada em torno de um ciclo PDCA (Planejar, Fazer, Verificar, Agir) e inclui requisitos para a análise de riscos, tratamento de riscos, documentação e monitoramento.

    Certificação: A ISO 27001 é a norma que pode ser usada para fins de certificação. Organizações podem ser certificadas por um organismo de certificação acreditado para demonstrar conformidade com a norma.

    Foco: O foco está em estabelecer um SGSI robusto e em conformidade com os requisitos da norma. Ela define o "o que" deve ser feito, mas não o "como".

ISO 27002

    Objetivo: A ISO 27002 fornece diretrizes detalhadas sobre os controles de segurança da informação. Ela é um guia de boas práticas que complementa a ISO 27001, mas não é usada para certificação.

    Estrutura: A ISO 27002 expande os controles listados no Anexo A da ISO 27001, oferecendo orientações mais detalhadas sobre a implementação de cada controle.

    Certificação: A ISO 27002 não é uma norma para certificação. Ela serve como um guia de referência para ajudar na implementação dos controles recomendados pela ISO 27001.

    Foco: O foco está em fornecer boas práticas e orientações sobre "como" implementar os controles de segurança da informação.

Comparação Resumida

 Como as normas se complementam?

    ISO 27001: Fornece a estrutura e os requisitos para um SGSI, incluindo a necessidade de uma análise de riscos e a seleção de controles apropriados.

    ISO 27002: Oferece orientações detalhadas sobre a implementação dos controles escolhidos, ajudando a garantir que eles sejam aplicados de forma eficaz.

Ao usar ambas as normas, uma organização pode estabelecer um SGSI sólido (com base na ISO 27001) e implementar controles de segurança da informação de forma eficaz (usando as diretrizes da ISO 27002).

Conclusão

A ISO 27001 e a ISO 27002 são normas que trabalham em conjunto para ajudar as organizações a proteger suas informações. A ISO 27001 é a norma que define os requisitos e permite a certificação, enquanto a ISO 27002 fornece diretrizes detalhadas para a implementação dos controles de segurança. Juntas, elas ajudam as organizações a desenvolver uma abordagem abrangente e eficaz para a gestão da segurança da informação.

Se você estiver planejando implementar ou certificar-se em ISO 27001, é altamente recomendável consultar a ISO 27002 para obter orientações sobre a implementação dos controles.

 

Conheça nosso material para compliance e segurança da informação aqui.