ISO 27001 na gestão pública municipal: o que a norma exige

A ISO 27001 costuma entrar na pauta da prefeitura por um de três caminhos: um incidente de segurança que paralisou sistemas, uma exigência de edital ou de fornecedor, ou uma pergunta do controle interno sobre quais evidências o município possui para demonstrar que protege os dados que trata. Nos três casos, a pergunta de fundo é a mesma: a administração tem um método para gerir segurança da informação ou depende de iniciativas isoladas da equipe de TI?

É aí que a norma ISO 27001 se diferencia de um checklist de boas práticas. Ela não prescreve uma ferramenta nem um produto. Ela define os requisitos para um sistema de gestão de segurança da informação (SGSI): quem decide, como os riscos são avaliados, quais controles são escolhidos, como a eficácia é medida e como o ciclo é revisado. Para o gestor público, isso significa transformar segurança em rotina de governança, com responsáveis, registros e indicadores.

O contexto municipal agrega particularidades. A prefeitura trata dados de saúde, cadastro tributário, benefícios sociais e processos administrativos de milhares de cidadãos, com equipes enxutas e sistemas de diferentes gerações. Ao mesmo tempo, responde à LGPD, a órgãos de controle e à expectativa de continuidade dos serviços. Entender o que é ISO 27001, o que ela exige na prática e quando certificar o município (ou apenas usá-la como referência) evita investimentos mal dimensionados e ajuda a priorizar o que realmente reduz risco.

O que é ISO 27001 e por que ela interessa à gestão municipal

O que é ISO 27001: é a norma internacional, publicada pela ISO e pela IEC, que estabelece requisitos para implantar, manter e melhorar continuamente um sistema de gestão de segurança da informação. A versão vigente é a ISO/IEC 27001:2022, e a página oficial da norma na ISO traz o escopo e o histórico de revisões.

A lógica é baseada em risco. A organização identifica seus ativos de informação, avalia ameaças e vulnerabilidades, decide como tratar cada risco e documenta essas decisões. Isso é diferente de “instalar proteção”: a norma exige que a gestão saiba por que escolheu cada controle e consiga demonstrar que ele funciona.

Para a prefeitura, o interesse prático está em três pontos:

• Governança: a segurança passa a ter dono, orçamento e prestação de contas, e não depende da boa vontade de um servidor de TI.
• Evidência: registros de risco, auditorias internas e análises críticas da direção servem como prova diante de controle interno, Tribunal de Contas e Ministério Público.
• Continuidade: o tratamento de riscos inclui backup, resposta a incidentes e recuperação, que sustentam serviços como arrecadação, licenciamento e atendimento.

O tema conversa diretamente com o que já discutimos sobre segurança da informação na gestão pública: a ISO 27001 é um dos métodos para transformar aqueles princípios em sistema de gestão.

O que a norma ISO 27001 exige: cláusulas 4 a 10

Os requisitos obrigatórios da ISO 27001 estão nas cláusulas 4 a 10. Quem busca certificação precisa atender a todas. Quem usa a norma só como referência pode adotá-las de forma progressiva. Em linguagem de gestão municipal:

Contexto e escopo (cláusula 4)

A prefeitura define quais partes interessadas importam (cidadãos, órgãos de controle, ANPD, fornecedores) e delimita o escopo do SGSI. Um erro comum é tentar abranger toda a administração de uma vez. Escopos menores, como a infraestrutura de TI e os sistemas de processos eletrônicos, tornam a implantação viável.

Liderança (cláusula 5)

A alta gestão assume responsabilidade formal: aprova a política de segurança da informação, designa papéis e assegura recursos. No município, isso significa envolvimento do prefeito ou do secretário responsável, e não apenas da TI.

Planejamento e avaliação de riscos (cláusula 6)

É o núcleo da norma. A prefeitura define critérios de risco, identifica os riscos, escolhe tratamentos e produz a Declaração de Aplicabilidade, documento que lista os controles adotados e justifica os que ficaram de fora.

Apoio e operação (cláusulas 7 e 8)

Reúne competência das equipes, conscientização, comunicação e informação documentada. A operação executa o plano de tratamento de riscos: é onde entram gestão de acessos, backup, controle de mudanças e relação com fornecedores.

Avaliação de desempenho e melhoria (cláusulas 9 e 10)

Monitoramento, auditoria interna, análise crítica pela direção e tratamento de não conformidades. Sem essa etapa, o sistema vira documentação parada, e é justamente o que os auditores verificam.

Controles do Anexo A: o que muda na versão 2022

O Anexo A da ISO 27001:2022 reúne 93 controles, organizados em quatro temas: organizacionais (37), pessoas (8), físicos (14) e tecnológicos (34). A versão anterior tinha 114 controles em 14 domínios. A ISO/IEC 27002:2022 detalha cada um e orienta a implantação.

Os controles não são todos obrigatórios. A prefeitura seleciona os que respondem aos riscos identificados e justifica as exclusões. Para o contexto municipal, alguns merecem atenção prioritária:

• Controle de acesso e gestão de identidades: perfis por função, revisão periódica de permissões e desativação imediata de servidores desligados.
• Registro e monitoramento (logs): trilha de auditoria de quem acessou, alterou ou tramitou documentos.
• Backup e continuidade: cópias testadas, redundância e plano de recuperação para serviços essenciais.
• Segurança nas relações com fornecedores: cláusulas contratuais de segurança, avaliação do provedor de software e de nuvem.
• Resposta a incidentes: fluxo definido para detectar, conter, comunicar e registrar eventos.
• Conscientização e treinamento: capacitação recorrente contra phishing e engenharia social.

A versão 2022 também incluiu controles sobre uso de serviços em nuvem, prevenção de vazamento de dados e monitoramento de atividades, temas diretamente ligados ao cotidiano de quem digitaliza processos.

ISO 27001, LGPD e a política nacional de segurança da informação

A ISO 27001 não substitui a legislação, mas ajuda a cumpri-la. A LGPD (Lei nº 13.709/2018) exige medidas de segurança técnicas e administrativas para proteger dados pessoais (art. 46) e estimula programas de governança e boas práticas (art. 50). Um SGSI estruturado produz justamente as evidências desse esforço: análise de risco, controles aplicados e registros de incidentes.

Existe uma distinção importante. A ISO 27001 trata de segurança da informação como um todo. A privacidade tem extensão própria, a ISO/IEC 27701, e a LGPD possui obrigações que a certificação não cobre sozinha, como a nomeação do encarregado, o atendimento aos direitos dos titulares e a definição de bases legais. Para estruturar esse lado, o guia de LGPD na prefeitura detalha a governança de dados pessoais.

No plano normativo, a Política Nacional de Segurança da Informação, instituída pelo Decreto nº 9.637/2018, vale para a administração pública federal. Ela não obriga o município, mas sinaliza o padrão de governança que os órgãos de controle tendem a esperar. Para a visão técnica dos controles de acesso, criptografia e nuvem, veja também o guia de cibersegurança no setor público.

Certificar a prefeitura ou usar a norma como referência?

Essa é a decisão central para o gestor. A certificação é concedida por um organismo certificador independente, após auditoria em duas etapas. O certificado tem validade de três anos, com auditorias de manutenção anuais. Já o alinhamento sem certificação consiste em adotar os requisitos e controles como método, sem passar por auditoria externa.

A certificação costuma fazer sentido quando:

• há exigência contratual ou de parceiros que dependem de comprovação formal;
• o município opera serviços críticos de alto volume de dados, como arrecadação e saúde;
• a gestão quer um mecanismo externo de pressão positiva para sustentar o programa ao longo de mandatos.

Usar a norma como referência é mais indicado quando:

• a prefeitura ainda não tem inventário de ativos, política de segurança ou encarregado designado;
• o orçamento de TI é limitado e a prioridade é cobrir os controles básicos;
• o escopo precisa começar pequeno, como a plataforma de processos eletrônicos e a infraestrutura associada.

Na prática, a trajetória mais eficiente é gradual: começar pelo inventário e pela análise de risco dos sistemas críticos, formalizar política e responsáveis, e só então avaliar a certificação de um escopo delimitado. Esforço, prazo e custo dependem do escopo e do nível de maturidade atual. Por isso, vale um diagnóstico prévio antes de qualquer cotação.

Como a ISO 27001 entra na avaliação de fornecedores de software

O município raramente opera sozinho: sistemas de processos, tributário, saúde e nuvem são fornecidos por terceiros. Pela lógica da norma, o risco de um fornecedor é risco da prefeitura. Por isso, a avaliação de software deve verificar:

• como o fornecedor controla acessos, registra logs e protege os dados em trânsito e em repouso;
• quais são as regras de backup, redundância e recuperação;
• como ele comunica incidentes e em que prazo;
• se há certificações ou relatórios independentes que sustentem as declarações, e qual o escopo exato de cada um.

Certificação de segurança é um indicador, não uma garantia. O que se avalia é o escopo certificado e a aderência dos controles ao risco do serviço contratado. Na prática de plataforma, controles como logs de auditoria, perfis de acesso por função e trilha completa de tramitação são requisitos recorrentes. Em Patos de Minas (MG), por exemplo, mais de 285 mil processos tramitam digitalmente com autenticação eletrônica e rastreabilidade, o que reduz risco de extravio e dá à gestão evidências verificáveis de quem fez o quê em cada processo.

Por onde começar: roteiro de 5 etapas para o município

1. Inventário: liste sistemas, bases de dados e responsáveis, priorizando serviços críticos.
2. Escopo e patrocínio: defina o escopo inicial e formalize o apoio da alta gestão.
3. Análise de riscos: avalie ameaças e vulnerabilidades com critérios simples e repetíveis.
4. Plano de tratamento: selecione controles do Anexo A, com prazo e responsável para cada um.
5. Auditoria interna e revisão: meça resultados e corrija o que não funciona antes de qualquer certificação.

O ponto de partida é gerir riscos com método. A certificação, quando vier, é consequência de um sistema já em funcionamento.

FAQ: perguntas frequentes sobre ISO 27001 na gestão pública

A ISO 27001 é obrigatória para prefeituras?

Não. A norma é voluntária e não há dispositivo legal que obrigue o município a se certificar. Ainda assim, a prefeitura tem o dever de adotar medidas de segurança adequadas aos dados pessoais que trata, conforme a LGPD, e a norma é um caminho estruturado para demonstrar isso.

Qual a diferença entre ISO 27001 e ISO 27002?

A ISO 27001 define os requisitos do sistema de gestão e é a norma certificável. A ISO 27002 é um guia de boas práticas que detalha como implantar cada controle do Anexo A, mas não é usada para certificação.

Quanto tempo leva para certificar uma prefeitura?

Depende do escopo, da maturidade atual e dos recursos disponíveis. Escopos menores e bem delimitados avançam mais rápido, enquanto prefeituras sem inventário, política e análise de risco precisam de uma fase preparatória antes da auditoria. O certificado vale por três anos, com auditorias anuais de manutenção.

A certificação ISO 27001 garante conformidade com a LGPD?

Não sozinha. Ela fortalece a segurança da informação e gera evidências úteis, mas a LGPD também exige encarregado, bases legais, atendimento aos titulares e comunicação de incidentes. A norma de privacidade complementar é a ISO/IEC 27701.

Conclusão

A ISO 27001 oferece à prefeitura algo que poucas iniciativas de TI entregam: um método para decidir, priorizar e provar. Para o gestor público, o valor não está no selo, mas no sistema por trás dele, com riscos mapeados, controles justificados, responsáveis definidos e revisão periódica. Esse é o tipo de evidência que sustenta a prestação de contas e resiste à troca de equipes e de mandatos.

A decisão entre certificar ou adotar a norma como referência deve partir da maturidade atual. Municípios sem inventário, política de segurança e encarregado designado ganham mais começando pelos fundamentos e por um escopo enxuto, como a infraestrutura e a plataforma de processos eletrônicos. Quando o sistema já funciona, a certificação deixa de ser um projeto isolado e passa a ser uma etapa natural de validação externa.

Na relação com fornecedores, a mesma lógica vale. A prefeitura responde pelos dados do cidadão independentemente de quem opera o sistema, e por isso deve exigir transparência sobre controles, logs, backup, resposta a incidentes e o escopo exato de cada certificação. Isso reduz o risco contratual e fortalece a conformidade com a LGPD e com as expectativas dos órgãos de controle.

O próximo passo prático é um diagnóstico: levantar os sistemas críticos, avaliar os riscos e definir qual nível de formalização faz sentido para o município agora. Para ampliar a visão de governança e conformidade, vale conectar esse trabalho ao compliance no setor público, que organiza integridade, controles e responsabilidades na administração municipal.