Treinamento em gestão da segurança da informação ISO/IEC 27001
Treinamento prático e pronto para auditoria para construir e manter um Sistema de Gestão de Segurança da Informação certificável, e não um curso genérico de conscientização com um selo de conformidade colado por cima.
Curso de certificação de 5 dias ao vivo online
De segunda-feira, 30 de novembro, a sexta-feira, 4 de dezembro de 2026, das 11h às 13h (IST) todos os dias. USD 250 por participante, incluindo um certificado da The CyberDiplomat. Limitado a 25 vagas.
Precisa treinar uma equipe inteira ou uma turma fechada? Use o formulário abaixo ou escreva para info@thecyberdiplomat.com.
Quatro módulos, organizados em torno de quem está exposto ao risco
Fundamentos da ISO/IEC 27001: o SGSI, o Annex A e o processo de certificação
A base comum: o que a norma exige, como a revisão de 2022 mudou o Annex A e como a certificação realmente funciona.
Equipe de implementação do SGSI
Avaliação de riscos, a Declaração de Aplicabilidade e a construção de um sistema de gestão que resista a uma auditoria de certificação.
Auditores internos
Planejamento e condução de auditorias internas, coleta de evidências e redação de constatações sobre as quais a análise crítica pela direção possa de fato agir.
Alta direção e liderança: com ampla responsabilidade de governança
Obrigações de liderança da cláusula 5, análise crítica pela direção, alocação de recursos e o business case da certificação, abordados em profundidade.
Fundamentos da ISO/IEC 27001: o SGSI, o Annex A e o processo de certificação
A ISO/IEC 27001 é a norma reconhecida internacionalmente para um Sistema de Gestão de Segurança da Informação: uma abordagem sistemática e baseada em riscos para proteger a informação, que funciona em um ciclo Planejar-Fazer-Verificar-Agir de melhoria contínua, e não como uma checklist pontual. A revisão de 2022 reestruturou o Annex A, que passou de 114 controles em 14 categorias para 93 controles agrupados em quatro temas (organizacionais, de pessoas, físicos e tecnológicos), e as organizações certificadas na edição de 2013 tiveram até 31 de outubro de 2025 para fazer a transição ou perder a certificação. As organizações buscam a certificação por três motivos que se sobrepõem: ela é cada vez mais uma pré-condição contratual para clientes corporativos e governamentais, demonstra a reguladores e seguradoras um padrão de diligência defensável e oferece aos conselhos uma forma estruturada de governar um risco que antes ficava restrito à TI. Este módulo dá a cada participante, seja qual for a trilha que siga depois, o vocabulário comum, a estrutura atual do Annex A e uma visão realista do que realmente envolve uma auditoria de certificação de Estágio 1 e Estágio 2.
Principais áreas de risco abordadas
Controle de acesso
Gestão de quem pode acessar o quê: cadastro de usuários, acesso privilegiado, autenticação e os controles tecnológicos que aplicam o princípio do menor privilégio.
Criptografia
Políticas sobre quando e como aplicar criptografia, e práticas de gestão de chaves que a mantêm eficaz em vez de meramente decorativa.
Relacionamento com fornecedores e risco de terceiros
Requisitos de segurança nos contratos com fornecedores, e monitoramento, análise e gestão de mudanças nas cadeias de suprimentos de TIC.
Gestão de incidentes
Planejamento, detecção, avaliação e resposta a eventos de segurança da informação para que os incidentes sejam tratados de forma consistente, e não improvisada.
Continuidade de negócios
Prontidão de TIC para a continuidade de negócios (um controle novo de 2022) e como manter a segurança da informação intacta quando as operações são interrompidas.
Segurança em recursos humanos
Verificação de antecedentes antes da contratação, responsabilidades de segurança durante o vínculo e processos disciplinares e de desligamento que encerram os acessos na saída.
O cenário regulatório, explicado de forma clara
Artigo 32 do GDPR: segurança do tratamento
O Artigo 32 exige “medidas técnicas e organizativas adequadas”, incluindo avaliação de riscos, criptografia, resiliência e testes regulares: a mesma substância que um SGSI ISO/IEC 27001 foi criado para produzir, embora a certificação por si só não atenda a todas as obrigações do GDPR (por exemplo, os direitos dos titulares de dados).
Diretiva NIS2 da UE: medidas de gestão de riscos do Artigo 21
O Artigo 21(2) estabelece dez medidas mínimas de gestão de riscos de cibersegurança para entidades essenciais e importantes; os controles do Annex A da ISO/IEC 27001 correspondem de perto a elas, o que torna um SGSI certificado um caminho prático para demonstrar conformidade com a NIS2, junto com obrigações específicas da NIS2, como os prazos de notificação de incidentes.
IT Act da Índia: SPDI Rules, 2011
A Regra 8 das Reasonable Security Practices and Procedures and Sensitive Personal Data or Information Rules da Índia cita diretamente a IS/ISO/IEC 27001: considera-se que uma pessoa jurídica que a implementa e se certifica nela cumpre as “práticas de segurança razoáveis” exigidas pela Seção 43A do IT Act, 2000.
A ênfase regulatória é adaptada ao seu país e à sua jurisdição — informe onde você atua no formulário abaixo e definiremos os referenciais mais relevantes para você.
Organizadas em torno de quem realmente está exposto ao risco
Após a base comum, os participantes se dividem em trilhas específicas — cada uma construída a partir dos sistemas e das decisões pelos quais aquele grupo realmente responde.
Equipe de implementação do SGSI
Gerentes de segurança da informação · Líderes de projetos de SGSI · Responsáveis por riscos de TI
Auditores internos
Membros da equipe de auditoria interna · Revisores de conformidade · Multiplicadores do SGSI
“Por que dividir o treinamento dessa forma? A equipe que implementa o SGSI precisa avaliar quais dos 93 controles realmente se aplicam ao seu perfil de risco e defender esse raciocínio em uma Declaração de Aplicabilidade; o auditor interno precisa testar de forma independente se esses controles estão de fato funcionando e redigir uma constatação que resista ao escrutínio de um organismo de certificação. Reunir os dois públicos em uma sessão genérica entedia os implementadores com a mecânica da auditoria ou dá aos auditores um treinamento de implementação que compromete sua objetividade; por isso, cada trilha é construída em torno das decisões e entregas pelas quais esse papel realmente responde.”
Equipe de implementação do SGSI: cenários
Auditores internos: cenários
Formato destas trilhas
Alta direção e liderança
Executivos · Membros do conselho · Patrocinadores do SGSI · Liderança de conformidade
A ISO/IEC 27001 impõe à alta direção obrigações específicas e indelegáveis na cláusula 5: o comprometimento da liderança não é uma assinatura em uma política, e sim uma responsabilização contínua que os auditores testam especificamente. Conselhos que tratam a certificação como um projeto de TI, e não como uma responsabilidade de governança, costumam ser reprovados na primeira auditoria de Estágio 2, ou são aprovados com um SGSI frágil demais para resistir a um incidente real. Esta trilha se aprofunda em governança, alocação de recursos e integração estratégica mais do que qualquer outro módulo do programa.
Em profundidade
- Workshops com instrutor
- Módulos de e-learning no seu ritmo
- Exercícios de cenários e de mesa
- Reciclagens específicas por função
Os quatro módulos podem ser oferecidos juntos como um programa completo, ou as trilhas específicas por função podem ser licenciadas separadamente para organizações que precisam atender apenas a um público.
O que está em jogo por trás do treinamento
Uma norma, quatro temas, 93 controles
A reestruturação de 2022 consolidou uma década de controles dispersos em uma estrutura coerente: treinamento construído em torno dessa estrutura, e não da desatualizada de 2013.
Certificação é um exercício de governança, não de papelada
Os auditores verificam se a liderança realmente conduz o ciclo PDCA: este módulo trata a análise crítica pela direção e a alocação de recursos como conteúdos centrais do treinamento, e não como algo secundário.
Papéis, não apenas controles
Uma Declaração de Aplicabilidade e uma constatação de auditoria interna são tão boas quanto a pessoa que as produziu. O treinamento foca exatamente esses dois papéis.
Leve este treinamento para sua equipe de implementação do SGSI, sua função de auditoria interna ou sua liderança.
Agende uma consulta para definir os módulos certos antes da sua próxima auditoria de certificação ou de manutenção. Informe seu país e adaptaremos o foco regulatório e o formato de entrega à sua região.
Modular por concepção
Realize o programa completo de quatro módulos ou licencie apenas as trilhas de que sua organização precisa — todas construídas sobre o módulo base comum.
Respondemos em até um dia útil. Prefere e-mail? Escreva para info@thecyberdiplomat.com.
Procurando outro programa?
Conheça nossa linha completa de categorias de treinamento credenciado.