implementing-iso-27001-information-security-management
Guia a implementação de um Sistema de Gestão de Segurança da Informação (SGSI) ISO/IEC 27001. Abrange análise de lacunas, avaliação de riscos e controles do Anexo A.
O que ela faz
Ajuda a criar um sistema para proteger informações importantes da sua empresa, seguindo um padrão internacional chamado ISO 27001. Ele guia você desde o planejamento até a certificação, garantindo que os dados estejam seguros.
Quando usar
- ✓Ao planejar um novo sistema de segurança de informações.
- ✓Ao se preparar para uma auditoria ou certificação ISO 27001.
- ✓Ao escolher e documentar as proteções de segurança necessárias.
Exemplo do que pedir para a IA
“Como posso começar a implementar a ISO 27001 na minha empresa?”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A IA guia você pelas etapas necessárias para organizar e proteger as informações da sua empresa. Ela ajuda a identificar o que precisa ser protegido, quais riscos existem e quais medidas de segurança aplicar, seguindo as regras da ISO 27001.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill implementing-iso-27001-information-security-managementOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/implementing-iso-27001-information-security-management/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Implementando Gerenciamento de Segurança da Informação ISO 27001
Visão Geral
A ISO/IEC 27001:2022 é a norma internacional para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gerenciamento de Segurança da Informação (SGSI). Esta habilidade abrange o ciclo de vida completo, desde a definição do escopo até a certificação, incluindo a seleção de controles do Anexo A, metodologia de avaliação de riscos, criação da Declaração de Aplicabilidade (SoA) e processos de melhoria contínua.
Quando Usar
- Ao implantar ou configurar capacidades de gerenciamento de segurança da informação ISO 27001 em seu ambiente
- Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
- Ao construir ou melhorar a arquitetura de segurança para este domínio
- Ao realizar avaliações de segurança que exigem esta implementação
Pré-requisitos
- Compreensão dos princípios de segurança da informação e conceitos de gerenciamento de riscos
- Familiaridade com estruturas de governança organizacional e processos de negócios
- Conhecimento de infraestrutura de TI, arquitetura de rede e fluxos de dados
- Acesso aos documentos das normas ISO/IEC 27001:2022 e ISO/IEC 27002:2022
Conceitos Principais
Cláusulas do SGSI (4-10)
Os requisitos do sistema de gerenciamento definem o que deve ser feito:
- Cláusula 4 - Contexto da Organização: Definir escopo, partes interessadas e questões internas/externas
- Cláusula 5 - Liderança: Compromisso da alta gerência, política de segurança da informação, papéis e responsabilidades
- Cláusula 6 - Planejamento: Processo de avaliação de riscos, plano de tratamento de riscos, objetivos de segurança da informação
- Cláusula 7 - Suporte: Recursos, competência, conscientização, comunicação, informação documentada
- Cláusula 8 - Operação: Planejamento operacional, execução da avaliação de riscos, implementação do tratamento de riscos
- Cláusula 9 - Avaliação de Desempenho: Monitoramento, medição, auditoria interna, análise crítica pela gerência
- Cláusula 10 - Melhoria: Não conformidades, ações corretivas, melhoria contínua
Controles do Anexo A (Edição 2022)
A revisão de 2022 reestruturou 93 controles em quatro categorias:
| Categoria | Controles | Exemplos |
|---|---|---|
| Organizacional (A.5) | 37 controles | Políticas, papéis, inteligência de ameaças, segurança na nuvem |
| Pessoas (A.6) | 8 controles | Verificação, conscientização, trabalho remoto, denúncia |
| Físico (A.7) | 14 controles | Perímetros, controles de acesso, segurança de equipamentos |
| Tecnológico (A.8) | 34 controles | Controle de acesso, criptografia, logs, desenvolvimento seguro |
Novos Controles na Edição 2022
11 novos controles foram adicionados:
- A.5.7 - Inteligência de Ameaças
- A.5.23 - Segurança da Informação para Serviços em Nuvem
- A.5.30 - Preparação de TIC para Continuidade de Negócios
- A.7.4 - Monitoramento de Segurança Física
- A.8.9 - Gerenciamento de Configuração
- A.8.10 - Exclusão de Informações
- A.8.11 - Mascaramento de Dados
- A.8.12 - Prevenção de Vazamento de Dados
- A.8.16 - Atividades de Monitoramento
- A.8.23 - Filtragem da Web
- A.8.28 - Codificação Segura
Fluxo de Trabalho
Fase 1: Análise de Lacunas e Definição de Escopo (Semanas 1-4)
- Definir os limites do escopo do SGSI (localizações, unidades de negócios, sistemas)
- Identificar as partes interessadas e seus requisitos
- Realizar análise de lacunas em relação aos requisitos da ISO 27001:2022
- Documentar o contexto interno e externo (PESTLE, SWOT)
- Obter o compromisso da alta gerência e alocar orçamento
Fase 2: Avaliação de Riscos (Semanas 5-10)
- Definir a metodologia de avaliação de riscos (baseada em ativos, baseada em cenários ou híbrida)
- Criar um inventário de ativos cobrindo informações, pessoas, processos e tecnologia
- Identificar ameaças e vulnerabilidades para cada ativo
- Avaliar a probabilidade e o impacto do risco usando critérios definidos
- Calcular os níveis de risco e determinar as opções de tratamento de riscos (mitigar, aceitar, transferir, evitar)
- Desenvolver o Plano de Tratamento de Riscos (PTR)
Fase 3: Seleção de Controles e SoA (Semanas 11-14)
- Mapear os tratamentos de risco para os controles do Anexo A
- Criar a Declaração de Aplicabilidade (SoA) documentando:
- Quais controles são aplicáveis e a justificativa
- Quais controles são excluídos e a justificativa
- O status de implementação de cada controle
- Projetar planos de implementação de controles com responsáveis e cronogramas
Fase 4: Implementação (Semanas 15-30)
- Desenvolver e aprovar a política de segurança da informação
- Implementar os controles selecionados do Anexo A
- Criar procedimentos documentados obrigatórios:
- Política de Segurança da Informação (A.5.1)
- Processo de Avaliação de Riscos (Cláusula 6.1.2)
- Processo de Tratamento de Riscos (Cláusula 6.1.3)
- Programa de Auditoria Interna (Cláusula 9.2)
…
Perguntas frequentes
O que é ISO 27001?
É um padrão internacional que define como uma empresa deve gerenciar a segurança das suas informações para protegê-las contra ameaças.
O que é um ISMS?
ISMS significa Sistema de Gestão de Segurança da Informação. É um conjunto de políticas, procedimentos e controles para proteger as informações de uma organização.
O que é a Declaração de Aplicabilidade (SoA)?
É um documento que lista quais controles de segurança da ISO 27001 são aplicáveis à sua empresa e por quê, além de quais foram excluídos e por quê.
Detalhes
Descrição original do autor
Guides implementation of an ISO/IEC 27001:2022 Information Security Management System (ISMS) end to end: gap analysis and scoping, risk assessment methodology, Annex A control selection, Statement of Applicability (SoA) creation, and continuous improvement. Use when scoping a new ISMS, preparing for ISO 27001 certification or audit, or selecting and documenting Annex A controls for a compliance pr
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5900
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
dashboard-builder
Ajuda seu agente a criar painéis de monitoramento úteis. Ele transforma dados em gráficos que respondem a perguntas importantes sobre o sistema.
affaan-m/ECC
dev-team
Simula uma equipe de desenvolvimento colaborativa, onde diferentes papéis respondem a um problema juntos. É útil para obter múltiplas perspectivas sem trocar de agente manualmente.
affaan-m/ECC
ecc-council
Faz seu agente reunir um conselho de quatro vozes para tomar decisões difíceis. É útil quando há várias opções boas e é preciso debater antes de escolher.
affaan-m/ECC