Segurança da informação: o que é, pilares e como aplicar

Definição técnica e abrangência

Segurança da informação é o conjunto sistemático de políticas, controles, processos e tecnologias aplicados para preservar a confidencialidade, a integridade e a disponibilidade de ativos de informação de uma organização — independentemente de o dado estar armazenado em um servidor, trafegando por uma rede, impresso em papel ou registrado na memória de um colaborador. A disciplina nasce de uma premissa simples: a informação tem valor estratégico, operacional e jurídico, e sua comprometimento gera prejuízo financeiro, responsabilidade legal e dano reputacional.

Diferente do senso comum, segurança da informação não é sinônimo de antivírus ou de firewall. É uma função de governança com dono executivo, orçamento dedicado, indicadores mensuráveis e ciclo de melhoria contínua. A norma ISO/IEC 27001:2022 — referência internacional — define os requisitos mínimos de um Sistema de Gestão de Segurança da Informação (SGSI) e exige que a organização identifique seus ativos, avalie riscos, selecione controles e revise periodicamente a eficácia das medidas adotadas. No Brasil, a ABNT NBR ISO/IEC 27001 é a versão homologada e serve como critério para certificação auditável.

É fundamental distinguir segurança da informação de cibersegurança, termos frequentemente usados como sinônimos mas com escopo diferente. Segurança da informação é o campo mais amplo: abrange ativos digitais e analógicos, processos humanos e controles físicos. Cibersegurança é um subconjunto focado na proteção de sistemas computacionais, redes e dados digitais contra ataques cibernéticos. Todo programa de cibersegurança é parte da segurança da informação, mas um SGSI completo vai além — inclui, por exemplo, a proteção de documentos impressos, a gestão de terceiros com acesso a informações sensíveis e o controle de acesso a instalações físicas.

A tríade CIA e os princípios estendidos

O alicerce teórico e prático da segurança da informação é a tríade CIA — sigla em inglês para Confidentiality, Integrity e Availability. Confidencialidade garante que a informação é acessível apenas a quem tem autorização explícita: um contrato de clientes não pode ser lido por um estagiário sem necessidade de conhecê-lo, e dados de saúde não podem trafegar sem criptografia. Integridade assegura que a informação não foi alterada de forma não autorizada durante o armazenamento ou o trânsito — um log de auditoria adulterado ou um arquivo de configuração modificado por malware são violações de integridade. Disponibilidade garante que sistemas e dados estejam acessíveis para os usuários legítimos quando necessário — um ataque de negação de serviço (DDoS) que derruba o sistema de autorização de pagamentos de uma fintech viola diretamente esse princípio.

Além da tríade, dois princípios complementares são críticos em ambientes regulados. Autenticidade garante que um usuário, sistema ou mensagem é genuinamente quem afirma ser — implementada por autenticação multifator (MFA), certificados digitais e assinaturas criptográficas. Não-repúdio impede que uma parte negue ter executado uma ação: um usuário que aprova uma transferência não pode alegar, depois, que o registro é falso. Esses dois princípios são exigidos diretamente em contratos eletrônicos, em sistemas de pagamento regulados pelo Banco Central e em perícias digitais onde a cadeia de custódia precisa ser inviolável.

O NIST CSF 2.0 (Cybersecurity Framework, versão 2.0, publicada em 2024) organiza a prática de segurança em seis funções — Governar, Identificar, Proteger, Detectar, Responder e Recuperar — que mapeiam sobre a tríade CIA e acrescentam a dimensão de resiliência. Uma organização que só se preocupa em proteger (confidencialidade e integridade) mas não investe em Detectar e Responder estará despreparada quando uma violação inevitável ocorrer. O CIS Controls v8, da Center for Internet Security, complementa com 18 controles priorizados por impacto, começando pelo inventário de ativos — você não pode proteger o que não sabe que existe.

Classificação da informação: o mapa do tesouro

Antes de aplicar qualquer controle, a organização precisa saber o que está protegendo. A classificação da informação é o processo de categorizar ativos de informação por nível de sensibilidade e, consequentemente, definir quais controles se aplicam a cada categoria. A ISO/IEC 27001 exige que a organização classifique seus ativos de informação (Controle 5.12 do Anexo A da versão 2022); a ISO/IEC 27002:2022 detalha como implementar essa classificação.

Na prática, a maioria das organizações adota quatro níveis: Público (pode ser divulgado livremente, como o site institucional), Interno (uso restrito a colaboradores, mas sem impacto crítico se vazado), Confidencial (acesso limitado a equipes específicas, como estratégias comerciais, contratos e dados financeiros) e Secreto ou Restrito (impacto grave se exposto, como segredos de negócio, dados de saúde de colaboradores ou informações de investigações). Cada nível exige controles proporcionais: dados Confidenciais devem ser criptografados em repouso e em trânsito, trafegar apenas por canais seguros e ter acesso auditado; documentos Públicos não precisam dessas salvaguardas.

A classificação tem impacto direto na conformidade com a LGPD (Lei 13.709/2018). Dados pessoais e, em especial, dados pessoais sensíveis — definidos no Art. 5º, II da lei — exigem tratamento diferenciado, com base legal explícita, medidas de segurança adequadas e, em caso de incidente, notificação à ANPD e aos titulares. Sem uma classificação formal, a organização não consegue demonstrar à ANPD que aplicou as salvaguardas técnicas e organizacionais exigidas pelo Art. 46, expondo-se a sanções de até 2% do faturamento, limitadas a R$ 50 milhões por infração.

Sistema de Gestão de Segurança da Informação (SGSI) e ISO 27001

Um SGSI — Sistema de Gestão de Segurança da Informação — é o conjunto estruturado de políticas, procedimentos, responsabilidades e controles que uma organização implanta, mantém e melhora continuamente para gerenciar riscos de segurança da informação. A ISO/IEC 27001:2022 é a norma que especifica os requisitos de um SGSI e contra a qual organizações podem ser certificadas por auditores terceiros acreditados. A certificação ISO 27001 é hoje exigida em licitações governamentais, contratos com grandes corporações e, em muitos setores regulados, requisito tácito de mercado.

A estrutura do SGSI segue o ciclo PDCA (Plan-Do-Check-Act): na fase Plan, a organização define o escopo, identifica riscos e seleciona controles do Anexo A da norma (93 controles organizados em 4 temas: organizacionais, pessoais, físicos e tecnológicos); na fase Do, implementa os controles e treina colaboradores; na fase Check, realiza auditorias internas, medições de eficácia e revisões de gestão; na fase Act, corrige não-conformidades e melhora o sistema. Esse ciclo deve completar ao menos uma volta por ano — auditores externos de recertificação verificam exatamente isso.

Implementar um SGSI certificável não é trivial. Organizações de médio porte tipicamente levam de 9 a 18 meses para atingir maturidade suficiente para a auditoria inicial. O esforço envolve: análise de lacunas (gap analysis) contra os 93 controles; elaboração de política de segurança da informação e documentos obrigatórios (declaração de aplicabilidade, plano de tratamento de riscos, registro de ativos); implantação de controles técnicos (criptografia, controle de acesso, monitoramento); treinamento de colaboradores; e execução de auditorias internas antes da auditoria de certificação. A Decripte conduz esse processo inteiro — do gap analysis à preparação para a auditoria de certificação — para empresas de qualquer porte.

Controles técnicos, físicos e administrativos

Os controles de segurança da informação dividem-se em três categorias complementares, e um programa robusto precisa das três. Controles técnicos são implementados em sistemas e tecnologias: criptografia de dados em repouso (AES-256) e em trânsito (TLS 1.3), autenticação multifator (MFA), gestão de identidade e acesso (IAM), monitoramento por SIEM (Security Information and Event Management), detecção e resposta em endpoints (EDR), segmentação de rede e varredura contínua de vulnerabilidades. O CIS Controls v8 prioriza esses mecanismos por impacto: os primeiros seis controles (inventário de ativos, software, proteção de dados, configurações seguras, gestão de contas e controle de acesso) cobrem a maioria dos vetores de ataque documentados.

Controles físicos protegem a infraestrutura onde a informação vive: controle de acesso a data centers e salas de servidores (biometria, cartão, câmeras), destruição segura de mídias (degaussing, shredding certificado), políticas de mesa limpa e tela limpa, e proteção contra desastres físicos (incêndio, inundação, falha de energia). Em ambientes de nuvem pública, esses controles são responsabilidade do provedor (AWS, Azure, GCP) conforme o modelo de responsabilidade compartilhada — mas a organização ainda é responsável pelo que roda sobre a infraestrutura.

Controles administrativos são as políticas, processos e estruturas humanas: política de segurança da informação, procedimentos de classificação e tratamento de dados, acordos de confidencialidade (NDAs) com colaboradores e terceiros, programa de treinamento e conscientização, processo formal de gestão de incidentes, plano de continuidade de negócios (BCP) e plano de recuperação de desastres (DRP). O NIST SP 800-53 e a ISO/IEC 27002:2022 fornecem os catálogos mais completos de controles com orientações de implementação. A eficácia de qualquer programa de segurança depende do equilíbrio entre as três categorias: controle técnico sem política é ferramenta sem dono; política sem controle técnico é papel sem execução.

O fator humano: por que as pessoas são o elo crítico

Relatórios anuais de segurança — incluindo o Verizon Data Breach Investigations Report (DBIR) — mostram consistentemente que mais de 68% dos incidentes envolvem erro humano como vetor primário ou agravante: credenciais reutilizadas capturadas por phishing, arquivos enviados para o destinatário errado, configurações incorretas por falta de conhecimento, uso de Wi-Fi público sem VPN. Isso não significa que as pessoas são o elo fraco e preguiçoso — significa que os sistemas são projetados de forma que o comportamento natural do usuário seja inseguro. Um programa maduro corrige os sistemas e treina as pessoas.

Para qualquer colaborador, independentemente do cargo, há práticas que reduzem drasticamente o risco pessoal e organizacional. Senhas únicas e longas (mínimo 16 caracteres) gerenciadas por um cofre de senhas (como Bitwarden ou 1Password), combinadas com MFA por aplicativo autenticador, eliminam o vetor de credential stuffing. Identificar e-mails de phishing — verificar o domínio real do remetente, não clicar em links inesperados, confirmar pedidos de transferência ou mudança de dados por canal separado — é a principal linha de defesa contra os ataques de maior impacto financeiro. Não misturar dispositivos pessoais e corporativos sem controles (MDM) evita que um jogo ou aplicativo malicioso no celular pessoal se torne a porta de entrada para a rede da empresa.

A consciência de classificação é igualmente crítica: saber que aquele contrato de clientes é Confidencial e, portanto, não deve ser enviado por e-mail pessoal, armazenado em um Dropbox pessoal ou discutido em uma reunião com convidados externos sem necessidade, é segurança da informação na prática. O CERT.br publica cartilhas e guias de segurança para usuários finais alinhados a essas práticas, disponíveis gratuitamente e atualizados regularmente. Um programa de conscientização eficaz — com simulações de phishing mensais, treinamentos curtos (microlearning) e indicadores de melhoria — reduz a taxa de clique em phishing simulado de 30–40% (sem treinamento) para menos de 5% em 12 meses, segundo dados do KnowBe4 e Proofpoint.

Como a Decripte implementa segurança da informação em empresas

A Decripte é uma empresa de cibersegurança brasileira que atende exclusivamente organizações — de startups com 1 colaborador até corporações com mais de 100.000 funcionários — na implementação e gestão contínua de programas de segurança da informação. O escopo vai do gap analysis inicial até a preparação para certificação ISO/IEC 27001, passando por implementação de controles técnicos auditáveis, conformidade com a LGPD, resposta a incidentes e treinamento de equipes.

O ponto de partida é sempre o diagnóstico: um gap analysis estruturado contra os 93 controles da ISO/IEC 27001:2022 e as funções do NIST CSF 2.0, que entrega um mapa preciso do que já está implementado, o que está parcialmente atendido e o que é ausente — com priorização por risco e um roadmap de implementação realista. A partir desse diagnóstico, a Decripte elabora ou revisa a política de segurança da informação, define a metodologia de classificação de ativos, implementa ou fortalece controles técnicos (MFA, SIEM, EDR, gestão de vulnerabilidades) e estabelece o processo formal de gestão de incidentes com SLA documentado.

Para organizações em processo de adequação à LGPD, a Decripte integra os requisitos da lei ao SGSI: mapeamento de fluxos de dados pessoais, definição de bases legais, elaboração de avisos de privacidade, implementação de controles técnicos proporcionais à criticidade dos dados e estruturação do processo de notificação de incidentes à ANPD. O resultado é um programa de segurança da informação que não apenas protege a organização, mas demonstra essa proteção de forma auditável — a diferença entre ter segurança e conseguir provar que a tem, o que importa em contratos, em auditorias e, eventualmente, em investigações regulatórias.

Passo a passo

1. Conduza um gap analysis formal contra os 93 controles da ISO/IEC 27001:2022 e as seis funções do NIST CSF 2.0 para mapear o estado atual, identificar lacunas e priorizar ações por nível de risco.
2. Defina o escopo do SGSI — a unidade de negócio, o produto ou a organização inteira — e obtenha o patrocínio formal da alta liderança, sem o qual o programa não avança além do papel.
3. Elabore a política de segurança da informação, a metodologia de classificação de ativos e os documentos obrigatórios da norma (declaração de aplicabilidade, registro de ativos, plano de tratamento de riscos).
4. Implemente os controles técnicos prioritários: autenticação multifator em todos os sistemas críticos, criptografia de dados sensíveis em repouso e em trânsito, gestão centralizada de identidades e monitoramento de logs por SIEM.
5. Lance o programa de conscientização: treinamentos de classificação e boas práticas (no mínimo anuais), simulações mensais de phishing com feedback imediato e indicadores de evolução reportados à liderança.
6. Execute auditorias internas ao menos uma vez por ano, documentando não-conformidades, causas-raiz e planos de ação corretiva — o ciclo de melhoria contínua é o coração do SGSI e o que os auditores externos verificam.
7. Revise o SGSI ao menos anualmente ou após mudanças significativas no negócio, na tecnologia ou no ambiente regulatório, atualizando a avaliação de riscos e a declaração de aplicabilidade para manter a certificação válida e o programa aderente à realidade operacional.

Perguntas frequentes