Software ISMS
para ISO 27001

A ISO/IEC 27001 é a norma internacionalmente reconhecida para sistemas de gestão da segurança da informação (ISMS). Define como uma organização planeia, implementa, monitoriza e melhora sistematicamente a segurança da informação — com a avaliação de riscos no centro e os 93 controlos do Anexo A como catálogo de medidas; a ISO/IEC 27002:2022 dá as orientações de implementação. A edição em vigor é a ISO/IEC 27001:2022.

Um software ISMS representa os componentes de um sistema de gestão da segurança da informação num só modelo de dados — âmbito, ativos, requisitos, riscos, controlos e evidências — e liga-os entre si. Em vez de manter à mão a coerência de folhas de cálculo e documentos, mantém cada objeto uma só vez, e relatórios como a Declaração de aplicabilidade são gerados a partir dos dados.

No mínimo: os requisitos da ISO/IEC 27001:2022 e os controlos do Anexo A com estado de implementação, uma estrutura de ativos com dependências, análise e tratamento de riscos com matriz configurável, medidas com responsáveis e prazos, evidências no objeto, a Declaração de aplicabilidade, relatórios para a revisão pela gestão e a auditoria — e interfaces com os sistemas onde os seus ativos e tarefas já se encontram.

Sim. Os requisitos da ISO/IEC 27001:2022 e os 93 controlos do Anexo A da norma estão incluídos como catálogo — com orientações de implementação da ISO/IEC 27002:2022 — e são avaliados na sua árvore de ativos. Quando surge uma nova edição da norma, o catálogo é atualizado; as avaliações e evidências existentes migram com ele.

Sim. A SoA é criada com base nos requisitos e nos controlos: para cada controlo documentam-se aplicabilidade, justificação e estado de implementação, e o relatório é gerado a partir daí — na auditoria inicial e antes de cada auditoria de acompanhamento, sem reescrever a declaração.

As ameaças são identificadas por ativo — de catálogos padrão ou próprios — e avaliadas numa matriz de risco configurável. Para cada risco definem-se a opção de tratamento e as medidas; o risco bruto e o residual podem ser acompanhados ao longo do tempo, e o plano de tratamento de riscos é gerado como relatório.

Sim — como orientação, não como norma de certificação: a ISO/IEC 27005 descreve o processo de gestão de riscos de segurança da informação que a ISO/IEC 27001 exige. A Complaica reproduz esse processo: os riscos são identificados, analisados e avaliados por ativo, para cada risco definem-se a opção de tratamento, os controlos e as medidas, e o risco residual mantém-se ligado ao ativo, ao risco e às evidências. Não existe certificação segundo a ISO/IEC 27005; os resultados alimentam o plano de tratamento de riscos e a SoA para a auditoria ISO 27001.

Sim. A Complaica importa e exporta dados de e para Excel, através da REST API e de outras ferramentas ISMS; a migração dos seus dados é gratuita e acompanhada pelos nossos especialistas. Assim avalia a ferramenta com o seu próprio conjunto de dados em vez de dados de demonstração.

Sim. TISAX, BSI IT-Grundschutz, NIS2, RGPD, ISO 22301 e outras normas são avaliadas no mesmo modelo de âmbito e usam os mesmos ativos, riscos, medidas e evidências. O que está documentado para a ISO 27001 conta também para as outras normas.

Sim, ambos. A variante SaaS é alojada na Alemanha; on-premises, opera a Complaica na sua própria infraestrutura. A licença custa o mesmo em ambos os casos.

Através da REST API, sistemas de gestão de ativos e CMDB como i-doit, GLPI, FNT Command e outros, bem como Jira, SAP e Microsoft Azure. Os dados da aplicação estão disponíveis através de data marts para sistemas externos de análise e relatórios, e através de MCP pode ser ligado um assistente de IA.

As evidências ficam no objeto que comprovam, e os relatórios — SoA, plano de tratamento de riscos, estado de implementação — são gerados a partir do conjunto de dados atual. Os dashboards mostram o estado antes da auditoria e os auditores externos podem receber acesso direcionado. Como o mesmo conjunto de dados continua a viver, as auditorias de acompanhamento e a recertificação ao fim de três anos são preparadas a partir da operação corrente. A certificação em si é realizada por um organismo de certificação independente.

Para qualquer organização que trate informação confidencial e queira comprová-lo perante clientes, parceiros ou autoridades — independentemente da dimensão e do setor. É especialmente comum em prestadores de serviços de TI e cloud, fornecedores de setores regulados, operadores de infraestruturas críticas e empresas abrangidas pela NIS2 ou pelo TISAX: um ISMS segundo a ISO 27001 cobre também grande parte desses requisitos.

Não é exigida por lei. Na prática torna-se obrigatória através de contratos e concursos — muitos clientes exigem o certificado como prova — e indiretamente através de regulamentos como NIS2, KRITIS ou DORA, que exigem um ISMS; a ISO 27001 é a via habitual para operar esse ISMS de forma demonstrável.

Os custos compõem-se de três partes: o esforço de construção e operação do ISMS (tempo interno, consultoria, software), a auditoria de certificação por um organismo acreditado e as auditorias de acompanhamento anuais. Dependem sobretudo da dimensão do âmbito, do número de locais e da maturidade dos seus processos. A Complaica reduz a primeira parte: os conteúdos preparados, as evidências geradas a partir dos dados e a integração de IA poupam a maior parte do trabalho de documentação. Enviamos-lhe uma lista de preços a pedido.

Tipicamente três a doze meses do início ao certificado — consoante o âmbito, a documentação existente e os recursos disponíveis. Com conteúdos preparados e consultoria, as organizações mais pequenas situam-se no limite inferior. O certificado é válido por três anos, com auditorias de acompanhamento anuais e recertificação subsequente — a Complaica mantém o conjunto de dados atualizado durante todo esse tempo.