A informação documentada é um dos elementos estruturais de um Sistema de Gestão de Segurança da Informação (SGSI) baseado na ISO/IEC 27001.

Entretanto, existe um erro recorrente na interpretação desse requisito: acreditar que implementar a ISO 27001 significa simplesmente produzir uma grande quantidade de documentos.

Não é isso.

A lógica da norma é diferente.

A organização precisa determinar e manter a informação documentada necessária para demonstrar que o SGSI foi estabelecido, implementado, mantido e continuamente melhorado, além de controlar adequadamente essa informação.

Isso significa que uma organização pode possuir dezenas de documentos e, ainda assim, apresentar um SGSI documentalmente frágil.

Da mesma forma, uma organização não precisa transformar todos os seus processos em documentos extensos apenas para “ter documentação”.

O ponto central é:

A documentação deve sustentar o funcionamento e a demonstração da eficácia do SGSI.

Por isso, para compreender informação documentada na ISO 27001, é necessário diferenciar políticas, procedimentos, documentos, registros, evidências, informações mantidas e informações retidas.

O que é informação documentada na ISO 27001?

Informação documentada é a informação que a organização precisa controlar e manter, juntamente com o meio em que ela está contida.

Isso pode incluir informações em diferentes formatos, como:

• documentos digitais;
• documentos físicos;
• planilhas;
• registros eletrônicos;
• sistemas;
• relatórios;
• atas;
• formulários;
• evidências técnicas;
• logs;
• registros de aprovação;
• documentos externos controlados.

Portanto, informação documentada não significa necessariamente um arquivo PDF ou um documento de Word.

Uma informação armazenada em um sistema também pode fazer parte da informação documentada do SGSI.

Informação documentada é a mesma coisa que “documento”?

Não exatamente.

Esse é um ponto importante para compreender a lógica das normas de sistemas de gestão.

A expressão informação documentada é mais ampla.

Ela pode abranger tanto informações que precisam ser mantidas para apoiar a operação de processos quanto informações que precisam ser retidas como evidência de que determinado processo foi realizado.

Em termos didáticos:

Informação que precisa ser mantida

É aquela necessária para que o processo seja executado de forma adequada.

Exemplos:

• política;
• procedimento;
• metodologia;
• critérios;
• instrução;
• diretriz.

Informação que precisa ser retida

É aquela que demonstra que uma atividade ou processo foi realizado.

Exemplos:

• registro de treinamento;
• resultado de auditoria;
• ata de análise crítica;
• evidência de tratamento de incidente;
• resultado de avaliação de riscos.

Essa distinção é extremamente importante.

Qual é a diferença entre documento e registro?

Podemos utilizar uma distinção prática:

Documento orienta ou estabelece como algo deve ser feito.

Registro demonstra que algo foi feito.

Por exemplo:

Documento

Procedimento de Gestão de Acessos

Define:

• quem pode solicitar acesso;
• quem aprova;
• como o acesso é concedido;
• como é revogado;
• como são realizadas revisões.

Registro

Relatório da revisão trimestral de acessos

Demonstra:

• quando a revisão ocorreu;
• quem realizou;
• quais acessos foram analisados;
• quais alterações foram determinadas;
• quais ações foram executadas.

O procedimento estabelece a regra.

O registro demonstra a execução.

A ISO 27001 exige uma lista fixa de documentos obrigatórios?

Não existe uma lista universal que possa ser aplicada indistintamente a todas as organizações.

A ISO/IEC 27001 determina determinadas informações documentadas que precisam existir e também exige que a organização determine outras informações documentadas necessárias para a eficácia do SGSI.

Isso significa que a documentação necessária dependerá de fatores como:

• contexto;
• escopo;
• tamanho da organização;
• complexidade;
• processos;
• riscos;
• tecnologia;
• requisitos legais;
• requisitos regulatórios;
• requisitos contratuais;
• estrutura organizacional.

Portanto:

Não existe uma “pasta mágica” de documentos ISO 27001 que sirva igualmente para todas as empresas.

Quais informações documentadas são normalmente fundamentais para um SGSI?

A documentação necessária dependerá do contexto e dos requisitos aplicáveis, mas um SGSI normalmente envolve informações documentadas relacionadas a temas como:

• escopo do SGSI;
• política de segurança da informação;
• processo e critérios de avaliação de riscos;
• processo de tratamento de riscos;
• resultados da avaliação de riscos;
• resultados do tratamento de riscos;
• Declaração de Aplicabilidade;
• objetivos de segurança da informação;
• informações necessárias para apoiar a operação dos processos;
• evidências de competência;
• resultados de monitoramento e medição;
• programa e resultados de auditoria interna;
• resultados da análise crítica pela direção;
• não conformidades;
• ações corretivas;
• evidências relacionadas à melhoria.

Além disso, o Anexo A pode gerar a necessidade de políticas, procedimentos, registros e evidências específicas.

O que é informação documentada “mantida”?

Informação documentada mantida é aquela que precisa permanecer disponível e controlada para apoiar a operação do SGSI.

Por exemplo:

Política de Segurança da Informação

A organização precisa assegurar que a política apropriada esteja disponível para utilização e comunicação.

O documento funciona como referência para a organização.

Outros exemplos podem incluir:

• metodologia de avaliação de riscos;
• procedimentos de gestão de acessos;
• regras de classificação da informação;
• procedimentos de gestão de incidentes;
• critérios de segurança para fornecedores.

O que é informação documentada “retida”?

Informação documentada retida funciona principalmente como evidência.

Ela demonstra que uma atividade foi realizada ou que determinado resultado foi alcançado.

Exemplos:

• registro de treinamento;
• relatório de auditoria;
• ata de análise crítica;
• resultados de avaliação;
• registros de incidentes;
• evidências de ações corretivas;
• resultados de testes.

Essa distinção ajuda a compreender a lógica:

Manter → apoiar a execução.

Reter → demonstrar o que aconteceu.

Por que a informação documentada é importante para uma auditoria?

Porque um SGSI não pode depender exclusivamente da afirmação de que determinado processo existe.

Imagine que uma empresa diga:

“Nós fazemos revisão de acessos a cada três meses.”

O auditor pode perguntar:

“Qual é o procedimento?”

E depois:

“Mostre-me as evidências das últimas revisões.”

A organização precisa demonstrar não apenas que existe uma regra, mas que o processo é executado.

Assim, a auditoria pode examinar:

documento → execução → registro → evidência → resultado.

A existência de um documento significa que o processo está implementado?

Não.

Esse é um dos maiores erros em auditorias de sistemas de gestão.

Uma organização pode ter:

Política de Gestão de Acessos — aprovada.

Mas isso não demonstra, sozinho, que:

• os acessos são efetivamente controlados;
• as revisões são realizadas;
• os acessos indevidos são removidos;
• os responsáveis cumprem o procedimento;
• o controle é eficaz.

O documento demonstra a existência da regra.

As evidências demonstram a execução.

E os resultados podem ajudar a demonstrar a eficácia.

Documento, evidência e eficácia são coisas diferentes?

Sim.

Podemos pensar em três níveis:

1. Documento

“A organização determina que os acessos sejam revisados trimestralmente.”

2. Evidência

“Existem registros demonstrando que as revisões foram realizadas nos últimos quatro trimestres.”

3. Eficácia

“A revisão identificou acessos inadequados e eles foram efetivamente corrigidos, reduzindo o risco correspondente.”

Ter apenas o primeiro nível pode não ser suficiente.

A ISO 27001 exige que tudo seja documentado?

Não.

Esse é outro erro comum.

A organização deve determinar a informação documentada necessária para a eficácia do SGSI e cumprir os requisitos específicos da norma.

Isso não significa que cada atividade cotidiana precise gerar um procedimento formal.

Documentar excessivamente também pode gerar problemas:

• burocracia;
• duplicidade;
• documentos que ninguém utiliza;
• dificuldade de atualização;
• processos excessivamente engessados.

A pergunta adequada é:

“Qual informação precisa ser documentada para garantir que o processo seja executado de forma consistente e para demonstrar que os requisitos foram atendidos?”

Como determinar o nível adequado de documentação?

A organização deve considerar sua própria realidade.

Por exemplo:

Uma empresa pequena pode ter um processo de aprovação de acessos relativamente simples.

Uma instituição altamente regulada, com milhares de usuários e diferentes níveis de privilégio, provavelmente precisará de uma estrutura documental mais robusta.

O nível de documentação pode ser influenciado por:

• complexidade dos processos;
• quantidade de pessoas envolvidas;
• criticidade da informação;
• riscos;
• requisitos regulatórios;
• dependência tecnológica;
• necessidade de rastreabilidade;
• requisitos contratuais.

Portanto:

A ISO 27001 não deve ser implementada pela quantidade de documentos produzidos, mas pela adequação do sistema ao contexto e aos riscos.

Como controlar a informação documentada?

A organização precisa estabelecer controles adequados para garantir que a informação documentada seja:

• disponível quando necessária;
• adequada para utilização;
• protegida contra perda de confidencialidade;
• protegida contra alteração indevida;
• protegida contra perda de integridade;
• adequadamente armazenada;
• recuperável quando necessária;
• controlada quanto ao acesso;
• preservada durante seu ciclo de vida.

Também devem ser considerados aspectos como:

• distribuição;
• acesso;
• recuperação;
• uso;
• armazenamento;
• preservação;
• controle de alterações;
• retenção;
• disposição.

O controle de versões é obrigatório?

A organização precisa controlar adequadamente as alterações da informação documentada.

Na prática, isso normalmente envolve algum mecanismo de controle de versão ou outro método equivalente capaz de demonstrar qual é a versão vigente e evitar que versões obsoletas sejam utilizadas indevidamente.

Exemplo:

Política de Segurança da Informação

Versão: 03
Data de aprovação: 10/08/2026
Responsável: Diretoria
Próxima revisão: 10/08/2027

A estrutura específica pode variar.

O importante é que a organização consiga controlar a informação de maneira adequada.

O que acontece com documentos obsoletos?

Documentos obsoletos precisam ser adequadamente controlados para evitar seu uso indevido.

Isso não significa necessariamente apagar todo documento antigo.

Dependendo da necessidade, determinadas versões podem precisar ser retidas como informação documentada, por exemplo, para demonstrar histórico de decisões ou alterações.

Nesse caso, é necessário distinguir:

documento obsoleto de documento que precisa ser preservado como registro histórico.

Quem pode acessar a informação documentada?

O acesso deve ser controlado de acordo com as necessidades da organização.

Nem toda informação do SGSI deve estar disponível para todos.

Por exemplo:

Política de Segurança da Informação

Pode ter ampla divulgação interna.

Relatório de vulnerabilidades

Pode possuir acesso restrito.

Relatório de investigação de incidente

Pode possuir acesso ainda mais limitado.

A classificação e o controle de acesso devem considerar a sensibilidade da informação e os riscos envolvidos.

Informação documentada digital também precisa de proteção?

Sim.

A organização deve considerar os riscos associados ao meio em que a informação está armazenada.

Isso pode envolver:

• controle de acesso;
• autenticação;
• backup;
• proteção contra alteração indevida;
• disponibilidade;
• integridade;
• criptografia quando apropriada;
• rastreabilidade;
• gestão de permissões.

O fato de uma informação estar “na nuvem” não elimina a necessidade de controle.

A informação documentada precisa estar em papel?

Não.

A ISO/IEC 27001 não exige que a documentação seja física.

Ela pode ser mantida em:

• sistemas de gestão documental;
• plataformas corporativas;
• ferramentas de colaboração;
• repositórios controlados;
• sistemas especializados;
• bancos de dados;
• documentos digitais.

O formato é secundário.

O que importa é o controle da informação.

Qual é a relação entre informação documentada e segurança da informação?

A própria informação documentada pode ser um ativo que precisa ser protegido.

Uma organização precisa considerar:

Confidencialidade

Quem pode acessar?

Integridade

Quem pode alterar?

Disponibilidade

Quando ela precisa estar disponível?

Isso é particularmente relevante para documentos como:

• contratos;
• políticas;
• registros de incidentes;
• relatórios de auditoria;
• avaliações de riscos;
• informações de clientes;
• documentação de fornecedores.

Informação documentada pode ser uma planilha?

Sim.

Uma planilha pode constituir informação documentada se for utilizada e controlada como parte do SGSI.

Exemplos:

• matriz de riscos;
• inventário de ativos;
• matriz de requisitos;
• controle de treinamentos;
• avaliação de fornecedores;
• acompanhamento de ações corretivas.

Nesse caso, ela precisa ser adequadamente controlada.

Uma planilha crítica sem controle de acesso, sem versionamento e sem mecanismos de proteção contra alterações indevidas pode representar um risco.

E um e-mail pode ser informação documentada?

Dependendo do contexto, sim.

Se determinado e-mail constituir evidência necessária para demonstrar uma decisão, aprovação, comunicação ou execução de uma atividade relevante para o SGSI, ele pode fazer parte das informações que precisam ser retidas.

O formato não determina sozinho se algo é ou não informação documentada.

A função e a necessidade dentro do sistema são determinantes.

Qual é a relação entre informação documentada e evidência objetiva?

A informação documentada pode constituir uma forma de evidência objetiva, mas nem toda evidência precisa assumir a forma de um documento tradicional.

Uma evidência pode envolver:

• registros de sistema;
• logs;
• resultados de testes;
• observação de atividades;
• relatórios;
• entrevistas;
• registros eletrônicos.

Em uma auditoria, a organização precisa ser capaz de demonstrar, por meios apropriados, que os requisitos estão sendo atendidos.

Quais são os erros mais comuns relacionados à informação documentada?

1. Criar documentos apenas para “passar na auditoria”

Isso produz documentação desconectada da operação real.

2. Criar procedimentos que ninguém segue

Um procedimento escrito e uma prática operacional completamente diferente criam uma inconsistência importante.

3. Não controlar versões

Pessoas diferentes podem acabar utilizando documentos diferentes.

4. Não controlar acesso

Informações sensíveis podem ficar disponíveis para pessoas que não precisam acessá-las.

5. Não proteger contra alterações indevidas

Uma informação crítica pode ser modificada sem autorização ou rastreabilidade.

6. Não guardar evidências

A organização afirma que realizou determinada atividade, mas não possui registros suficientes para demonstrá-la.

7. Guardar documentos sem utilidade

Documentação excessiva aumenta o custo de manutenção e pode gerar confusão.

8. Não atualizar documentos após mudanças

A organização altera seu processo, tecnologia ou estrutura, mas continua utilizando um procedimento antigo.

Como a informação documentada se relaciona com a auditoria interna?

A auditoria interna verifica se o SGSI atende aos requisitos aplicáveis e se está implementado e mantido de maneira adequada.

A informação documentada fornece parte importante das evidências utilizadas nesse processo.

O auditor pode analisar:

O que a organização determinou?

↓

Como o processo deveria funcionar?

↓

O que efetivamente aconteceu?

↓

Existem registros?

↓

Os resultados demonstram conformidade?

Essa lógica é fundamental.

Como a informação documentada se relaciona com a análise crítica pela direção?

A alta direção precisa receber informações adequadas para avaliar o desempenho e a adequação do SGSI.

Podem ser utilizados, conforme aplicável:

• resultados de auditorias;
• desempenho dos processos;
• indicadores;
• incidentes;
• resultados de avaliações;
• não conformidades;
• ações corretivas;
• mudanças relevantes;
• oportunidades de melhoria.

A informação documentada fornece rastreabilidade dessas avaliações e decisões.

Como a informação documentada se relaciona com não conformidades?

Quando uma não conformidade é identificada, a organização precisa ser capaz de registrar e acompanhar:

• o que ocorreu;
• qual requisito foi afetado;
• qual foi a causa;
• quais ações foram tomadas;
• quem foi responsável;
• qual foi o resultado;
• se a ação foi eficaz.

Esses registros constituem informação documentada importante para demonstrar o processo de ação corretiva e melhoria.

Exemplo prático: gestão de acessos

Imagine que uma organização estabeleça o seguinte processo:

“Todo acesso privilegiado deve ser revisado trimestralmente.”

Documento

Procedimento de Gestão de Acessos.

Define como a revisão deve ocorrer.

Registro

Relatório da revisão trimestral.

Demonstra que a atividade ocorreu.

Evidência técnica

Logs e registros do sistema.

Demonstram determinadas alterações realizadas.

Resultado

A revisão identifica três acessos indevidos.

Ação

Os acessos são revogados.

Melhoria

A organização identifica que o processo de desligamento de colaboradores precisa ser aprimorado.

Observe como a documentação acompanha o ciclo:

regra → execução → evidência → resultado → ação → melhoria.

É isso que torna a documentação parte integrante do SGSI, e não apenas um conjunto de arquivos.

Como construir uma estrutura documental eficiente para a ISO 27001?

Uma arquitetura documental pode ser organizada em camadas.

Camada 1 — Diretrizes

Exemplos:

• Política de Segurança da Informação;
• políticas temáticas;
• diretrizes corporativas.

Camada 2 — Processos e procedimentos

Exemplos:

• gestão de acessos;
• gestão de incidentes;
• gestão de fornecedores;
• gestão de vulnerabilidades;
• gestão de riscos.

Camada 3 — Registros

Exemplos:

• aprovações;
• treinamentos;
• revisões;
• avaliações;
• auditorias;
• incidentes.

Camada 4 — Evidências técnicas

Exemplos:

• logs;
• relatórios;
• configurações;
• resultados de testes;
• evidências de monitoramento.

Essa estrutura ajuda a evitar um erro comum: tentar colocar toda a operação do SGSI dentro de um único documento.

Qual é a melhor pergunta para saber se algo precisa ser documentado?

Em vez de perguntar:

“A ISO manda criar esse documento?”

é mais útil perguntar:

“Precisamos desta informação documentada para atender a um requisito, controlar um processo, demonstrar uma decisão, preservar uma evidência ou garantir a eficácia do SGSI?”

Se a resposta for sim, a organização deve avaliar como essa informação será criada, controlada, protegida, disponibilizada, atualizada e retida.

FAQ avançado sobre informação documentada na ISO 27001

1. Toda informação do SGSI precisa ser documentada?

Não. A organização deve determinar a informação documentada necessária para a eficácia do SGSI e cumprir os requisitos específicos da norma.

2. Todo documento é uma evidência?

Não. Um documento pode estabelecer uma regra sem demonstrar que ela foi executada.

3. Todo registro é um procedimento?

Não. O registro normalmente demonstra que determinada atividade ocorreu.

4. Uma política prova que um controle funciona?

Não. Ela demonstra uma diretriz ou intenção. São necessárias evidências de implementação e, conforme o caso, de eficácia.

5. A ISO 27001 exige documentos em Word ou PDF?

Não. O formato pode variar.

6. Uma planilha pode ser informação documentada?

Sim, desde que faça parte do SGSI e esteja adequadamente controlada.

7. Um log pode ser evidência?

Sim, dependendo do requisito ou controle que ele demonstra.

8. É obrigatório ter um procedimento para cada controle do Anexo A?

Não. A necessidade de procedimentos depende do contexto, dos riscos, dos processos e dos requisitos aplicáveis.

9. Documentação excessiva é um problema?

Pode ser. Documentação desnecessária aumenta a complexidade e o esforço de manutenção.

10. Uma documentação perfeita garante certificação?

Não. A certificação envolve o SGSI como um todo, incluindo implementação, operação, avaliação de desempenho e melhoria.

Conclusão

A informação documentada na ISO 27001 não existe para criar burocracia.

Ela existe para dar estrutura, rastreabilidade, consistência e evidência ao Sistema de Gestão de Segurança da Informação.

Uma organização madura não documenta simplesmente porque “a ISO pede”.

Ela documenta aquilo que precisa ser:

definido, executado, controlado, protegido, demonstrado e melhorado.

Por isso, é importante distinguir:

Documento não é necessariamente registro.

Registro não é necessariamente prova de eficácia.

Ter um documento não significa que o processo esteja implementado.

Ter um registro não significa, por si só, que o controle seja eficaz.

A verdadeira força da documentação aparece quando existe coerência entre:

o que a organização determina

→ o que as pessoas executam

→ o que os sistemas registram

→ o que as evidências demonstram

→ o que os indicadores revelam

→ o que a auditoria verifica

→ o que a organização melhora.

É essa conexão que transforma a documentação de uma exigência formal em um instrumento de governança e gestão da segurança da informação.

Precisa estruturar a documentação do seu SGSI?

A implementação da ISO/IEC 27001 exige identificar quais informações precisam ser documentadas, definir responsabilidades, estabelecer controles documentais e conectar documentos e registros aos riscos e processos reais da organização.

Uma estrutura documental adequada deve ser construída a partir do contexto e dos riscos da empresa, e não pela simples reprodução de modelos genéricos.

📞 (11) 97981-2035
✉️ contato@advogadosbarbosa.com

SOLICITE SUA AVALIAÇÃO DE MATURIDADE
https://form.respondi.app/7jYlVSe7