As normas técnicas oferecem um vocabulário comum e um conjunto de práticas reconhecidas internacionalmente, permitindo que organizações estruturem sua segurança de forma auditável e comparável.

A adoção de normas também facilita a demonstração de diligência perante clientes, parceiros e órgãos reguladores.

Família ISO/IEC 27000

ISO/IEC 27001: estabelece os requisitos para implantar, operar e melhorar um Sistema de Gestão de Segurança da Informação (SGSI). É a norma certificável da família.

ISO/IEC 27002: apresenta o código de práticas com controles detalhados e orientações de implementação.

ISO/IEC 27005: trata especificamente da gestão de riscos de segurança da informação.

ISO 22301: voltada à gestão de continuidade de negócios.

O Ciclo PDCA no SGSI

A ISO 27001 estrutura-se sobre a melhoria contínua: Plan (definir escopo, política e tratamento de riscos), Do (implementar controles), Check (monitorar e auditar) e Act (corrigir e aprimorar).

A Declaração de Aplicabilidade (SoA) documenta quais controles foram adotados e justifica as exclusões.