ISO 27001 e Backup: O Que a Norma Exige

ISO 27001 e Backup: O Que Realmente Muda na Sua Operação

Pontos-Chave

• A ISO/IEC 27001:2022 é o padrão internacional de referência — acesse a página oficial da ISO
• O Anexo A contém 93 controles, com o A.8.13 dedicado explicitamente a backup
• Implementação e certificação levam tipicamente de 6 a 18 meses
• Backups devem ser testados regularmente — testes apenas "na teoria" reprovam em auditoria
• A certificação facilita significativamente a conformidade com LGPD, criando base para compliance dual

A ISO 27001 é o padrão internacional mais reconhecido para Sistemas de Gestão de Segurança da Informação (SGSI). Publicada pela International Organization for Standardization em conjunto com a International Electrotechnical Commission, a norma estabelece requisitos para implementar, manter e melhorar continuamente a proteção de informações.

A versão mais recente, a ISO/IEC 27001:2022, reorganizou os controles do Anexo A em quatro categorias: organizacionais, pessoais, físicos e tecnológicos. E o backup está presente de forma explícita e implícita em diversas delas.

Por que isso importa para empresas brasileiras? Porque a ISO 27001 demonstra maturidade em segurança perante clientes, reguladores e o mercado. Em um cenário onde o IBM Cost of a Data Breach Report aponta custo médio global de US$ 4,88 milhões por vazamento, a certificação se tornou diferencial competitivo e, em muitos setores, exigência contratual.

O backup corporativo está no centro dessa norma porque é a última linha de defesa. Sem backup adequado, todos os outros controles podem falhar em proteger o ativo mais importante: os dados.

Estrutura da ISO 27001 relevante para backup

• Cláusulas 4 a 10: definem o SGSI — contexto, liderança, planejamento, suporte, operação, avaliação e melhoria. Obrigatórias para certificação.
• Anexo A: lista 93 controles organizados em 4 categorias. A organização seleciona os aplicáveis com base na análise de risco.

Controles da ISO 27001 Que Exigem Backup (Anexo A)

O Anexo A da ISO 27001:2022 contém diversos controles que impactam diretamente a estratégia de backup corporativo. Abaixo os mais relevantes.

A.8.13 — Backup de informações

O controle principal. Exige que:

• Cópias de backup de informações, software e imagens de sistema sejam mantidas e testadas regularmente
• Uma política de backup formal seja definida e implementada
• A política cubra escopo, frequência, retenção, procedimentos de restauração e responsabilidades
• Testes de restauração sejam realizados periodicamente

A.8.14 — Redundância de recursos

Exige redundância suficiente para atender aos requisitos de disponibilidade. Conecta-se diretamente ao RTO.

A.5.29 — Segurança durante disrupções

Como manter a segurança durante eventos disruptivos. O backup é componente essencial do plano de disaster recovery.

A.5.30 — Prontidão de TIC

Prontidão planejada, implementada, mantida e testada com base nos objetivos de continuidade. Backups testados e documentados são fundamentais.

A.8.10 — Exclusão de informações

Informações devem ser excluídas quando não forem mais necessárias. Impacta diretamente a política de retenção.

A.8.24 — Uso de criptografia

Backups contendo informações sensíveis devem ser criptografados em trânsito e repouso.

A tabela abaixo resume os controles e suas implicações:

Para referência complementar sobre como esses controles se traduzem em prática, o framework NIST SP 800-53 oferece mapeamento adicional — consulte as publicações oficiais do NIST.

Requisitos Técnicos de Backup Segundo a ISO 27001

A norma não prescreve tecnologias específicas, mas seus controles traduzem-se em requisitos técnicos claros.

1. Política de backup formalizada

O controle A.8.13 exige política documentada incluindo:

• Escopo: quais sistemas, aplicações e dados são cobertos
• Classificação: nível de criticidade alinhado à análise de risco
• Frequência: periodicidade para cada nível
• Retenção: por quanto tempo mantida
• Tipo: completo, incremental, diferencial
• Localização: local, nuvem, offsite
• Responsabilidades: quem executa, monitora, testa e aprova
• Procedimentos de restauração: passo a passo documentado

2. Criptografia obrigatória

• Em trânsito: TLS 1.2 ou superior
• Em repouso: AES-256
• Gestão de chaves: armazenadas separadamente, com rotação periódica
• Documentação: algoritmos e comprimentos de chave registrados

3. Controle de acesso e autenticação

• Princípio do menor privilégio
• Autenticação forte: MFA obrigatória
• Contas dedicadas: separadas das contas de usuário
• Segregação de funções: quem administra não aprova restaurações

4. Logs e auditoria

• Log de todas as execuções (sucesso e falha)
• Log de todas as restaurações
• Log de acessos ao sistema e às mídias
• Retenção tipicamente por 12 meses ou mais
• Proteção dos logs contra alteração

5. Testes de restauração documentados

Um dos pontos mais cobrados em auditorias. Quantas empresas descobriram, na hora do desastre, que seus backups nunca foram testados de verdade?

• Cronograma definido e aprovado
• Registro de cada teste: data, escopo, tempo de restauração
• Resultado: sucesso/falha, com plano de ação
• Comparação do tempo real com o RTO definido
• Assinatura do responsável pela validação

6. Proteção da integridade

• Verificação de integridade: checksums ou hashes
• Proteção contra alteração: backup imutável (WORM)
• Proteção contra exclusão: retenção obrigatória
• Proteção contra ransomware: cópias offsite ou air-gapped

Como Implementar Backup Conforme a ISO 27001

Etapa 1: Análise de risco e classificação

1. Inventariar ativos: listar sistemas, bancos e repositórios
2. Classificar por criticidade
3. Definir RTO e RPO para cada ativo
4. Identificar ameaças: ransomware, falha de hardware, erro humano
5. Avaliar controles existentes

Etapa 2: Definir a política de backup

Etapa 3: Implementar controles técnicos

• Criptografia AES-256 com gestão de chaves separada
• Regra 3-2-1-1-0: 3 cópias, 2 mídias, 1 offsite, 1 imutável, 0 erros nos testes
• Controle de acesso com MFA
• Logs centralizados e protegidos
• Backup imutável para dados críticos
• Segregação de rede

Etapa 4: Documentar procedimentos operacionais

O controle A.5.37 exige procedimentos documentados para:

• Execução e monitoramento diário
• Restauração para cada tipo de sistema
• Teste de restauração
• Gestão de incidentes
• Exclusão segura de mídias
• Escalação em caso de falha crítica

Etapa 5: Monitoramento e alertas

• Alertas automáticos para falhas
• Dashboard com visibilidade para gestão
• Métricas de SLA: taxa de sucesso, tempo de restauração, conformidade com RPO
• Relatórios para revisão gerencial (cláusula 9.3)

Etapa 6: Auditorias internas

A cláusula 9.2 exige auditorias regulares. Verifique:

1. A política está sendo seguida?
2. Os testes estão sendo realizados na frequência definida?
3. Os logs estão completos e protegidos?
4. Os controles de acesso estão adequados?
5. As não conformidades anteriores foram corrigidas?
6. Os riscos foram reavaliados?

ISO 27001 vs LGPD: Complementaridade

Empresas brasileiras precisam atender tanto à LGPD quanto à ISO 27001. Elas se complementam de forma significativa.

Implementar a ISO 27001 cria base sólida para compliance LGPD. A abordagem recomendada está detalhada no nosso guia sobre LGPD e backup. Para instituições reguladas, combine com o guia sobre compliance BACEN. Para quem processa cartões, veja também PCI DSS e backup.

Como a ISO 27001 facilita a LGPD

• Framework de gestão: SGSI fornece estrutura que a LGPD espera mas não detalha
• Análise de risco: atende ao RIPD da LGPD
• Evidências documentadas: servem à ANPD
• Melhoria contínua: ciclo PDCA garante evolução
• Auditoria interna: identifica lacunas

Como a DataBackup Facilita a Certificação

Controles atendidos automaticamente

Documentação pronta para auditoria

• Relatórios de conformidade: status de todos os backups
• Evidências de testes: registro detalhado
• Logs de auditoria: histórico completo
• Métricas de SLA: compliance com RTO e RPO
• Inventário de ativos protegidos

Checklist ISO 27001 para backup

1. Política documentada e aprovada pela direção?
2. Classificação com RTO/RPO por nível?
3. Criptografia AES-256 + TLS?
4. Gestão de chaves separada?
5. Controle de acesso com MFA?
6. Segregação de funções?
7. Logs habilitados, protegidos e retidos por 12+ meses?
8. Testes de restauração documentados?
9. Backup imutável para dados críticos?
10. Cópia offsite?
11. Procedimentos operacionais documentados?
12. Monitoramento e alertas automáticos?
13. Análise de risco atualizada?
14. Auditorias internas regulares?
15. Plano de melhoria contínua?

Análise de Gaps: Template para Avaliação de Backup

Antes de buscar a certificação ISO 27001 — ou mesmo para elevar a maturidade sem certificação formal — é fundamental realizar uma análise de gaps que identifique onde a operação de backup está aquém dos requisitos da norma. O template abaixo cobre os controles mais relevantes.

Matriz de avaliação por controle

Legenda: N = Não implementado | P = Parcialmente implementado | T = Totalmente implementado

Após preencher a matriz, priorize as ações por criticidade: itens classificados como N (não implementado) em controles diretamente cobrados em auditoria (A.8.13, A.8.24, A.8.3) devem ser tratados primeiro. A análise deve ser revisada pela direção conforme exigido pela cláusula 5.1 (Liderança e comprometimento).

Documentação Específica de Backup para Certificação

Um dos motivos mais comuns de não conformidade em auditorias ISO 27001 é a falta de documentação adequada. A norma exige que controles sejam não apenas implementados, mas também documentados, aprovados e rastreáveis. Abaixo, os documentos específicos de backup que auditores esperam encontrar.

Documentos obrigatórios

Dicas para a documentação

• Versionamento: todo documento deve ter número de versão, data de revisão e responsável. Auditores verificam se a versão em uso é a mais recente
• Aprovação formal: documentos sem assinatura (física ou digital) da autoridade competente são tratados como rascunhos — não contam como evidência
• Acessibilidade: a equipe responsável pela operação deve saber onde encontrar os documentos e ter acesso fácil a eles. Um procedimento excelente guardado em um cofre trancado não atende ao propósito
• Consistência: a política diz backup diário, mas os logs mostram backup semanal? Essa inconsistência é a não conformidade mais frequente em auditorias de backup
• Linguagem clara: evite termos ambíguos como "regularmente" ou "conforme necessário". Use datas, frequências e métricas específicas

Preparação para a Auditoria de Certificação: Checklist Completo

A auditoria de certificação ISO 27001 é conduzida por um organismo certificador credenciado e ocorre em duas fases: análise documental (Fase 1) e auditoria in loco (Fase 2). Abaixo, um checklist específico para a área de backup que cobre ambas as fases.

Fase 1 — Análise documental (o auditor revisará)

1. Declaração de Aplicabilidade (SoA) inclui controles A.8.13, A.8.14, A.5.29, A.5.30, A.8.10, A.8.24 como aplicáveis
2. Política de backup aprovada e dentro do prazo de revisão
3. Análise de risco que justifica as decisões de frequência, retenção e tipo de backup
4. Inventário de ativos protegidos com classificação por criticidade
5. Procedimentos operacionais documentados para backup e restauração
6. Plano de testes de restauração com cronograma definido
7. Evidências de que a direção revisou e aprovou o SGSI (ata de reunião de análise crítica)

Fase 2 — Auditoria in loco (o auditor verificará na prática)

1. Logs de execução dos últimos meses mostram que backups estão ocorrendo conforme a política
2. Relatórios de testes de restauração existem e estão completos (com tempos reais medidos)
3. A equipe sabe descrever o procedimento de restauração sem consultar o documento (demonstra internalização)
4. O sistema de backup tem controle de acesso ativo com MFA
5. Logs de acesso ao sistema de backup estão sendo retidos e protegidos
6. Criptografia está ativa (em repouso e em trânsito) — o auditor pode pedir demonstração
7. Não conformidades anteriores (se houver) foram tratadas com ações corretivas verificáveis
8. A política de retenção está sendo cumprida (backups antigos sendo excluídos conforme definido)
9. Existe evidência de melhoria contínua (mudanças implementadas desde a última revisão)

Erros que reprovam em auditoria

• Backup sem teste: o auditor pergunta "quando foi o último teste de restauração?" e a resposta é "nunca" ou "não lembro". Não conformidade maior
• Política desatualizada: a política menciona tecnologias que não existem mais na empresa. Indica que nunca foi revisada
• SoA inconsistente: o controle A.8.13 está como "aplicável" na SoA, mas não há evidência de implementação
• Equipe destreinada: a pessoa responsável pelo backup não sabe explicar o procedimento de restauração em emergência
• Logs incompletos: logs de backup existem, mas não registram falhas — apenas sucessos. Isso sugere que falhas estão sendo ignoradas

Timeline de Implementação: Da Decisão à Certificação

O processo completo de implementação do SGSI e certificação ISO 27001 varia de 6 a 18 meses. Abaixo, um cronograma realista focado nos controles de backup, com marcos e entregas esperadas em cada fase.

Dica prática: não espere ter tudo perfeito para iniciar. Comece pela documentação e pelos controles técnicos mais básicos (criptografia e controle de acesso). O período de "operação e evidências" é o mais longo porque o auditor precisa ver que o sistema funciona na prática — não apenas no papel. Quanto antes você iniciar, mais cedo acumula as evidências necessárias.

A DataBackup reduz significativamente a fase de implementação técnica: criptografia AES-256, TLS 1.3, MFA, imutabilidade e logs de auditoria já vêm configurados na plataforma. Empresas que usam DataBackup tipicamente avançam da fase 3 direto para a fase 5 em semanas, não meses.

Conclusão

A ISO 27001 estabelece framework robusto para proteger informações, e o backup é um dos pilares. Com controles explícitos como o A.8.13 e complementares de criptografia, controle de acesso, logs e continuidade, a norma exige que o backup seja tratado como processo crítico.

Para empresas brasileiras, a ISO 27001 complementa a LGPD naturalmente. Juntas, criam postura de segurança madura e auditável.

Se sua empresa está em processo de certificação ou deseja elevar o nível de maturidade, o primeiro passo é avaliar a situação atual. Fale com nossos especialistas via WhatsApp para uma avaliação de conformidade, ou conheça os planos da DataBackup com controles ISO 27001 nativos.