{"id":43097,"date":"2026-07-01T11:35:17","date_gmt":"2026-07-01T09:35:17","guid":{"rendered":"https:\/\/smartfense.com\/?p=43097"},"modified":"2026-07-01T12:13:12","modified_gmt":"2026-07-01T10:13:12","slug":"iso-27001-2022-controlo-6-3-sensibilizacao","status":"publish","type":"post","link":"https:\/\/smartfense.com\/pt-pt\/blog-pt-pt\/iso-27001-2022-controlo-6-3-sensibilizacao\/","title":{"rendered":"O que exige o controlo 6.3 da ISO 27001:2022 sobre sensibiliza\u00e7\u00e3o e como demonstr\u00e1-lo"},"content":{"rendered":"

A revis\u00e3o de outubro de 2022 da ISO\/IEC 27001 reorganizou por completo o Anexo A, e o prazo para que as organiza\u00e7\u00f5es certificadas migrassem da vers\u00e3o 2013 terminou a 31 de outubro de 2025. Quem hoje se certifica ou renova f\u00e1-lo j\u00e1 sobre a vers\u00e3o nova. Nessa reorganiza\u00e7\u00e3o, o controlo de sensibiliza\u00e7\u00e3o mudou de n\u00famero, de agrupamento e, sobretudo, de exig\u00eancia probat\u00f3ria.<\/p>\n

Este artigo n\u00e3o explica o que \u00e9 a ISO 27001 nem como obter a certifica\u00e7\u00e3o. Parte do princ\u00edpio de que esse terreno j\u00e1 est\u00e1 coberto. Concentra-se em algo mais circunscrito, que \u00e9 o que diz o controlo 6.3 sobre a sensibiliza\u00e7\u00e3o do pessoal, o que mudou face a 2013 e o que uma organiza\u00e7\u00e3o tem de conseguir mostrar quando o auditor come\u00e7a a pedir evid\u00eancia.<\/p>\n

O que exige o controlo 6.3 da ISO 27001:2022 sobre sensibiliza\u00e7\u00e3o?<\/h2>\n

O controlo 6.3 do Anexo A, \u00abInformation security awareness, education and training\u00bb, exige que todo o pessoal da organiza\u00e7\u00e3o (e, quando aplic\u00e1vel, os terceiros relevantes) receba forma\u00e7\u00e3o adequada e atualizada sobre as pol\u00edticas de seguran\u00e7a e sobre o seu papel nelas. Est\u00e1 dentro do tema Pessoas, um dos quatro agrupamentos da norma nova.<\/p>\n

O peso est\u00e1 em tr\u00eas palavras do enunciado. \u00abAdequada\u00bb significa que o conte\u00fado tem de corresponder \u00e0 fun\u00e7\u00e3o de cada pessoa e aos riscos reais do posto, n\u00e3o a um programa gen\u00e9rico. \u00abAtualizada\u00bb implica que a forma\u00e7\u00e3o acompanha o ritmo das mudan\u00e7as nas pol\u00edticas e no panorama de amea\u00e7as. E \u00abtodo o pessoal\u00bb fecha a porta a programas que s\u00f3 alcan\u00e7am uma parte do quadro. O controlo descreve um processo vivo, sustentado no tempo e revisto sempre que o contexto muda.<\/p>\n

O 6.3 tamb\u00e9m n\u00e3o vive isolado. Apoia-se no controlo 6.2, que regula os termos e condi\u00e7\u00f5es da rela\u00e7\u00e3o de trabalho, e nas pol\u00edticas de seguran\u00e7a que a dire\u00e7\u00e3o aprova ao abrigo do controlo 5.1. A forma\u00e7\u00e3o \u00e9 o mecanismo pelo qual essas pol\u00edticas deixam de ser um documento e se tornam comportamento. Um auditor que analisa o 6.3 quase sempre verifica, em paralelo, que existe uma pol\u00edtica a que a forma\u00e7\u00e3o remete e que essa pol\u00edtica est\u00e1 em vigor.<\/p>\n

A quem se aplica a forma\u00e7\u00e3o do controlo 6.3?<\/h2>\n

A todo o pessoal da organiza\u00e7\u00e3o, independentemente da fun\u00e7\u00e3o ou da antiguidade, e aos terceiros com acesso \u00e0 informa\u00e7\u00e3o ou aos sistemas quando esse acesso o justifique. O controlo n\u00e3o admite a l\u00f3gica de formar apenas as equipas t\u00e9cnicas ou quem lida com dados sens\u00edveis. A sensibiliza\u00e7\u00e3o entende-se como uma camada de prote\u00e7\u00e3o que cobre a organiza\u00e7\u00e3o inteira.<\/p>\n

H\u00e1 tr\u00eas grupos que conv\u00e9m tratar de forma diferenciada, porque s\u00e3o os que o auditor analisa com mais detalhe. O pessoal geral precisa de uma base comum sobre pol\u00edticas, amea\u00e7as habituais e como reportar um incidente. Os perfis de maior exposi\u00e7\u00e3o, como administra\u00e7\u00e3o de sistemas, finan\u00e7as ou apoio ao cliente, requerem conte\u00fado espec\u00edfico para os riscos da sua fun\u00e7\u00e3o. E a dire\u00e7\u00e3o entra numa categoria pr\u00f3pria, porque aprova as pol\u00edticas e responde por elas, pelo que a sua forma\u00e7\u00e3o tem de ir al\u00e9m da mensagem geral. Deixar a camada de dire\u00e7\u00e3o fora do programa \u00e9 uma das lacunas que uma auditoria deteta mais depressa.<\/p>\n

O que mudou entre a ISO 27001:2013 e a vers\u00e3o 2022 na sensibiliza\u00e7\u00e3o?<\/h2>\n

O requisito de fundo n\u00e3o se transformou, mas a sua localiza\u00e7\u00e3o e a sua leitura sim. Em 2013, a sensibiliza\u00e7\u00e3o vivia no controlo A.7.2.2, dentro de um dom\u00ednio dedicado aos recursos humanos. Em 2022 passou a ser o controlo 6.3 do tema Pessoas, uma reorganiza\u00e7\u00e3o que a aproxima de outros controlos sobre comportamento e responsabilidade individual.<\/p>\n\n\n\n\n\n\n\n\n
Aspeto<\/th>\nISO 27001:2013<\/th>\nISO 27001:2022<\/th>\n<\/tr>\n<\/thead>\n
Controlo de sensibiliza\u00e7\u00e3o<\/td>\nA.7.2.2<\/td>\n6.3<\/td>\n<\/tr>\n
Agrupamento<\/td>\nDom\u00ednio 7, seguran\u00e7a ligada aos recursos humanos<\/td>\nTema Pessoas<\/td>\n<\/tr>\n
Total de controlos do Anexo A<\/td>\n114<\/td>\n93 (11 deles novos)<\/td>\n<\/tr>\n
Estrutura do Anexo A<\/td>\n14 dom\u00ednios<\/td>\n4 temas<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A mudan\u00e7a que mais importa para um programa de sensibiliza\u00e7\u00e3o n\u00e3o est\u00e1 no texto do 6.3, mas no contexto. A vers\u00e3o 2022 incorporou controlos novos orientados para a conduta e para o uso da tecnologia, e isso eleva a expetativa do auditor sobre o que significa \u00absensibilizar\u00bb. Demonstrar que as pessoas sabem j\u00e1 n\u00e3o basta quando a norma, no seu conjunto, vira para o poder demonstrar que as pessoas agem de forma diferente.<\/p>\n

Como se evidencia o cumprimento do controlo 6.3 numa auditoria?<\/h2>\n

Um auditor n\u00e3o se contenta em ver que existe um curso. Pede rasto. A evid\u00eancia que sustenta o controlo 6.3 costuma apoiar-se nestes elementos:<\/p>\n