História real.
Uma mulher que formei no início deste ano contou-me como acabou no projeto ISO/IEC 27001 da sua empresa. Não se voluntariou. Alguém saiu, ficou uma lacuna, e o seu gestor apontou para ela num corredor e disse: "agora tratas da certificação de segurança."
O seu historial era de coordenação de projetos. Nunca tinha aberto uma norma ISO na vida. Na primeira reunião, o consultor externo falou durante quarenta minutos sobre a Declaração de Aplicabilidade, os controlos do Anexo A e o plano de tratamento do risco. Ela escreveu as três expressões no caderno, soletradas foneticamente, e pesquisou cada uma delas no Google a caminho de casa, no comboio.
E fez isso durante seis meses. Em cada reunião. Vocabulário novo, pesquisa discreta no Google a seguir, a acenar com a cabeça nos momentos certos para que ninguém na sala percebesse que ela não fazia ideia do que estava realmente a ser decidido.
Não era má no seu trabalho. Era boa no seu trabalho. Simplesmente tinha sido lançada para dentro de uma linguagem que ninguém se ofereceu para lhe ensinar.
Se já esteve perto da ISO/IEC 27001 sem ter um background de segurança, alguma versão desta história provavelmente soa familiar. Talvez esteja em compliance. Talvez esteja em TI e tenha sido voluntariado. Talvez seja consultor e precise de ser credível perante um cliente na segunda-feira. Os detalhes mudam. A sensação não: toda a gente na sala parece fluente em algo que nunca lhe ensinaram, e admiti-lo em voz alta parece mais arriscado do que fingir que sabe.
Este artigo é sobre essa lacuna. Não a lacuna de implementação. A que vem antes. A lacuna de vocabulário. E como a fechar.
Ninguém deixa aprender antes de precisar
Eis o problema com a ISO/IEC 27001. Não há oportunidade de a estudar antes de aterrar na sua secretária.
É atribuído a um projeto. Ou é feita uma pergunta numa reunião. Ou a empresa decide certificar-se e coloca o seu nome ao lado de "responsável". E de repente espera-se que tenha opiniões sobre coisas de que nunca ouviu falar. Ninguém o senta primeiro. Ninguém diz: "antes de começarmos, aqui está o que é um ISMS, aqui está como a norma está construída, aqui está o que estas palavras significam e porque é que importam." Simplesmente começam a usar as palavras.
E há muitas palavras. Confidencialidade, integridade, disponibilidade. Avaliação do risco, tratamento do risco, aceitação do risco. Anexo A, Declaração de Aplicabilidade, objetivos de controlo, não conformidade, ação corretiva, melhoria contínua. Trinta páginas de norma. Noventa e três controlos. Um vocabulário de trabalho completo que toda a gente à sua volta parece ter absorvido por osmose.
Não o absorveu por osmose. Ninguém o faz. As pessoas que parecem fluentes aprenderam em algum sítio, deliberadamente. Simplesmente aprenderam antes de você entrar na sala.
Esse é o problema na sua totalidade. Não é que a ISO/IEC 27001 seja impossível. É que a área exige que fale a linguagem antes de alguém a ensinar.
Cinco coisas em que as pessoas acenam sem perceber
Já formei muitas pessoas no início desta jornada. Os mesmos conceitos fazem tropeçar toda a gente, não porque sejam lentas, mas porque ninguém os explicou corretamente. Aqui estão cinco coisas em que as pessoas fingem compreender, e não deveriam ter de o fazer.
"Um ISMS." A maioria das pessoas pensa que é um software. Ou um único documento. Ou aquela pasta no SharePoint. Não é. Um Information Security Management System é todo o sistema utilizado para gerir a segurança: as políticas, os processos, as decisões, as pessoas e a forma como tudo se liga. Quando isso faz clique, metade da norma deixa de ser misteriosa. Até isso acontecer, nada faz sentido.
"Risco." Este é o maior problema. As pessoas usam "risco" para dizer quatro coisas diferentes na mesma frase. Uma ameaça não é uma vulnerabilidade. Uma vulnerabilidade não é um risco. E "não temos autenticação multifator" também não é um risco; é um controlo em falta. Um risco é um cenário: algo que pode acontecer, porque pode acontecer e o que custaria. Se não conseguir distinguir esses conceitos, cada conversa sobre riscos parecerá uma névoa. Quando conseguir, torna-se subitamente legível.
"A Declaração de Aplicabilidade." As pessoas acenam com a cabeça a esta expressão durante anos sem saber para que serve. É o documento que indica quais dos controlos do Anexo A se aplicam, quais não se aplicam e porquê. É também o primeiro documento que um auditor abre. Se não perceber o que é, não consegue perceber porque é que importa tanto, e importa mais do que quase tudo o resto no dossiê.
"O Anexo A é uma lista de compras." Não é. Os noventa e três controlos do Anexo A não são um menu do qual se compra nem uma lista de verificação que se assinala. São opções que se justificam, com base nos riscos. "Implementámos os noventa e três" não é uma boa resposta. "Implementámos estes, excluímos aqueles e aqui está o porquê" é. A distância entre essas duas frases é a distância entre compreender a norma e representá-la.
"Certificado significa concluído." Passar na auditoria de certificação não é a linha de chegada. A ISO/IEC 27001 é um sistema de gestão, o que significa que deve continuar a funcionar: monitorizado, revisto, melhorado, auditado de novo. As pessoas que pensam que a certificação é um evento único são as que entram em pânico na auditoria de vigilância um ano depois. Perceber isso desde o início muda a forma como trata tudo o resto.
Nenhum destes conceitos é avançado. São as bases. Mas as bases são exatamente o que ninguém para para ensinar, e é por isso que tantas pessoas competentes passam tanto tempo a sentir-se perdidas.
O que dois dias realmente proporcionam
Não sai de um curso Foundation capaz de construir um ISMS do zero. Isso é um curso diferente, e mais longo. O que leva é algo mais imediatamente útil para onde provavelmente está agora: consegue finalmente acompanhar a conversa.
Terá um modelo mental do que é um ISMS e porque existe, para que a norma deixe de parecer cláusulas desconexas. Terá o vocabulário, genuinamente compreendido em vez de memorizado, para que as palavras na reunião signifiquem algo. Perceberá como a norma está estruturada, para conseguir orientar-se em trinta páginas sem se afogar. Perceberá a lógica do risco, a diferença real entre um risco, uma ameaça e um controlo em falta, para que os workshops de risco deixem de ser uma névoa. E saberá o suficiente para saber o que não sabe, que é o que permite fazer a pergunta certa em vez de acenar no momento errado.
Essa é a diferença entre estar sentado na sala e estar na sala.
É para isso que servem os 2 dias
31 de agosto e 1 de setembro. Segunda e terça-feira. Online ao vivo, em inglês. Um grupo reduzido, construído em torno de explicar esta área da forma como eu gostaria que alguém ma tivesse explicado.
Isto não é uma leitura dramática da norma. Pode ler a norma por si mesmo; essa não é a parte difícil. Este é o mapa que está por baixo: o que é um ISMS, como as peças se encaixam, o que significam as palavras, como o risco funciona na prática, o que um auditor procura e onde você se enquadra em tudo isso. Explicado em linguagem simples, com exemplos reais de salas reais.
Dia 1. O que a segurança da informação significa na prática, para além dos buzzwords. O que é um ISMS e porque é que as organizações o constroem. Como a ISO/IEC 27001 está estruturada, cláusula a cláusula, sem jargão. Contexto, liderança e de onde vem a norma. O enquadramento regulatório: porque é que o GDPR, a NIS2 e o DORA apontam todos para aqui.
Dia 2. Como a avaliação do risco e o tratamento do risco funcionam na prática. A Declaração de Aplicabilidade e os controlos do Anexo A, desmistificados. Como um ISMS funciona no dia a dia: monitorização, revisão, melhoria. O que acontece numa auditoria de certificação e o que os auditores querem ver. Depois, preparação para o exame e o próprio exame.
No final da terça-feira, realiza o exame PECB. Se passar, está certificado.
Quem ensina isto
Eu. Christophe. CISO ativo, fundador da Cyber Academy.
Não ensino as bases a partir de um manual. Ensino-as a partir do trabalho. Quando explico o que é um risco, é porque já estive nos workshops e vi pessoas confundir riscos com controlos pela centésima vez. Quando explico a Declaração de Aplicabilidade, é porque já a entreguei a um auditor e o vi ir direto a ela. Quando alguém na sala diz "não percebo porque é que isto importa", não lhe dou a resposta do exame. Digo-lhe como é quando corre mal, porque já vi correr mal.
A vantagem de aprender os fundamentos com alguém que realmente faz o trabalho é simples: aprende o que importa e o que é apenas ruído. Salta a trivia. Fica com as partes que vai usar na semana seguinte.
Essa é a diferença entre formação e uma apresentação de slides.
A garantia
Conclua o curso. Faça o exame. Se não passar, reembolsamos a taxa de formação.
Sem letra pequena para além de concluir o programa e fazer o exame. Chamamos-lhe Certified or Refunded, e é a sério. A metodologia funciona, a taxa de aprovação comprova-o, e se está a investir o seu tempo e o dinheiro da sua empresa, merece um fornecedor que aposte no mesmo resultado que você.
Os detalhes
Curso: ISO/IEC 27001:2022 Foundation, PECB Certified
Datas: 31 de agosto a 1 de setembro de 2026
Formato: Online ao vivo. Interativo. Sem gravação.
Língua: Inglês
CPD: 14 créditos
Repetição gratuita: dentro de 12 meses
Preço: €1.099
A sua decisão
Se lhe acaba de ser entregue um projeto ISO/IEC 27001 e não sabe por onde começar, este é o seu ponto de partida.
Se tem acenado em reuniões durante meses e está farto de pesquisar no Google por baixo da mesa, é assim que para.
Se planeia ir mais longe um dia, Lead Implementer, Lead Auditor, esta é a Foundation sobre a qual o resto é construído. Comece aqui e os cursos avançados fazem realmente sentido.
E se simplesmente precisa da credencial para provar que percebe as bases, isto certifica-o em dois dias.
Reserve o seu lugar abaixo.
Dúvidas? Envie-me um email diretamente. Sem equipa de vendas. Sem chatbot. Só eu.
Christophe