A ISO/IEC 27005 é a norma internacional que fornece diretrizes para a gestão de riscos de segurança da informação. Ela não é certificável para organizações, mas é para pessoas: a certificação Risk Manager da PECB qualifica você para conduzir a gestão de riscos em conformidade com a norma. E aqui está o ponto central: a ISO/IEC 27005 é a peça que conecta a ISO 27001, a NIS 2 e o DORA. Quem domina a 27005 tem uma competência transversal valorizada nos três domínios. Neste artigo, explico o que a norma cobre, o que você aprenderá no curso e por que ela é um dos investimentos mais úteis em GRC.

O que é a ISO/IEC 27005 e por que ela importa

A ISO/IEC 27005 é a norma internacional que fornece diretrizes para a gestão de riscos de segurança da informação. A versão em vigor é a ISO/IEC 27005:2022, alinhada com a ISO/IEC 27001:2022 e com a estrutura geral de gestão de riscos da ISO 31000.

Diferentemente da ISO/IEC 27001 (certificável para organizações) ou da ISO/IEC 27002 (um código de boas práticas), a ISO/IEC 27005 é uma norma orientada a processos: ela indica como conduzir uma gestão de riscos rigorosa e repetível, compatível com qualquer SGSI.

Por que ela é estrategicamente importante: quase todas as normas e regulamentações modernas de cibersegurança (NIS 2, DORA, AI Act) exigem uma gestão de riscos formal. A ISO/IEC 27005 é a metodologia mais reconhecida internacionalmente para isso. Dominá-la qualifica você em todas essas regulamentações, e não em apenas uma.

A sua conexão com a 27001, a NIS 2 e o DORA

Esta é a leitura central que muitos profissionais não captam por completo: a ISO/IEC 27005 é o motor que move a roda em três frentes:

Com a ISO/IEC 27001: a cláusula 6.1.2 da norma exige uma avaliação formal de riscos. A ISO 27005 fornece a metodologia detalhada para fazê-la (a 27001 diz o quê, a 27005 diz como).

Com a NIS 2: o artigo 21 da diretiva exige "políticas de análise de riscos e de segurança da informação" como o primeiro bloco de medidas obrigatórias. Uma metodologia 27005 é a forma natural de atender a esse requisito.

Com o DORA: o pilar 1 do regulamento é a gestão de riscos de TIC, com uma estrutura de gestão de riscos formalmente definida. A ISO 27005 se integra a ele diretamente.

Como resultado, certificar-se na 27005 abre não uma porta, mas três ao mesmo tempo.

Se você quiser ver esse ciclo aplicado, o nosso guia gratuito da ISO 27005 com matriz 5x5 e registro percorre cada fase.

A metodologia, passo a passo

A ISO/IEC 27005 define um ciclo de gestão de riscos em seis fases. Vale a pena conhecê-las, porque são elas que estruturam o curso:

  1. Estabelecimento do contexto. Critérios de avaliação, de aceitação e de impacto. Sem isso, avaliar riscos é um exercício subjetivo.
  2. Identificação dos riscos. Ativos, ameaças, vulnerabilidades e controles existentes.
  3. Análise dos riscos. Estimativa de probabilidade e impacto, com métodos qualitativos ou quantitativos.
  4. Avaliação dos riscos. Comparação com os critérios estabelecidos, para priorizar.
  5. Tratamento dos riscos. Aceitação, mitigação, transferência ou prevenção, com um plano de tratamento documentado.
  6. Comunicação, monitoramento e análise crítica. Risco vivo, e não um relatório que fica no fundo da gaveta.

Quer se certificar como ISO/IEC 27005 Risk Manager?
Treinamento oficial PECB com um consultor em atividade, em autoestudo ou com acompanhamento individual em inglês.

Ver o curso →Falar com Ricardo

O que o curso Risk Manager cobre

O curso PECB Certified ISO/IEC 27005 Risk Manager é um treinamento de três dias (categoria C da PECB). O programa cobre:

  • Dia 1: Introdução, contexto, identificação de riscos, casos práticos.
  • Dia 2: Análise, avaliação, tratamento de riscos e comunicação.
  • Dia 3: Revisão, simulações e o exame oficial PECB.

A abordagem é prática: trabalhamos com modelos reais (registro de ativos, matrizes de ameaças, plano de tratamento de riscos, declaração de aplicabilidade). Você não sai só com teoria, mas com os entregáveis que vai produzir desde o seu primeiro projeto.

Risk Manager ou Lead Risk Manager: qual escolher

A PECB oferece duas certificações em 27005: Risk Manager (3 dias) e Lead Risk Manager (5 dias). A diferença está no alcance:

Risk Manager qualifica você para executar a metodologia em um projeto específico. É a certificação natural para um consultor ou um profissional que vai trabalhar dentro de um SGSI já existente.

Lead Risk Manager acrescenta a condução do programa de gestão de riscos em toda a organização, a integração com outras estruturas (ISO 31000, COSO ERM) e a gestão de equipes. É a certificação natural para um gestor de riscos ou um CRO.

Se você atua como consultor ou lidera um projeto, comece pelo Risk Manager. Se gerencia um programa ou lidera uma equipe, vá direto ao Lead Risk Manager.

O exame e a certificação

O exame Risk Manager dura duas horas e cobre os cinco domínios de competência (contexto, identificação, análise, avaliação, tratamento). O curso concede 21 créditos CPD e, como no restante do catálogo PECB, o exame inclui duas tentativas.

A certificação é válida para manter o status de profissional certificado em CISA, CISM, CISSP, CRISC e outras certificações que exigem CPD.

Quem domina a ISO/IEC 27005 tem uma competência transversal: a mesma metodologia serve para a ISO 27001, a NIS 2 e o DORA. É uma das poucas certificações de GRC que rende em três regulamentações diferentes com um único treinamento.

Treinamento e certificação

Se você quer dar o passo rumo à certificação oficial PECB, o curso ISO/IEC 27005 Risk Manager é o caminho direto: autoestudo oficial PECB para avançar no seu ritmo, ou com acompanhamento individual em inglês até estar pronto para o exame, nas normas que ensino como PECB Certified Trainer.