Uma empresa que processa pagamento com cartão, guarda dado de cliente e roda tudo em nuvem pública recebe, com frequência, quatro pedidos de auditoria diferentes: o adquirente de cartão cobrando conformidade com PCI-DSS, o cliente enterprise pedindo certificado ISO 27001, o jurídico perguntando sobre ISO 27701 por causa da LGPD, e o provedor de nuvem citando ISO 27018 no contrato. É comum o time de segurança tratar isso como quatro projetos separados, quando na prática são camadas que se apoiam umas nas outras — e boa parte do trabalho feito para uma serve de base para as outras três.
Este artigo explica o que cada uma dessas normas cobre, para que serve, quem precisa de cada uma e como elas se encaixam quando aplicadas juntas.
Visão geral rápida
| Norma | Tipo | Foco | Órgão responsável |
|---|---|---|---|
| PCI-DSS | Padrão de conformidade obrigatório (não é ISO) | Proteção de dados de cartão de pagamento | PCI Security Standards Council |
| ISO/IEC 27001 | Norma internacional certificável | Sistema de Gestão de Segurança da Informação (SGSI/ISMS) | ISO/IEC |
| ISO/IEC 27701 | Norma certificável (independente desde a revisão 2026) | Sistema de Gestão de Privacidade da Informação (PIMS) | ISO/IEC |
| ISO/IEC 27018 | Código de prática (não certificável isoladamente) | Proteção de dados pessoais em nuvem pública | ISO/IEC |
Repare que só a PCI-DSS não é uma norma ISO — ela nasceu de um consórcio das bandeiras de cartão, não do comitê de padronização internacional. As outras três pertencem à mesma família (a série ISO/IEC 27000) e foram desenhadas para se complementar.
Atualização (revisão 2026): até então, a ISO 27701 só podia ser certificada como extensão de uma ISO 27001 já certificada. Com a revisão de 2026, ela passa a ser uma norma independente — uma empresa pode certificar seu Sistema de Gestão de Privacidade da Informação (PIMS) sem precisar ter ou implementar a 27001 junto. Isso não muda o fato de que as duas continuam extremamente complementares na prática (ver seção da ISO 27701 abaixo).
PCI-DSS: proteção de dados de cartão
Como e por que surgiu
O PCI-DSS (Payment Card Industry Data Security Standard) nasceu em 2004/2006 quando as principais bandeiras de cartão — Visa, Mastercard, American Express, Discover e JCB — perceberam que cada uma tinha seu próprio programa de segurança, e comerciantes que aceitavam múltiplas bandeiras precisavam seguir requisitos diferentes e conflitantes para a mesma transação. As bandeiras se uniram e criaram o PCI Security Standards Council (PCI SSC), unificando essas exigências em um único padrão. A motivação prática por trás disso foi a onda de vazamentos de dados de cartão do início dos anos 2000, como o caso da TJX Companies, que expôs dezenas de milhões de números de cartão.
Para que serve
O PCI-DSS define 12 requisitos técnicos e operacionais obrigatórios para qualquer organização que armazena, processa ou transmite dados de titular de cartão (PAN — Primary Account Number, dados da trilha magnética, CVV, etc.):
| Requisito | Resumo |
|---|---|
| 1–2 | Firewall configurado e sem senhas padrão de fabricante |
| 3–4 | Proteção de dados de cartão armazenados e em trânsito (criptografia) |
| 5–6 | Antivírus/anti-malware e desenvolvimento seguro de aplicações |
| 7–8 | Controle de acesso por necessidade de uso e autenticação forte |
| 9 | Restrição de acesso físico aos dados |
| 10 | Rastreamento e monitoramento de todo acesso |
| 11 | Testes de segurança regulares (scans de vulnerabilidade, pentest) |
| 12 | Política de segurança da informação formalizada |
Diferente das normas ISO, PCI-DSS não é uma certificação opcional — é uma exigência contratual imposta pelas bandeiras e adquirentes. O nível de rigor da validação (SAQ auto-declarado ou auditoria formal por um QSA — Qualified Security Assessor) depende do volume de transações processadas por ano.
ISO/IEC 27001: gestão de segurança da informação
Como e por que surgiu
A ISO/IEC 27001 tem origem no BS 7799, um padrão britânico de segurança da informação publicado pela BSI (British Standards Institution) em 1995. A parte 2 desse padrão, focada em como implementar um sistema de gestão, foi adotada pela ISO em 2005 e se tornou a ISO/IEC 27001. Passou por revisões relevantes em 2013 e na versão mais atual, 2022, que reorganizou os controles do Anexo A.
Para que serve
Diferente da PCI-DSS, que é prescritiva e focada em um tipo específico de dado (cartão), a ISO 27001 é um framework de gestão, agnóstico ao tipo de negócio. Ela não diz exatamente "use criptografia AES-256"; ela exige que a organização estabeleça um SGSI (Sistema de Gestão de Segurança da Informação) — um ciclo contínuo de identificar riscos, aplicar controles proporcionais a esses riscos, e melhorar com o tempo (o clássico PDCA: Plan-Do-Check-Act).
Os controles de referência ficam no Anexo A (hoje alinhado à ISO/IEC 27002), organizados em quatro temas:
| Tema do Anexo A | Exemplos de controle |
|---|---|
| Organizacional | Política de segurança, gestão de fornecedores, resposta a incidentes |
| Pessoas | Contratação, treinamento, encerramento de acesso |
| Físico | Controle de acesso a datacenters e escritórios |
| Tecnológico | Criptografia, backup, segmentação de rede, logging |
A certificação ISO 27001 é feita por um organismo certificador acreditado, com auditoria de recertificação a cada três anos e auditorias de manutenção anuais.
ISO/IEC 27701: gestão de privacidade
Como e por que surgiu
Publicada em 2019, a ISO/IEC 27701 surgiu da pressão crescente por conformidade com leis de proteção de dados como o GDPR europeu e, no Brasil, a LGPD. Antes dela, empresas certificadas em ISO 27001 tinham uma base sólida de segurança, mas nada que endereçasse formalmente obrigações específicas de privacidade — como direitos do titular dos dados, base legal para tratamento, ou o papel de controlador versus operador.
Na versão original de 2019, a norma nasceu desenhada como extensão da ISO 27001/27002: só era possível certificar o PIMS (Privacy Information Management System) como um adendo de escopo sobre um SGSI já certificado. A revisão de 2026 muda esse desenho — a ISO 27701 passa a ser publicada como norma independente, com sua própria estrutura de requisitos, deixando de depender de uma certificação 27001 prévia ou simultânea.
Para que serve
Com a revisão 2026, a ISO 27701 não depende mais da ISO 27001 para ser certificada — uma organização pode implementar e certificar seu Sistema de Gestão de Privacidade da Informação (PIMS) de forma autônoma, sem precisar ter ou estar implementando a 27001 junto. Na prática, porém, as duas normas continuam extremamente complementares: como a 27701 herda boa parte da estrutura de gestão de riscos e controles da 27001/27002, empresas que já têm um SGSI implementado aproveitam grande parte do trabalho ao adicionar a camada de privacidade — só que agora essa combinação é uma opção estratégica, não um pré-requisito obrigatório.
Ela adiciona controles como:
- Identificação da base legal para cada tratamento de dado pessoal
- Processos para atender direitos do titular (acesso, correção, exclusão, portabilidade)
- Distinção clara de responsabilidades entre PII Controller (quem decide a finalidade do tratamento) e PII Processor (quem trata em nome de outro)
- Avaliação de impacto à privacidade (equivalente ao DPIA do GDPR ou RIPD da LGPD)
- Gestão de consentimento e de transferência internacional de dados
Para uma empresa brasileira, a ISO 27701 funciona como evidência estruturada de conformidade com a LGPD, mesmo a norma não citando a lei diretamente — os controles mapeiam de forma bem próxima.
ISO/IEC 27018: privacidade em nuvem pública
Como e por que surgiu
Publicada em 2014 (revisada em 2019), a ISO/IEC 27018 respondeu a uma lacuna específica: a ISO 27002 tinha controles genéricos de segurança, mas nenhum tratava da situação particular de um provedor de nuvem pública que processa dados pessoais em nome de seus clientes — ou seja, quando o provedor é o processor e o cliente é o controller. A adoção em massa de AWS, Azure e Google Cloud ao longo dos anos 2010 tornou essa lacuna crítica: sem um padrão específico, cada contrato de nuvem tratava a proteção de PII de um jeito diferente.
Para que serve
A ISO 27018 é um código de prática, não uma norma certificável por si só — ela estende os controles da ISO 27002 com diretrizes adicionais voltadas especificamente a provedores de nuvem que atuam como processadores de PII. Entre os pontos que ela cobre:
- O provedor de nuvem só pode usar os dados pessoais do cliente para os fins contratados, nunca para publicidade própria sem consentimento explícito
- Transparência sobre em quais países/subcontratados os dados são processados
- Notificação ao cliente em caso de acesso não autorizado ou solicitação legal de terceiros
- Direito do cliente de recuperar ou apagar seus dados ao encerrar o contrato
Na prática, quem busca essa certificação (normalmente combinada com a 27001, como um adendo de escopo) são os provedores de nuvem, SaaS e serviços de hospedagem — não a empresa cliente final. Se sua empresa contrata AWS ou Azure, o que você quer ver é o certificado ISO 27018 deles, como evidência de que tratam os dados dos seus usuários com o cuidado esperado.
Como as quatro normas se relacionam
| PCI-DSS | ISO 27001 | ISO 27701 | ISO 27018 | |
|---|---|---|---|---|
| O que protege | Dados de cartão de pagamento | Ativos de informação em geral | Dados pessoais (PII) em geral | Dados pessoais (PII) especificamente em nuvem pública |
| Depende de outra norma? | Independente | Independente (é a base) | Independente desde a revisão 2026 (mas complementa a 27001/27002 na prática) | Sim, estende a 27002 |
| Quem certifica/valida | QSA ou autoavaliação (SAQ) | Organismo certificador acreditado | Organismo certificador acreditado | Geralmente incluída no escopo de auditoria da 27001 do provedor |
| Obrigatória ou voluntária | Obrigatória por contrato com bandeiras/adquirente | Voluntária (mas cada vez mais exigida por clientes B2B) | Voluntária | Voluntária, relevante sobretudo para provedores de nuvem |
| Papel típico de quem certifica | Comerciante ou processador de pagamento | Qualquer organização | Controller e/ou Processor de dados pessoais | Processor de PII atuando como provedor de nuvem |
Uma forma simples de visualizar a pilha: a ISO 27001 é a fundação (gestão de segurança da informação como um todo). A ISO 27701 pode rodar de forma independente desde a revisão 2026, mas continua se apoiando conceitualmente na 27001/27002 para adicionar controles de privacidade — a maioria das empresas ainda opta por certificar as duas juntas por causa da sobreposição de controles. A ISO 27018 se apoia na 27002 para o caso específico de provedores de nuvem. E a PCI-DSS roda em paralelo, como uma trilha independente e obrigatória sempre que há dado de cartão envolvido — mesmo que a empresa já tenha as três certificações ISO.
Quem precisa de cada uma
| Perfil da empresa | Normas relevantes |
|---|---|
| E-commerce que processa pagamento com cartão | PCI-DSS obrigatório; ISO 27001 recomendada para maturidade geral |
| SaaS B2B que lida com dados de clientes corporativos | ISO 27001 quase sempre exigida em processo de venda enterprise |
| Empresa que trata dados pessoais de usuários finais (qualquer app com cadastro) | ISO 27701 relevante para evidenciar conformidade com LGPD/GDPR |
| Provedor de nuvem, hosting ou infraestrutura como serviço | ISO 27018 relevante como diferencial de confiança para clientes |
| Fintech ou gateway de pagamento | Todas as quatro, dependendo do escopo de dados e de nuvem usada |
Exemplo prático: um SaaS de e-commerce
Imagine uma plataforma de e-commerce SaaS, hospedada em nuvem pública, que processa pagamento via cartão e armazena dados de clientes dos seus lojistas.
- PCI-DSS: obrigatório porque a plataforma processa transações de cartão. Mesmo se o processamento do cartão em si for terceirizado a um gateway (reduzindo o escopo via tokenização), a plataforma ainda precisa validar conformidade com os requisitos que sobram no seu ambiente.
- ISO 27001: a plataforma implementa um SGSI cobrindo toda a operação — desenvolvimento, infraestrutura, RH, fornecedores. Vira pré-requisito comum em propostas comerciais de clientes maiores.
- ISO 27701: como a plataforma trata dados pessoais de consumidores finais (nome, endereço, e-mail) em nome dos lojistas, ela atua como Processor. A extensão de privacidade formaliza como esses dados são protegidos e como direitos do titular são atendidos.
- ISO 27018: se essa plataforma, além de SaaS, também oferece infraestrutura para terceiros hospedarem aplicações (um cenário IaaS/PaaS), essa certificação vira relevante para o próprio provedor de nuvem que ela usa (AWS/Azure/GCP) — e é isso que ela deve exigir contratualmente do fornecedor.
O ponto central: as quatro normas não competem entre si — cada uma cobre uma fatia diferente do mesmo problema (proteger dado sensível), e a sobreposição de controles entre elas (gestão de acesso, criptografia, resposta a incidente) significa que implementar a ISO 27001 primeiro reduz bastante o esforço para as demais.
Boas práticas
- Comece pela ISO 27001 se ainda não tem nenhuma base de governança de segurança — mesmo com a 27701 sendo independente desde 2026, a sobreposição de controles faz o SGSI da 27001 acelerar bastante a implementação do PIMS
- Não trate PCI-DSS como algo à parte — mapeie os controles que já existem no SGSI (controle de acesso, logging, resposta a incidente) contra os 12 requisitos, a sobreposição costuma passar de 60%
- Reduza o escopo de PCI-DSS com tokenização — delegar a captura e armazenamento do cartão a um gateway (Stripe, Adyen, etc.) reduz drasticamente o que precisa ser auditado
- Peça o certificado ISO 27018 do seu provedor de nuvem, não tente certificar sua própria empresa nessa norma a menos que você também seja um provedor de infraestrutura
- Mantenha uma matriz de controles cruzada — uma planilha simples relacionando cada controle das quatro normas evita retrabalho em auditorias e evidências duplicadas
Perguntas frequentes
| Pergunta | Resposta |
|---|---|
| Preciso ser ISO 27001 antes de fazer ISO 27701? | Não mais — desde a revisão 2026 a ISO 27701 é uma norma independente. Antes disso, a certificação era emitida como extensão de escopo de uma 27001 já certificada ou em processo de certificação conjunta; hoje isso é uma opção estratégica, não um requisito |
| PCI-DSS substitui a ISO 27001? | Não — PCI-DSS cobre só dado de cartão; ISO 27001 cobre segurança da informação como um todo |
| Minha empresa pequena precisa de tudo isso? | Depende do que ela processa. Uma loja pequena que usa um gateway de pagamento pronto pode ter escopo de PCI-DSS mínimo (SAQ A); ISO 27701/27018 só fazem sentido se há tratamento relevante de PII ou oferta de infraestrutura |
| ISO 27018 é uma certificação própria? | Não isoladamente — é um código de prática auditado como extensão de escopo dentro de uma certificação ISO 27001/27002 |
| LGPD exige ISO 27701? | Não exige formalmente, mas a norma é hoje a forma mais reconhecida de evidenciar conformidade estruturada com a lei |
Conclusão
PCI-DSS, ISO 27001, ISO 27701 e ISO 27018 não são quatro auditorias concorrentes disputando o tempo do time de segurança — são camadas complementares que protegem tipos diferentes de dado sensível, com graus diferentes de obrigatoriedade. A ISO 27001 estabelece a fundação de gestão de segurança; a ISO 27701 — independente desde a revisão 2026, mas ainda fortemente complementar a ela — cobre a camada de privacidade; a ISO 27018 endereça o caso específico de provedores de nuvem tratando PII de terceiros; e a PCI-DSS roda à parte, como exigência contratual sempre que há dado de cartão envolvido.
Antes de sair atrás de todas ao mesmo tempo, mapeie qual dado sensível sua empresa realmente processa e em que papel (controller, processor, comerciante, provedor de infraestrutura) — isso já reduz bastante a lista do que de fato se aplica.
Top comments (0)