Segurança Física: o controle esquecido da ISO 27001

Mainsafe
4 de nov.
3 min de leitura

Entenda por que proteger o ambiente físico é tão importante quanto proteger sistemas digitais

Quando se fala em segurança da informação, a maioria das pessoas pensa em antivírus, firewalls e senhas complexas.Mas a verdade é que a segurança começa no ambiente físico — nas portas, nos crachás, nos servidores e até na energia elétrica.

A ISO/IEC 27001 dedica uma seção inteira à Segurança Física (controles 7.1 a 7.10 da ISO/IEC 27002:2022), com o objetivo de evitar acesso físico indevido, danos ambientais e interrupções operacionais.

E mesmo assim, é um dos controles mais esquecidos nas empresas.

O que é segurança física

É o conjunto de medidas e controles destinados a proteger os recursos físicos da organização, incluindo:

Edifícios e instalações;
Data centers e salas de servidores;
Equipamentos e mídias de armazenamento;
Energia elétrica, refrigeração e sistemas de suporte;
Pessoas e visitantes que circulam no ambiente.

Essas medidas garantem que os sistemas de informação permaneçam disponíveis e íntegros, mesmo diante de riscos físicos, naturais ou humanos.

O que a ISO 27002 exige

A ISO 27002 define dez controles principais relacionados à segurança física e ambiental:

Controle	Objetivo principal
7.1 – Perímetro de segurança física	Proteger áreas que contêm informações críticas.
7.2 – Controles de entrada física	Garantir que apenas pessoas autorizadas acessem áreas restritas.
7.3 – Segurança em escritórios e instalações	Minimizar riscos em ambientes de trabalho.
7.4 – Proteção contra ameaças externas e ambientais	Prevenir danos por incêndios, enchentes, calor ou poeira.
7.5 – Segurança de equipamentos	Proteger equipamentos contra falhas, roubo ou mau uso.
7.6 – Disposição segura de equipamentos	Garantir descarte seguro de hardware e mídias.
7.7 – Instalações de cabos de energia e telecomunicações	Evitar interferências e interceptações.
7.8 – Manutenção dos equipamentos	Assegurar que dispositivos críticos estejam sempre operacionais.
7.9 – Retirada de ativos da organização	Controlar equipamentos e dispositivos fora do local físico.
7.10 – Acesso a áreas de entrega e carga	Controlar fornecedores, prestadores e transportes.

Esses controles integram o Anexo A da ISO 27001.

Exemplos práticos de medidas físicas

Controle de entrada com crachás, biometria ou senhas de acesso;
Câmeras de segurança (CCTV) e monitoramento 24h;
Barreiras físicas (portas trancadas, vidros reforçados, cancelas);
Detectores de fumaça e extintores estrategicamente posicionados;
Geradores de energia e no-breaks para garantir disponibilidade;
Política de limpeza e organização para evitar exposição de documentos;
Controle de visitantes com registro e acompanhamento;
Descarte seguro de documentos e mídias (trituração, destruição de HDs);
Treinamento dos colaboradores sobre riscos ambientais e físicos.

Riscos comuns quando esses controles são ignorados

Roubo de notebooks, HDs e mídias;
Incêndios ou curtos elétricos sem plano de contingência;
Interrupções de energia sem gerador;
Invasão de áreas restritas por visitantes;
Exposição acidental de dados impressos;
Acesso indevido a servidores ou equipamentos de rede.

Relação com a LGPD

A LGPD (art. 46) determina que os controladores adotem medidas de segurança físicas e administrativas para proteger dados pessoais.Isso inclui armazenamento seguro de arquivos impressos, controle de acesso a armários ou salas de TI e segurança no transporte de documentos.

Em auditorias da ANPD, falhas físicas (como armários destrancados ou falta de controle de visitantes) são tratadas como não conformidades de segurança.

Como o DPONOTE e a MainSafe podem ajudar

DPONOTE – Gestão e auditoria de segurança