A segurança da informação protege a informação em qualquer formato (em um servidor, no papel ou na cabeça de um funcionário) para que continue confidencial, íntegra e disponível. A segurança cibernética protege as redes e os sistemas de informação, e as pessoas que os usam, contra as ameaças que chegam por meio deles. Em tudo o que é digital, as duas se sobrepõem quase por completo; a diferença está nas bordas, e são essas bordas que definem qual norma se aplica a você e quem responde por cada coisa.
O que dizem as definições oficiais
A norma ISO/IEC 27000, que define o vocabulário de toda a família ISO 27001, define a segurança da informação como a preservação da confidencialidade, da integridade e da disponibilidade da informação. Ela não fala de computadores: o objeto é a informação, esteja onde estiver.
Na União Europeia, a definição está no artigo 2.º, ponto 1, do Regulamento (UE) 2019/881, o Regulamento Cibersegurança: são as atividades necessárias para proteger a rede e os sistemas de informação, os usuários desses sistemas e outras pessoas afetadas por ciberameaças. Aqui o objeto já não é só a informação, mas também os sistemas e as pessoas.
O glossário do NIST traz a mesma ideia do lado americano: a segurança cibernética previne danos a computadores e sistemas de comunicação eletrônica, e à informação que contêm, para garantir disponibilidade, integridade, autenticação, confidencialidade e não repúdio.
No Brasil, quem trabalha no setor financeiro conhece bem a diferença: a Resolução CMN 4.893 exige uma política de segurança cibernética, focada em sistemas, incidentes e serviços em nuvem, que convive com a política de segurança da informação mais ampla que a instituição já costuma ter.
Onde coincidem e onde não
- Processos em papel e arquivos físicos
- Conversas e o que as pessoas sabem
- Documentos impressos ou enviados por mensageiro
- Phishing e falsificação de e-mail
- Ransomware e roubo de dados
- Senhas roubadas e acessos indevidos a sistemas
- Vazamentos de aplicações em nuvem
- Ataques que param um CLP ou uma linha de produção
- Negação de serviço contra um site sem dados sensíveis
- Fraude contra usuários por meio dos seus sistemas
Um processo em papel esquecido na impressora é um problema de segurança da informação e não tem nada de «ciber». Uma conversa sobre uma operação confidencial em um restaurante também não. No outro extremo, o ataque que para um CLP de uma linha de produção é segurança cibernética pura, mesmo que nenhum dado vaze: o que se perde é o serviço. E tudo o que fica no meio (o e-mail de phishing, o ransomware, a senha roubada) é as duas coisas ao mesmo tempo.
| Segurança da informação | Segurança cibernética | |
|---|---|---|
| O que protege | A informação, em qualquer suporte | Redes, sistemas, seus usuários e os serviços que prestam |
| Objetivo | Confidencialidade, integridade e disponibilidade da informação | Prevenir, detectar, responder e se recuperar de ataques pelos sistemas |
| Ameaças típicas | Erros humanos, vazamentos, roubo físico, acessos indevidos e também ataques cibernéticos | Malware, intrusões, negação de serviço, engenharia social por meios digitais |
| Referenciais | ISO/IEC 27001 e 27002 | NIST CSF, ISO/IEC 27032, CMN 4.893 no setor financeiro |
| Fora da outra | Papel, conversas, arquivos físicos | Sistemas industriais e serviços que param mesmo sem perda de informação |
A ISO 27001 já inclui a segurança cibernética
A melhor prova de que a segurança da informação é o guarda-chuva mais amplo está no anexo A da ISO 27001:2022. Os seus 93 controles se dividem em quatro temas, e dois deles não têm nada de tecnológico:
Mais de um quinto dos controles trata de pessoas e instalações: seleção de pessoal, conscientização, perímetros físicos, mesa limpa. E a própria ISO 27002, que detalha esses controles, marca cada um com um atributo de «conceitos de segurança cibernética» (identificar, proteger, detectar, responder e recuperar), que são as funções do NIST CSF. Ou seja, um sistema de gestão da segurança da informação bem montado já cobre a segurança cibernética e dá nome a ela.
O caminho inverso também existe. O artigo 21 da diretiva europeia NIS2, que é uma norma de segurança cibernética, exige medidas de segurança dos recursos humanos, controle de acesso e gestão de ativos. Na prática, as duas disciplinas pedem quase o mesmo; o que muda é o ponto de partida.
O que muda na prática
Muda sobretudo o escopo. Se a sua obrigação vem de uma norma de segurança cibernética, como a NIS2 na Europa ou a CMN 4.893 no Brasil, o foco são os sistemas que sustentam os seus serviços e a comunicação de incidentes ao regulador. Se vem da ISO 27001, o escopo é definido por você e pode incluir arquivos em papel, processos de RH ou uma central de atendimento.
Também muda quem responde. Em muitas empresas o CISO cuida das duas coisas, mas quando a segurança cibernética fica com TI e a segurança da informação com compliance ou riscos, surgem lacunas: o papel e os fornecedores sem acesso a sistemas ficam sem dono, e os sistemas industriais da fábrica ficam sem ninguém que os avalie do ponto de vista do risco.
O que faríamos
Um único programa, não dois. Faz sentido partir do sistema de gestão da segurança da informação, porque é o referencial mais amplo, e tratar a segurança cibernética como uma parte dele, com seus próprios indicadores e seu próprio plano de resposta. O que não faz sentido é manter duas análises de riscos, dois inventários de ativos e dois conjuntos de controles que dizem o mesmo com outras palavras, um para o auditor da ISO 27001 e outro para o regulador.
No módulo de segurança da informação do GlobalSuite®, o inventário de ativos e a análise de riscos são únicos, e cada controle pode ser relacionado ao mesmo tempo com os requisitos da ISO 27001 e das normas de segurança cibernética que se aplicam a você, de modo que a mesma evidência serve para várias auditorias. Se quiser ver como ficaria com as suas normas, fale com a gente.
Fontes oficiais: ISO/IEC 27000, ISO/IEC 27001:2022, Regulamento (UE) 2019/881, artigo 2.º, Diretiva (UE) 2022/2555 (NIS2), artigos 6.º e 21.º e glossário do NIST. Conteúdo revisado em outubro de 2026.
