TL;DR — Leia em 60 segundos
- ISO 27001 deixou de ser diferencial e se tornou requisito mínimo para competir em cadeias globais, participar de licitações e comprovar governança em 2026.
- Frameworks como NIST CSF 2.0, CIS Controls v8 e MITRE ATT and CK complementam a ISO ao oferecer profundidade operacional e métricas de maturidade.
- O maior erro das empresas brasileiras é tratar certificação como projeto pontual, quando na prática trata-se de um ciclo contínuo de gestão de riscos.
- Um roadmap estruturado do nível 0 ao avançado reduz incidentes, melhora compliance com LGPD e aumenta valor de mercado.
- Organizações que integram SOC 24x7, resposta a incidentes e gestão de vulnerabilidades ao SGSI apresentam até 60 por cento menos tempo médio de detecção.
O que é ISO 27001 e Frameworks de Segurança e por que é crítico em 2026
A ISO 27001 é a principal norma internacional para Sistemas de Gestão da Segurança da Informação, conhecida pela sigla SGSI. Ela estabelece requisitos estruturados para identificar, avaliar e tratar riscos relacionados à confidencialidade, integridade e disponibilidade das informações. Diferentemente de um simples checklist técnico, trata-se de um modelo de governança que integra pessoas, processos e tecnologia sob um ciclo contínuo de melhoria. Em 2026, com a consolidação da versão 2022 da norma e a pressão regulatória crescente no Brasil, a ISO 27001 tornou-se um padrão mínimo para organizações que lidam com dados sensíveis, serviços digitais ou cadeias globais de fornecimento.
Frameworks de segurança complementam a ISO 27001 ao fornecer camadas adicionais de operacionalização. O NIST Cybersecurity Framework 2.0, lançado recentemente com foco ampliado em governança, oferece funções estruturadas para identificar, proteger, detectar, responder e recuperar. O CIS Controls v8 detalha controles técnicos priorizados com base em inteligência de ameaças. Já o MITRE ATT and CK fornece um mapa tático de comportamento adversário. Enquanto a ISO 27001 define o sistema de gestão, esses frameworks ajudam a executar controles de forma mensurável e alinhada à realidade das ameaças modernas.
O contexto brasileiro reforça a criticidade desse tema. Segundo relatórios da Fortinet e da Check Point publicados em 2025, o Brasil permanece entre os países mais atacados da América Latina, com bilhões de tentativas de exploração registradas anualmente. A Autoridade Nacional de Proteção de Dados intensificou fiscalizações, aplicando sanções administrativas baseadas em falhas de governança. Além disso, seguradoras cibernéticas passaram a exigir evidências concretas de maturidade, como certificações ou aderência formal a frameworks reconhecidos, antes de conceder cobertura.
Em 2026, a convergência entre transformação digital, inteligência artificial e hiperconectividade expandiu drasticamente a superfície de ataque. Empresas que antes operavam apenas com infraestrutura local agora utilizam múltiplas nuvens, APIs abertas e integrações com parceiros. Cada ponto adicional representa risco. Sem um modelo estruturado de gestão, a organização fica refém de iniciativas isoladas e reativas. A ISO 27001, integrada a frameworks modernos, oferece exatamente o que o mercado exige: previsibilidade, governança e resiliência.
Como funciona na prática: Anatomia completa
Na prática, a ISO 27001 opera por meio da implementação de um SGSI baseado em risco. O primeiro passo é compreender o contexto organizacional, incluindo partes interessadas, requisitos legais e objetivos estratégicos. Em seguida, realiza-se uma análise de riscos estruturada, identificando ameaças, vulnerabilidades e impactos potenciais. A partir dessa análise, são definidos controles adequados, muitos deles baseados no Anexo A da norma, que foi reorganizado na versão 2022 em quatro grandes temas: organizacional, pessoas, físico e tecnológico.
O ciclo PDCA permanece central. Planejar envolve definir escopo, política de segurança, metodologia de risco e plano de tratamento. Executar significa implementar controles, treinar colaboradores e documentar processos. Verificar implica monitorar indicadores, realizar auditorias internas e revisar resultados. Agir representa corrigir desvios e aprimorar continuamente. Esse modelo garante que segurança não seja um projeto estático, mas um processo vivo.
Integração com NIST e CIS Controls
A integração com o NIST CSF permite mapear controles ISO às funções de governança e operação. Por exemplo, controles de gestão de ativos e classificação da informação alinham-se à função Identify. Já resposta a incidentes e continuidade de negócios conectam-se às funções Respond e Recover. O CIS Controls aprofunda a execução técnica, priorizando ações como inventário de ativos, gerenciamento contínuo de vulnerabilidades e proteção de dados.
Essa integração resolve uma crítica comum à ISO: sua aparente abstração técnica. Ao vincular cada controle a métricas operacionais, a empresa transforma política em ação mensurável. Isso facilita auditorias, relatórios executivos e prestação de contas ao conselho administrativo.
Governança, risco e compliance
A governança é sustentada por papéis claros, como CISO, comitê de segurança e responsáveis por ativos. A gestão de riscos deve ser formal, repetível e baseada em critérios objetivos de impacto e probabilidade. No Brasil, isso inclui alinhamento com LGPD, Marco Civil da Internet e normas setoriais como BACEN ou ANS.
Compliance não é apenas evitar multas. É demonstrar diligência razoável. Em caso de incidente, uma empresa certificada ou alinhada a frameworks reconhecidos possui evidências de que adotou boas práticas, o que pode mitigar sanções regulatórias e danos reputacionais.
Passo a passo: Implementação profissional
Fase 1: Diagnóstico e mapeamento
O diagnóstico começa com a definição de escopo. Muitas organizações falham ao tentar incluir toda a empresa de uma vez, gerando complexidade excessiva. Uma abordagem eficaz delimita processos críticos ou unidades estratégicas, garantindo viabilidade inicial. Em seguida, realiza-se levantamento de ativos, incluindo dados, sistemas, infraestrutura e fornecedores.
A análise de maturidade compara o estado atual com requisitos da ISO e frameworks complementares. Ferramentas de gap analysis ajudam a identificar lacunas prioritárias. Entrevistas com lideranças revelam cultura organizacional e nível de comprometimento.
Nessa fase também se conduz avaliação preliminar de riscos. Identificam-se ameaças comuns, como ransomware, phishing direcionado e falhas de configuração em nuvem. O resultado é um relatório executivo com plano macro de evolução.
Fase 2: Planejamento e arquitetura
Com base no diagnóstico, define-se a política de segurança da informação e a metodologia formal de gestão de riscos. Critérios de aceitabilidade são estabelecidos, determinando quando um risco deve ser mitigado, transferido ou aceito.
A arquitetura de controles envolve selecionar medidas técnicas e administrativas adequadas. Isso inclui segmentação de rede, autenticação multifator, criptografia, gestão de backups e planos de resposta a incidentes. Cada controle deve ter responsável, prazo e métrica de desempenho.
O planejamento também contempla treinamento e conscientização. A maioria dos incidentes no Brasil ainda envolve erro humano. Investir em cultura é tão importante quanto adquirir tecnologia.
Fase 3: Implementação e testes
Nesta etapa ocorre implantação prática dos controles. Sistemas de monitoramento são configurados, políticas são formalizadas e contratos com fornecedores passam a incluir cláusulas de segurança.
Testes são fundamentais. Auditorias internas avaliam conformidade documental e operacional. Testes de invasão simulam ataques reais, identificando falhas antes que criminosos as explorem. Exercícios de mesa para resposta a incidentes treinam equipes sob cenários hipotéticos.
A documentação precisa ser robusta, porém objetiva. Evidências claras facilitam auditorias externas e reduzem retrabalho.
Fase 4: Monitoramento contínuo
Após implementação, inicia-se fase contínua de monitoramento. Indicadores como tempo médio de detecção, taxa de aplicação de patches e percentual de colaboradores treinados são acompanhados periodicamente.
Auditorias internas anuais e revisões gerenciais garantem aderência ao ciclo PDCA. A cada mudança significativa no ambiente, nova análise de risco deve ser conduzida.
O monitoramento inclui integração com SOC 24x7, permitindo resposta rápida a eventos suspeitos. Sem essa camada operacional, o SGSI perde efetividade prática.
Erros críticos e como evitá-los
Um erro recorrente é tratar ISO 27001 como projeto exclusivamente documental. Empresas criam políticas extensas, mas não implementam controles reais. Isso gera falsa sensação de segurança e falha em auditorias.
Outro erro é ausência de apoio da alta direção. Sem patrocínio executivo, iniciativas perdem prioridade orçamentária e cultural. A norma exige liderança ativa, não apenas assinatura formal.
A subestimação da gestão de terceiros também é falha grave. Em 2025, diversos incidentes no Brasil ocorreram por meio de fornecedores comprometidos. Avaliações periódicas e cláusulas contratuais são indispensáveis.
Ignorar cultura organizacional compromete resultados. Funcionários precisam entender riscos e responsabilidades. Treinamentos esporádicos não bastam; é necessário programa contínuo.
Excesso de escopo inicial pode inviabilizar projeto. Começar pequeno e expandir gradualmente aumenta probabilidade de sucesso.
Falhas na análise de riscos, como uso de critérios subjetivos inconsistentes, prejudicam priorização. Metodologia estruturada é essencial.
Não integrar segurança à estratégia de negócio gera desalinhamento. Segurança deve habilitar crescimento, não bloquear inovação.
Ausência de testes práticos, como pentests e simulações de phishing, impede validação real dos controles.
Negligenciar monitoramento contínuo transforma certificação em evento isolado. Segurança é processo permanente.
Ferramentas e tecnologias essenciais
| Categoria | Ferramenta | Aplicação Principal |
|---|---|---|
| SIEM | Microsoft Sentinel | Monitoramento e correlação de eventos |
| EDR | CrowdStrike | Detecção e resposta em endpoints |
| Gestão de Vulnerabilidades | Qualys | Varredura e priorização de falhas |
| GRC | OneTrust | Gestão de riscos e compliance |
| Backup | Veeam | Continuidade e recuperação |
| Pentest | Metasploit | Testes de intrusão controlados |
Checklist completo de implementação
Prioridade alta inclui definir escopo do SGSI, nomear responsável executivo, realizar análise de riscos formal, implementar autenticação multifator, garantir backups testados, estabelecer política de segurança aprovada, treinar colaboradores, implantar monitoramento centralizado e revisar contratos com fornecedores críticos.
Prioridade média envolve segmentação de rede, classificação de informações, formalização de plano de resposta a incidentes, execução de pentest anual, auditoria interna periódica, revisão de acessos privilegiados, implementação de criptografia em repouso e em trânsito, inventário contínuo de ativos e definição de indicadores de desempenho.
Prioridade evolutiva inclui automação de resposta a incidentes, integração com inteligência de ameaças, simulações avançadas de ataque, certificação formal ISO 27001, avaliação de maturidade NIST e alinhamento com padrões internacionais adicionais.
Casos reais e estudos de caso
Um hospital privado brasileiro buscou certificação após incidente de ransomware que paralisou cirurgias eletivas. Ao implementar SGSI com foco inicial em backups e segmentação, reduziu drasticamente risco operacional e reconquistou confiança de parceiros.
Uma fintech em expansão internacional precisou comprovar maturidade para investidores estrangeiros. Ao integrar ISO 27001 com NIST CSF, apresentou relatório estruturado de governança, acelerando rodada de investimento.
Uma indústria exportadora sofreu pressão de clientes europeus. A adoção da norma e auditoria externa permitiram manter contratos estratégicos, demonstrando conformidade com requisitos globais.
Como a Decripte Resolve ISO 27001 e Frameworks de Segurança: Serviços e Diferenciais
A Decripte atua como parceira estratégica na jornada de maturidade em segurança da informação, combinando consultoria especializada em ISO 27001 com operação contínua por meio de SOC 24x7. Nosso modelo integra diagnóstico, implementação e monitoramento, garantindo que o SGSI não seja apenas formalidade documental, mas prática operacional diária.
Nosso serviço de Resposta a Incidentes atua de forma coordenada com frameworks como NIST, reduzindo tempo de contenção e impacto financeiro. Pentests regulares validam controles implementados, enquanto programas de compliance asseguram aderência à LGPD e normas setoriais.
O diferencial está na integração entre governança e operação. Não apenas estruturamos políticas, mas monitoramos eventos em tempo real, correlacionando ameaças e acionando equipes especializadas.
Para iniciar, acesse o Intelligence Center da Decripte em https://decripte.com.br/intelligence-center e realize diagnóstico gratuito. Em seguida, agende reunião de alinhamento estratégico. Após validação do escopo, ativamos plano personalizado alinhado aos seus objetivos.
Sua organização está protegida contra esse risco?
Diagnóstico gratuito de maturidade em cibersegurança com especialistas Decripte.
Iniciar diagnósticoPerguntas frequentes (FAQ)
O que muda na ISO 27001 em 2026
A versão 2022 consolidou mudanças estruturais que continuam impactando 2026, especialmente na reorganização dos controles e maior ênfase em governança.
ISO 27001 é obrigatória no Brasil
Não é obrigatória por lei geral, mas frequentemente exigida contratualmente e valorizada por reguladores.
Qual a diferença entre ISO 27001 e LGPD
ISO é norma de gestão internacional; LGPD é legislação brasileira de proteção de dados.
Quanto tempo leva para certificar
Depende do porte e maturidade, variando entre seis e dezoito meses.
Pequenas empresas podem implementar
Sim, desde que adaptem escopo e complexidade à realidade operacional.
NIST substitui ISO
Não substitui; complementa com visão operacional.
Qual custo médio
Varia conforme tamanho, consultoria e auditoria externa.
É possível integrar com outras ISOs
Sim, especialmente ISO 9001 e 27701.
Certificação garante ausência de incidentes
Não, mas reduz probabilidade e impacto.
O que é análise de risco
Processo estruturado para identificar e tratar ameaças.
Auditoria interna é obrigatória
Sim, faz parte do ciclo de melhoria contínua.
Como manter certificação
Requer auditorias periódicas e melhoria contínua.
Comece agora — diagnóstico gratuito em 5 minutos
A maturidade em segurança não pode esperar o próximo incidente. Cada dia sem governança estruturada amplia a exposição a riscos financeiros, regulatórios e reputacionais. A ISO 27001, integrada a frameworks reconhecidos, é caminho comprovado para reduzir incertezas e fortalecer confiança de clientes e investidores.
Acesse agora o Intelligence Center da Decripte em https://decripte.com.br/intelligence-center e descubra seu nível de exposição. Em poucos minutos você recebe visão clara de riscos críticos e recomendações práticas.
Conheça também nossos planos completos em https://decripte.com.br/planos e explore conteúdos técnicos aprofundados em https://decripte.com.br/artigos. Segurança eficaz começa com diagnóstico preciso e ação estruturada.
Análise Técnica Aprofundada: Vetores e Táticas MITRE ATT&CK
A convergência entre ISO 27001:2022 e frameworks como NIST CSF 2.0 e MITRE ATT&CK permite mapear controles organizacionais diretamente às TTPs (Tactics, Techniques and Procedures) observadas em campanhas reais. No contexto de 2026, os vetores iniciais de comprometimento mais frequentes continuam associados às técnicas T1566 (Phishing) e T1190 (Exploit Public-Facing Application). A maturidade organizacional depende da capacidade de correlacionar controles do Anexo A (como A.5.7 Threat Intelligence e A.8.8 Management of Technical Vulnerabilities) com cenários práticos de exploração. Empresas em nível avançado já mantêm matrizes de rastreabilidade entre ativos críticos e técnicas ATT&CK relevantes ao seu setor.
No eixo de execução e persistência, observam-se técnicas como T1059 (Command and Scripting Interpreter) e T1547 (Boot or Logon Autostart Execution), amplamente exploradas por operadores de ransomware-as-a-service. A aplicação de hardening baseada em CIS Benchmarks, aliada a políticas robustas de EDR com bloqueio comportamental, reduz drasticamente o dwell time. Organizações maduras correlacionam logs de PowerShell, WMI e criação de serviços com modelos de detecção baseados em comportamento, integrando controles ISO 27001 A.8.16 (Monitoring Activities) com engenharia de detecção contínua.
Movimentação lateral permanece um ponto crítico, com destaque para T1021 (Remote Services) e T1550 (Use of Alternate Authentication Material), incluindo abuso de Kerberos (Pass-the-Ticket) e NTLM relay. A adoção de arquitetura Zero Trust, segmentação baseada em identidade e monitoramento de tickets TGT/TGS anômalos são indicadores claros de maturidade acima do nível intermediário. A implementação de PAM (Privileged Access Management) alinhada ao controle A.5.18 (Access Rights) reduz significativamente a superfície explorável.
No estágio de exfiltração e impacto, técnicas como T1041 (Exfiltration Over C2 Channel) e T1486 (Data Encrypted for Impact) continuam predominantes. A integração de DLP com análise de tráfego criptografado (TLS inspection controlada por risco) permite identificar padrões estatísticos de transferência incompatíveis com baseline operacional. Empresas avançadas aplicam deception technologies (honeytokens e honeyfiles) para detecção precoce de coleta indevida (T1005 – Data from Local System).
Por fim, campanhas recentes demonstram crescente uso de T1195 (Supply Chain Compromise) e exploração de identidades federadas em ambientes SaaS (T1078 – Valid Accounts). A ISO 27001 exige avaliação de riscos de terceiros (A.5.19 e A.5.20), mas organizações maduras expandem essa abordagem com monitoramento contínuo de postura de segurança de fornecedores (TPRM automatizado) e validação criptográfica de integridade de artefatos CI/CD.
Indicadores de Comprometimento e Detecção
A maturidade em detecção exige evolução de IOCs estáticos (hashes, IPs, domínios) para indicadores comportamentais. Embora hashes SHA-256 ainda sejam úteis para bloqueios rápidos, adversários utilizam polimorfismo e loaders fileless. Assim, regras SIEM devem priorizar correlação de eventos como criação anômala de processos filhos do winword.exe ou execução de powershell.exe -enc com base64 extensa.
Regras YARA continuam fundamentais para análise de memória e sandboxing. Um exemplo prático envolve detecção de strings relacionadas a frameworks C2 como Cobalt Strike (Beacon, ReflectiveLoader). Organizações maduras mantêm repositórios versionados de regras YARA integrados ao pipeline DevSecOps, permitindo validação automática contra amostras conhecidas e redução de falsos positivos.
No SIEM, correlações críticas incluem:
- Múltiplas falhas de autenticação seguidas de sucesso (possível brute force – T1110)
- Criação de conta privilegiada fora de change window aprovada
- Transferência de dados superior ao baseline estatístico por ativo sensível
- Execução de ferramentas administrativas fora do perfil comportamental do usuário
Roadmap de Implementação em 12 Meses
Fase 1: Diagnóstico (Meses 1-3)
O primeiro trimestre deve concentrar assessment completo de maturidade, incluindo gap analysis ISO 27001, mapeamento NIST CSF e overlay com MITRE ATT&CK relevante ao setor. A organização deve identificar ativos críticos, dependências de terceiros e lacunas de monitoramento. Ferramentas de attack surface management auxiliam na identificação de exposição externa.
Paralelamente, recomenda-se conduzir um risk assessment quantitativo (FAIR) para priorização financeira de controles. Métrica-chave: definição de baseline de MTTD, MTTR e taxa de cobertura de logs críticos superior a 70%.
Ao final da fase, a empresa deve possuir roadmap aprovado pelo board, matriz de riscos priorizada e inventário de ativos com classificação de criticidade formalizada.
Fase 2: Fundação (Meses 4-6)
Nesta etapa, implementam-se controles estruturantes: MFA obrigatório, EDR corporativo, segmentação de rede e centralização de logs em SIEM. Políticas alinhadas à ISO 27001 devem ser formalizadas e comunicadas.
A cobertura de logs deve atingir 90% dos ativos críticos, com retenção mínima definida por requisitos regulatórios. A empresa deve implantar playbooks de resposta a incidentes testados via tabletop exercise.
Indicadores de sucesso incluem redução de 30% em vulnerabilidades críticas abertas e tempo médio de aplicação de patches inferior a 15 dias para CVSS ≥ 8.
Fase 3: Operação (Meses 7-9)
Com a base estabelecida, inicia-se otimização operacional: threat hunting baseado em hipóteses ATT&CK, simulações de Red Team e Purple Team para validar eficácia de detecção.
Integração de inteligência de ameaças contextual ao setor permite priorização dinâmica de alertas. Métrica-chave: redução do MTTD em pelo menos 40% em relação ao baseline inicial.
A maturidade nesta fase inclui automação SOAR para contenção de incidentes comuns, reduzindo MTTR para menos de 24 horas em eventos de severidade alta.
Fase 4: Otimização (Meses 10-12)
A etapa final consolida governança contínua, auditoria interna e preparação para certificação ISO 27001 (se aplicável). KPIs passam a ser monitorados pelo comitê executivo.
Implementa-se gestão contínua de exposição (Continuous Controls Monitoring) e métricas de eficácia de detecção (Detection Coverage % por técnica ATT&CK).
Sucesso é medido por auditoria interna sem não conformidades críticas, phishing simulation com taxa de clique inferior a 5% e cobertura de testes de recuperação de desastre com RTO validado em exercício prático.
Perguntas Aprofundadas de Executivos Seniores
1. Como demonstrar retorno sobre investimento (ROI) em segurança da informação?
A mensuração de ROI em cibersegurança exige mudança de paradigma: não se trata apenas de evitar perdas hipotéticas, mas de proteger valor estratégico. A aplicação de modelos quantitativos como FAIR permite traduzir risco cibernético em exposição financeira anualizada. Ao estimar probabilidade de eventos e impacto financeiro (interrupção, multas regulatórias, perda de reputação), o CISO pode comparar o custo de controles com redução objetiva de risco residual. Além disso, indicadores como redução de prêmios de seguro cibernético, melhoria em ratings de mercado e aceleração de contratos com clientes enterprise (que exigem certificações) compõem retorno tangível. Organizações maduras também correlacionam investimentos em segurança com aumento de resiliência operacional, medido por menor downtime e menor volatilidade operacional após incidentes. Assim, o ROI deve ser apresentado como proteção de EBITDA e vantagem competitiva sustentável.
2. Qual o impacto estratégico da certificação ISO 27001 para expansão internacional?
A ISO 27001 funciona como passaporte de confiança em mercados regulados. Em negociações B2B globais, especialmente nos setores financeiro, saúde e tecnologia, a certificação reduz ciclos de due diligence, pois demonstra aderência a padrões reconhecidos internacionalmente. Além disso, facilita conformidade com GDPR, LGPD e outras legislações, já que muitos controles são convergentes. Estratégicamente, a certificação fortalece governança corporativa, melhora percepção de investidores e reduz barreiras de entrada em contratos governamentais. O impacto vai além da conformidade: consolida cultura organizacional orientada a risco e estabelece linguagem comum entre áreas técnicas e executivas, elevando maturidade institucional.
3. Como equilibrar inovação digital e gestão de risco?
A tensão entre velocidade e controle pode ser mitigada pela adoção de DevSecOps e security by design. Em vez de atuar como barreira, a segurança deve integrar pipelines de desenvolvimento com testes automatizados de código, análise SAST/DAST e validação de dependências open source. Frameworks como ISO 27001 oferecem estrutura de governança, enquanto MITRE ATT&CK fornece visão prática de ameaças emergentes. Executivos devem estabelecer apetite de risco claro e mensurável, permitindo decisões conscientes. O equilíbrio ideal ocorre quando a segurança é habilitadora, reduzindo retrabalho, prevenindo crises públicas e fortalecendo confiança do cliente em novos produtos digitais.
4. Qual a relevância de inteligência de ameaças para decisões estratégicas?
Threat intelligence estratégica permite antecipar movimentos adversários e orientar investimentos de forma proativa. Relatórios setoriais indicam tendências como aumento de ransomware direcionado ou exploração de APIs. Ao integrar inteligência externa com telemetria interna, a organização prioriza controles com base em risco real, não apenas em compliance. Em nível executivo, inteligência contextual auxilia decisões sobre expansão geográfica, fusões e aquisições e exposição a cadeias de suprimentos críticas. Assim, a inteligência deixa de ser operacional e torna-se componente essencial da estratégia corporativa.
5. Como preparar o conselho para crises cibernéticas inevitáveis?
A preparação do board envolve educação contínua, simulações de crise e definição clara de papéis. Exercícios tabletop com cenários realistas (exfiltração massiva ou indisponibilidade prolongada) permitem testar comunicação, tomada de decisão e interação com reguladores. O conselho deve compreender métricas como MTTD, MTTR e risco residual, traduzidas em impacto financeiro e reputacional. Planos de resposta devem incluir estratégia de comunicação pública e critérios para acionamento de seguro cibernético. Organizações resilientes tratam crises como eventos gerenciáveis, não como surpresas existenciais, fortalecendo confiança de investidores e stakeholders mesmo diante de incidentes significativos.