Certificação ISO 27001

01

O que é a norma ISO 27001?

A ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação, publicada em conjunto pela ISO e pela IEC. Ela é a única norma da família 27000 que pode ser certificada; as outras, como a ISO/IEC 27002, dão orientação para aplicar os controles.

A norma não manda comprar um firewall específico nem exige uma ferramenta. Ela pede que a empresa entenda quais informações precisa proteger, avalie os riscos a que estão expostas, escolha controles proporcionais a esses riscos e prove, com registros, que o sistema funciona e melhora. Por isso vale tanto para uma startup de SaaS com vinte pessoas quanto para um data center ou um hospital.

O texto tem duas partes. As cláusulas 4 a 10 são os requisitos do sistema de gestão, com a mesma estrutura da ISO 9001 e da ISO 14001. O Anexo A é a lista de controles de referência que a empresa compara com os seus riscos.

02

Importância da certificação ISO 27001

A importância da certificação está em substituir promessas por evidência auditada. Sem ela, cada cliente manda o seu questionário de segurança, pede reuniões e quer ver políticas; com ela, boa parte dessas perguntas é respondida pelo certificado e pelo escopo que ele cobre.

Nas implantações que fazemos, os ganhos que as empresas mais citam depois do primeiro ciclo são estes:

• Acesso a contratos e licitações que exigem o certificado do fornecedor
• Menos tempo gasto respondendo questionários de segurança de clientes
• Riscos de segurança conhecidos pela direção, com dono e prazo de tratamento
• Resposta a incidentes ensaiada, em vez de improvisada no dia do problema
• Controle sobre fornecedores e serviços em nuvem que tratam dados da empresa
• Base organizada para atender às medidas de segurança que a LGPD pede

03

Quem precisa da certificação ISO 27001?

Precisa da certificação a empresa cujo cliente exige o certificado ou cujo negócio depende da confiança no tratamento de dados. Nenhuma lei brasileira obriga uma empresa privada a ser certificada; a exigência vem de contratos, editais e políticas de compra.

Os perfis que mais nos procuram são empresas de software e SaaS, provedores de nuvem, data centers e hospedagem, empresas de suporte e outsourcing de TI, fintechs e prestadores de serviço para instituições financeiras, empresas de saúde digital, call centers, birôs de dados e qualquer operadora que trate grandes volumes de dados pessoais de terceiros.

04

Como obter a certificação ISO 27001?

A empresa obtém a certificação implantando o SGSI, mantendo-o em uso com registros e passando pela auditoria de um organismo de certificação acreditado. As etapas que seguimos em cada projeto são estas:

1. Escopo: definir quais produtos, unidades, sistemas, equipes e fornecedores entram no SGSI, e o que fica fora com justificativa.
2. Contexto e partes interessadas: levantar requisitos de clientes, contratos, leis como a LGPD e regras do setor.
3. Análise de riscos: inventariar ativos de informação, ameaças e vulnerabilidades e avaliar probabilidade e impacto com uma metodologia documentada.
4. Tratamento de riscos: decidir, para cada risco relevante, se ele é reduzido, transferido, evitado ou aceito, com aprovação do dono do risco.
5. Declaração de Aplicabilidade: comparar os controles escolhidos com os 93 controles do Anexo A e justificar cada inclusão e exclusão.
6. Controles e políticas: implementar o que o plano de tratamento definiu e escrever as políticas que sustentam os controles.
7. Treinamento e conscientização: preparar quem opera os controles e informar todos os colaboradores sobre suas responsabilidades.
8. Auditoria interna: verificar o SGSI inteiro com um auditor independente da área auditada.
9. Análise crítica pela direção: a alta direção avalia resultados, riscos, incidentes e auditoria e decide melhorias.
10. Auditoria de certificação: o organismo faz o estágio 1, com foco na documentação e no preparo, e o estágio 2, com foco no sistema em funcionamento.

05

Documentação necessária para a ISO 27001

A documentação necessária é a que a norma pede de forma explícita mais a que a própria empresa decidir que precisa para operar os controles. A norma exige informação documentada, entre outros pontos, para:

• Escopo do SGSI (cláusula 4.3)
• Política de segurança da informação (cláusula 5.2)
• Processo de avaliação e de tratamento de riscos (cláusula 6.1)
• Declaração de Aplicabilidade (cláusula 6.1.3)
• Objetivos de segurança da informação (cláusula 6.2)
• Evidências de competência das pessoas (cláusula 7.2)
• Resultados da avaliação e do tratamento de riscos (cláusulas 8.2 e 8.3)
• Resultados de monitoramento e medição (cláusula 9.1)
• Programa e resultados de auditoria interna (cláusula 9.2)
• Resultados da análise crítica pela direção (cláusula 9.3)
• Não conformidades e ações corretivas (cláusula 10.2)

06

Versão 2022: o que mudou na ISO 27001

A versão vigente é a ISO/IEC 27001:2022, que reorganizou o Anexo A em 93 controles agrupados em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. A edição de 2013 tinha mais controles distribuídos em 14 domínios; vários foram fundidos e alguns novos entraram.

Desde fevereiro de 2024 vale também a emenda ISO/IEC 27001:2022/Amd 1:2024, sobre mudança do clima: na cláusula 4, a empresa precisa determinar se a mudança do clima é uma questão relevante para o SGSI. Na prática, isso entra na análise de contexto e, quando pesa, na análise de riscos, por exemplo para a disponibilidade de um data center.

Entre os controles novos estão inteligência de ameaças, segurança no uso de serviços em nuvem, prontidão de TI para a continuidade do negócio, gestão de configuração, exclusão de informação, mascaramento de dados, prevenção de vazamento de dados, monitoramento de atividades, filtragem web e codificação segura. As cláusulas também mudaram, com mais ênfase no planejamento de mudanças do SGSI e nos processos necessários para operá-lo.

A transição terminou. Pelo IAF, o prazo para migrar as certificações da versão 2013 para a 2022 acabou em 31 de outubro de 2025, e os certificados pela versão antiga deixaram de valer. Hoje toda certificação acreditada é pela ISO/IEC 27001:2022.

07

ISO 27001 e LGPD

A ISO 27001 ajuda a cumprir a LGPD, mas certificação não é o mesmo que conformidade com a lei. A Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais, exige que os agentes de tratamento adotem medidas de segurança técnicas e administrativas para proteger dados pessoais de acessos não autorizados e de incidentes. É aí que o SGSI contribui: análise de riscos, controle de acesso, gestão de incidentes e de fornecedores são justamente essas medidas.

Outras obrigações da LGPD ficam fora do escopo da ISO 27001: bases legais para cada tratamento, direitos dos titulares, encarregado pelo tratamento de dados, relatório de impacto e comunicação de incidentes à ANPD, a Autoridade Nacional de Proteção de Dados, que regulamenta e fiscaliza a lei. Uma empresa pode ser certificada e ainda assim descumprir a LGPD.

Por isso, quando a empresa trata dados pessoais, incluímos a LGPD entre os requisitos legais do contexto do SGSI e na análise de riscos. O trabalho jurídico de adequação à lei, como revisão de contratos e de avisos de privacidade, continua sendo da assessoria jurídica da empresa.

08

Quanto tempo demora a certificação ISO 27001?

O tempo até a certificação depende do tamanho do escopo, de quantos controles já existem na prática e da disponibilidade da equipe técnica para implantar o que falta. Uma empresa que já tem gestão de acessos, backup testado e registro de incidentes avança muito mais rápido do que outra que vai criar tudo do zero.

Há também um tempo que não dá para comprimir: o organismo quer ver o SGSI em uso, com registros de pelo menos um ciclo de monitoramento, auditoria interna e análise crítica antes do estágio 2. A agenda do organismo para as duas etapas também entra na conta. A proposta pelo WhatsApp traz o cronograma para o seu caso.

09

Quanto custa a certificação ISO 27001?

O custo tem três contas separadas: a consultoria, que prepara o SGSI; o organismo de certificação, que cobra as auditorias de certificação e de manutenção; e os investimentos em controles que a análise de riscos indicar, como ferramentas de autenticação, monitoramento ou backup.

O que mais pesa no valor é o número de pessoas e de locais dentro do escopo, a quantidade de sistemas e fornecedores críticos, a complexidade técnica do ambiente (nuvem própria, nuvem pública, desenvolvimento interno) e o ponto de partida da empresa. A proposta pelo WhatsApp traz o valor e o cronograma da consultoria para o seu caso, e indicamos o que a empresa precisa cotar com o organismo.

10

Como manter o SGSI depois da certificação?

Para manter a certificação, o SGSI precisa continuar funcionando entre as auditorias: riscos revisados quando algo muda, controles monitorados, incidentes tratados, auditoria interna e análise crítica feitas no período. O organismo volta em auditorias de manutenção e, no fim do ciclo, faz a recertificação.

Desde o início treinamos a equipe da empresa para operar o sistema sem depender da consultoria. Quem precisa de apoio externo depois pode contratar a auditoria interna ISO terceirizada, e os treinamentos preparam auditores internos e gestores do SGSI.