A certificação ISO 27001 se percorre em cinco etapas práticas: definir o escopo do Sistema de Gestão de Segurança da Informação (SGSI), conduzir a análise de riscos, produzir a Declaração de Aplicabilidade, implementar os controles aplicáveis do Anexo A e passar pela auditoria externa em dois estágios. Este guia mostra o que fazer em cada etapa e o que o auditor costuma verificar, para que a equipe chegue à certificação com menos retrabalho.
A norma importa porque transforma segurança da informação em um processo auditável, com responsáveis, registros e prazos, no lugar de boas intenções espalhadas por planilhas. Para clientes e para o board, o certificado é uma avaliação independente de que a organização gerencia os riscos de informação de forma sistemática dentro do escopo certificado.
O que é a ISO 27001 e por que ela importa
A ISO/IEC 27001 é a norma internacional, publicada em conjunto pela ISO e pela IEC, que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI. A edição vigente é a de 2022 (ISO/IEC 27001:2022), complementada em 2024 pela Emenda 1, que trata de mudanças climáticas no contexto da organização (ISO/IEC 27001:2022/Amd 1:2024). O Anexo A da própria norma traz a lista de controles de referência. Se a sua dúvida é mais básica, o que a norma exige e para que serve, comece pelo guia o que é a ISO 27001.
O valor prático é direto. Pelas cláusulas 4 a 10, a organização precisa conhecer o contexto e as partes interessadas, identificar riscos sobre a informação e aplicar controles proporcionais a esses riscos, com o envolvimento formal da alta direção. O resultado é uma linguagem comum entre a área técnica e a liderança: o CISO fala em exposição, o CRO em risco corporativo e o board em decisão, todos apoiados na mesma estrutura de evidências.
Os números ajudam a justificar o investimento. Segundo a edição 2026 do IBM Cost of a Data Breach Report, o custo médio global de uma violação de dados chegou a US$ 4,99 milhões, alta de 12% sobre o ano anterior. Um SGSI que funciona não elimina incidentes, mas ajuda a reduzir a chance de que aconteçam e a responder melhor quando acontecem.
A certificação não é obrigatória por lei no Brasil, mas aparece com frequência em contratos, editais e processos de due diligence de clientes. Ela também ajuda a demonstrar as medidas de segurança, técnicas e administrativas, que o art. 46 da Lei Geral de Proteção de Dados (Lei nº 13.709/2018) exige de quem trata dados pessoais. Para o lado da LGPD, veja o checklist de adequação à LGPD.
Escopo, análise de riscos e Declaração de Aplicabilidade
O primeiro passo concreto é delimitar o escopo (cláusula 4.3). Ele define quais unidades de negócio, processos, sistemas e locais ficam dentro do SGSI, e precisa estar documentado. Um escopo bem desenhado evita dois erros opostos: tentar certificar a empresa inteira sem maturidade para isso ou restringir tanto que o certificado perde credibilidade com clientes.
Com o escopo definido, vem a análise de riscos, o coração da norma (cláusulas 6.1.2 e 6.1.3). Antes de avaliar o primeiro risco, a organização precisa definir por escrito os critérios de avaliação e de aceitação de risco. Depois, o trabalho segue uma sequência clara:
- Identificar os riscos à confidencialidade, à integridade e à disponibilidade da informação dentro do escopo, cada um com um responsável (dono do risco). Muitas equipes partem do inventário de ativos, ameaças e vulnerabilidades.
- Analisar as consequências e a probabilidade de cada risco para estimar o seu nível.
- Avaliar os riscos contra os critérios definidos e priorizá-los para tratamento.
- Escolher o tratamento: mitigar com controles, compartilhar ou transferir (seguro, contrato), aceitar ou evitar a atividade que gera o risco, com aprovação dos donos do risco para o plano e para o risco residual.
Essa priorização determina onde aplicar esforço. Critérios documentados de probabilidade e consequência, aplicados de forma consistente, são o que separa uma análise defensável de uma lista genérica que o auditor vai questionar. A norma não exige um método específico; a ISO/IEC 27005 descreve um caminho possível, e a matriz 5×5 é uma convenção de mercado com limites conhecidos, discutidos no artigo sobre por que a matriz 5×5 não diz quanto o risco custa.
O produto final dessa fase é a Declaração de Aplicabilidade, conhecida pela sigla em inglês SoA (cláusula 6.1.3 d). Ela traz os controles necessários, a justificativa de inclusão, se estão implementados e a justificativa de exclusão dos controles do Anexo A que ficaram de fora. Na prática, a SoA é um dos primeiros documentos que o auditor examina: ela conecta os riscos identificados às decisões de controle e serve de mapa para o restante da verificação.
Controles do Anexo A e como implementá-los
O Anexo A da versão 2022 traz 93 controles organizados em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. Nem todos precisam ser aplicados. A seleção decorre da análise de riscos e fica registrada na Declaração de Aplicabilidade. A lista completa, com a contagem por tema e os onze controles novos de 2022, está no checklist dos 93 controles do Anexo A.
Alguns exemplos por tema ajudam a tornar isso tangível:
- Organizacionais: políticas de segurança da informação, segurança nas relações com fornecedores e classificação da informação.
- De pessoas: triagem na contratação, conscientização e responsabilidades após o desligamento ou a mudança de função.
- Físicos: controle de entrada nas instalações e segurança de equipamentos.
- Tecnológicos: gestão de vulnerabilidades técnicas, uso de criptografia, registro de logs e backup.
A implementação não termina quando o controle é configurado. A norma exige informação documentada como evidência de que os processos foram executados como planejado, e o auditor vai pedir registros de operação ao longo do tempo: aprovações, logs, tickets, revisões e atas. É aqui que muitas equipes tropeçam: o controle existe, mas a evidência está dispersa em e-mails, planilhas e pastas sem rastreabilidade.
A gestão de fornecedores merece atenção especial. Na edição 2026 do Data Breach Investigations Report, a Verizon aponta envolvimento de terceiros em 48% das violações analisadas (Verizon DBIR 2026). Estruturar esse controle com critérios claros de avaliação na contratação e monitoramento ao longo do relacionamento dá ao auditor algo concreto para verificar.
Preparação para a auditoria da certificação ISO 27001
A auditoria de certificação é conduzida por um organismo de certificação independente. Prefira um organismo acreditado por um membro do IAF (International Accreditation Forum): só assim o certificado tem reconhecimento amplo. As regras do processo vêm da ISO/IEC 17021-1, e a auditoria acontece em dois estágios.
No Estágio 1, o auditor avalia a documentação e a prontidão do SGSI: escopo, política, critérios e resultados da análise de riscos, Declaração de Aplicabilidade e a informação documentada exigida pela norma. É uma avaliação de prontidão, que aponta lacunas antes da verificação profunda.
No Estágio 2, o auditor avalia a implementação e a eficácia do SGSI, presencialmente ou de forma remota. Ele seleciona amostras, entrevista responsáveis e confirma que os controles descritos na SoA de fato operam. As não conformidades são classificadas em maiores e menores. Para as maiores, o organismo precisa verificar as correções e ações corretivas antes de decidir pela certificação; para as menores, em geral basta que ele aceite o plano de ação.
Antes de chamar o organismo certificador, três preparações reduzem o risco de surpresas:
- Rodar uma auditoria interna cobrindo todo o escopo (cláusula 9.2) e tratar os achados.
- Realizar a análise crítica pela direção (cláusula 9.3), com os indicadores do SGSI apresentados à liderança.
- Consolidar as evidências de operação dos controles em um repositório organizado e rastreável.
O ciclo de certificação dura três anos. Nesse período há auditorias de manutenção ao menos uma vez por ano, e antes do vencimento ocorre a recertificação. O período de transição da versão 2013 terminou em 31 de outubro de 2025 e os certificados antigos deixaram de valer, então qualquer projeto novo mira a versão 2022. Manter a conformidade é, portanto, uma atividade contínua, que segue depois que o certificado é emitido.
Como uma plataforma de GRC ajuda a manter a conformidade
Uma parte grande do esforço da ISO 27001 está em sustentar a operação dos controles e a coleta de evidências ano após ano, especialmente quando a mesma organização também precisa atender à LGPD, ao SOC 2 e ao NIST CSF. Fazer isso em planilhas separadas gera duplicação de trabalho e brechas de rastreabilidade.
Uma plataforma de GRC reduz esse atrito ao centralizar o catálogo de controles e reaproveitá-lo entre frameworks. O Eagle, da Futture, foi pensado para isso: mapear um controle uma vez e reutilizá-lo entre ISO 27001, LGPD, SOC 2, NIST CSF e outros frameworks, com rastreabilidade até cada requisito. Ele também ajuda a automatizar coletas e fluxos repetitivos, monitora controles e evidências de forma contínua e usa um modelo human-in-the-loop, em que a IA sugere relações e prioridades e a decisão permanece com a equipe. Vale deixar claro: o Eagle não certifica ninguém nem garante aprovação. Quem audita e emite o certificado é o organismo de certificação; a plataforma apoia a preparação e a manutenção do SGSI.
Em vez de recriar evidências a cada ciclo de auditoria, a equipe mantém um fluxo contínuo, mais perto de estar pronto quando o auditor chega. Para quem avalia uma ferramenta, o critério decisivo é a rastreabilidade ponta a ponta entre risco, controle e evidência. Os pontos que importam nessa escolha estão no guia software GRC: o que é e como escolher.
Próximo passo
Se a certificação ISO 27001 está no seu horizonte, comece pelo escopo e pela análise de riscos: esses dois artefatos definem tudo o que vem depois e são os que mais atrasam projetos quando ficam para o fim. Com o escopo delimitado e os riscos priorizados, defina como as evidências serão coletadas e guardadas antes de acionar o organismo certificador, para que a auditoria encontre um SGSI já em operação, e não um esforço montado às pressas.
Para aprofundar: Plataforma de GRC no Brasil: como escolher a ideal.
Perguntas frequentes
Quanto tempo leva para obter a certificação ISO 27001?
Depende da maturidade e do tamanho da organização. Para uma empresa de porte médio sem SGSI prévio, o intervalo típico vai de 6 a 12 meses, porque o Estágio 2 da auditoria exige o sistema já em operação, com registros, ao menos uma auditoria interna e uma análise crítica pela direção.
Quantos controles tem o Anexo A da ISO 27001:2022?
São 93 controles em quatro temas: organizacionais (37), de pessoas (8), físicos (14) e tecnológicos (34). Nem todos precisam ser aplicados; a Declaração de Aplicabilidade registra quais são necessários, por quê, se estão implementados e a justificativa de cada exclusão.
A certificação ISO 27001 é obrigatória no Brasil?
Não há lei que a exija de forma geral. Ela costuma ser pedida em contratos, editais e processos de due diligence de clientes, e o SGSI ajuda a demonstrar as medidas de segurança, técnicas e administrativas, que o art. 46 da LGPD exige dos agentes de tratamento.
Qual a diferença entre ISO 27001 e LGPD?
A ISO/IEC 27001 é uma norma voluntária de gestão de segurança da informação; a LGPD (Lei nº 13.709/2018) é uma lei de proteção de dados pessoais. A certificação não equivale a estar adequado à LGPD, mas o SGSI ajuda a demonstrar as medidas de segurança que a lei pede.
Uma plataforma de GRC certifica a empresa na ISO 27001?
Não. Só um organismo de certificação, de preferência acreditado, emite o certificado depois da auditoria. Uma plataforma de GRC apoia a preparação e a manutenção: organiza controles, evidências e planos de ação, mas não substitui a auditoria nem garante a aprovação.
Referências oficiais
- ISO/IEC 27001:2022 — ISO
- ISO/IEC 27001:2022/Amd 1:2024 — ISO
- IAF MD 26:2023 — Transition requirements for ISO/IEC 27001:2022
- ISO/IEC 17021-1:2015 — ISO
- IBM — Cost of a Data Breach Report 2026
- Verizon — 2026 Data Breach Investigations Report (comunicado, maio de 2026)
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD)