A ISO 27001 é a norma internacional de referência para gestão de segurança da informação. Ter a certificação significa que a empresa implementou um Sistema de Gestão de Segurança da Informação estruturado, auditado por terceiros independentes e em conformidade com requisitos reconhecidos globalmente.
O que muitas empresas não sabem é que a auditoria ISO 27001 não é um evento único. É um processo com etapas definidas, pré-requisitos técnicos e um ciclo de manutenção que continua depois da certificação inicial.
Neste artigo você vai entender como funciona o processo de auditoria, quais são as etapas, quanto tempo costuma levar e o que a empresa precisa ter estruturado antes de iniciar. Boa leitura.
O que é a auditoria ISO 27001
A auditoria ISO 27001 é a verificação formal, conduzida por um organismo de certificação acreditado, de que o SGSI da empresa atende aos requisitos da norma. Ela avalia não apenas se os controles de segurança existem, mas se estão documentados, implementados, monitorados e continuamente melhorados.
A norma segue o ciclo PDCA: planejar, fazer, verificar e agir. A auditoria verifica se esse ciclo está realmente funcionando na empresa, não apenas descrito em documentos.
Auditoria interna e auditoria externa
Antes de chegar à certificação, a empresa precisa passar por dois tipos de auditoria com funções distintas.
A auditoria interna é conduzida pela própria empresa ou por um consultor externo contratado para esse fim. Ela serve para identificar lacunas antes da auditoria oficial, verificar se os controles implementados estão funcionando conforme documentado e preparar a equipe para o processo formal. Não gera certificação, mas é um passo necessário para chegar até ela.
A auditoria externa é conduzida por um organismo de certificação acreditado pelo INMETRO no Brasil ou por organismos equivalentes em outros países. É ela que resulta na certificação ISO 27001 e que valida formalmente que o SGSI atende aos requisitos da norma.
As etapas da auditoria ISO 27001
O processo de certificação segue uma sequência que a maioria dos organismos de certificação divide em duas fases formais, precedidas por uma etapa de preparação interna.
Fase de preparação
Antes de qualquer contato com o organismo certificador, a empresa precisa ter o SGSI implementado. Isso inclui o escopo da certificação definido e documentado, a política de segurança da informação aprovada pela direção, o processo de avaliação e tratamento de riscos concluído, os controles do Anexo A da norma implementados ou justificadamente excluídos, e a realização de pelo menos um ciclo completo de auditoria interna.
Essa etapa não tem prazo fixo. Ela leva o tempo necessário para que a empresa implemente o que a norma exige. Para organizações que estão partindo do zero, o processo de implementação costuma levar entre seis meses e um ano antes de a empresa estar pronta para solicitar a auditoria formal. Empresas que já têm controles de segurança estruturados e conformidade com normas de segurança da informação podem reduzir esse prazo consideravelmente.
Estágio 1: revisão documental
O organismo certificador analisa a documentação do SGSI para verificar se está completa e adequada aos requisitos da norma. Nessa fase, o auditor avalia se o escopo está bem definido, se a política de segurança está aprovada, se os riscos foram identificados e tratados adequadamente e se o programa de auditoria interna foi executado.
O estágio 1 não verifica a implementação prática dos controles, apenas a adequação da documentação. Ao final, o auditor emite um relatório indicando o que está conforme e o que precisa ser corrigido antes do estágio 2. As não conformidades identificadas aqui precisam ser tratadas antes de avançar.
Estágio 2: auditoria de certificação
É a verificação in loco de que os controles documentados no estágio 1 estão efetivamente implementados e funcionando. O auditor entrevista colaboradores, observa processos, verifica registros e testa se o que está escrito corresponde ao que acontece na prática.
Não conformidades encontradas no estágio 2 são classificadas por gravidade. As maiores bloqueiam a certificação até serem corrigidas e verificadas. As menores precisam ser tratadas dentro de um prazo definido após a certificação.
Ao final do estágio 2, se as não conformidades maiores estiverem resolvidas, o organismo recomenda a certificação. O certificado ISO 27001 tem validade de três anos.
Quanto tempo leva o processo completo
O prazo total depende de três fatores: o porte da empresa, a maturidade do ambiente de segurança antes do início e a disponibilidade interna para conduzir a implementação.
Para uma empresa de médio porte partindo do zero, o processo completo, da implementação inicial até a emissão do certificado, costuma levar entre 12 e 18 meses. Empresas menores com operações mais simples podem concluir em 6 a 9 meses. Organizações maiores, com múltiplas unidades ou escopos mais amplos, frequentemente ultrapassam 18 meses.
O que mais influencia esse prazo não é o tamanho da empresa, mas a quantidade de lacunas encontradas na fase de preparação e a velocidade com que a organização consegue tratá-las. Empresas que já passaram por uma avaliação técnica independente do ambiente de segurança antes de iniciar o processo de certificação costumam ter menos surpresas na auditoria e fecham o ciclo mais rapidamente.
O que acontece depois da certificação
A certificação ISO 27001 não é permanente. O certificado tem validade de três anos, mas durante esse período o organismo certificador realiza auditorias de manutenção anuais para verificar se o SGSI continua funcionando conforme certificado.
No terceiro ano, a empresa passa por uma auditoria de recertificação, que repete o processo do estágio 2 para renovar o certificado por mais três anos.
Isso significa que a ISO 27001 exige uma postura de melhoria contínua, não apenas um esforço pontual de certificação. Empresas que tratam o SGSI como um projeto com data de encerramento costumam ter dificuldade para sustentar a conformidade nas auditorias de manutenção.
O que a empresa precisa ter antes de iniciar
Além dos requisitos técnicos da norma, há elementos organizacionais que determinam se o processo vai fluir ou travar.
O compromisso da liderança é o mais crítico. A ISO 27001 exige evidências de envolvimento da alta direção, incluindo aprovação da política de segurança, alocação de recursos e participação nas revisões do SGSI. Sem esse comprometimento formal, a auditoria vai identificar a lacuna.
A definição de escopo também é um ponto que muitas empresas subestimam. Um escopo mal definido pode resultar numa certificação que não cobre os processos mais relevantes para clientes e parceiros, ou num processo mais longo do que o necessário por incluir áreas que não precisariam estar na certificação inicial.
Por fim, a empresa precisa ter uma rotina de monitoramento de indicadores de segurança. A norma exige que o desempenho do SGSI seja medido e que os resultados alimentem decisões de melhoria. Esse ciclo precisa estar funcionando antes da auditoria, não ser criado às pressas para demonstrá-lo ao auditor. Um ambiente que já tem análise de vulnerabilidades em ciclos regulares tem parte desse monitoramento naturalmente integrado ao processo.
A STWBrasil apoia empresas no processo de preparação para a auditoria ISO 27001, desde o diagnóstico inicial do SGSI até a condução de auditorias internas e o suporte durante as fases formais de certificação. Se sua empresa está considerando iniciar esse processo, converse com nossa equipe.
