ISO 27001: sua empresa está pronta para iniciar a certificação? Saiba o que avaliar antes do projeto

Antes de contratar um projeto de certificação ISO 27001, a empresa precisa responder a uma pergunta simples: temos as condições mínimas para construir e operar um sistema de gestão de segurança da informação? A prontidão depende menos dos controles técnicos que já existem e mais de cinco fatores: um motivo claro para certificar, um escopo definido, apoio da liderança, capacidade de gerir riscos e disciplina para registrar o que é feito.

Nenhuma empresa precisa chegar ao projeto com tudo resolvido. O papel do diagnóstico inicial é justamente medir a distância entre a situação atual e os requisitos da norma. O que precisa estar claro desde o início é o tamanho do esforço e quem vai sustentá-lo.

O que a ISO 27001 exige, em termos práticos

A ISO/IEC 27001, cuja versão vigente é de 2022, estabelece os requisitos de um Sistema de Gestão de Segurança da Informação (SGSI). Ela não funciona como uma lista fechada de ferramentas. A norma exige que a empresa conheça seu contexto, avalie seus riscos, escolha controles adequados a esses riscos, acompanhe o desempenho e melhore continuamente.

Alguns pontos ajudam a entender o que vem pela frente:

• O Anexo A reúne 93 controles, divididos entre organizacionais, de pessoas, físicos e tecnológicos.
• A empresa registra quais controles se aplicam ao seu escopo, e por quê, em um documento chamado Declaração de Aplicabilidade.
• Implementar o SGSI e obter a certificação são etapas diferentes. A implementação pode ser feita pela própria empresa ou com apoio de consultoria. A certificação é concedida por um organismo acreditado, independente de quem ajudou a implementar.

1. Motivação clara para a certificação

O primeiro ponto a avaliar é por que a empresa quer o certificado. A resposta orienta o escopo, o ritmo e o investimento. As motivações mais comuns são:

• exigências de clientes, editais ou processos de homologação de fornecedores;
• necessidade de demonstrar maturidade em segurança para entrar em mercados regulados;
• organização da gestão de riscos de segurança da informação;
• fortalecimento da governança e da prestação de contas à diretoria.

Quando a motivação é um cliente específico, vale confirmar o que ele exige: certificação formal ou apenas alinhamento à norma, e para quais serviços.

2. Escopo definido

O escopo diz o que entra no sistema de gestão: unidades, processos, serviços, sistemas, pessoas e fornecedores. É uma decisão de negócio antes de ser técnica.

Na definição do escopo, a empresa precisa considerar:

• quais serviços ou produtos o certificado precisa cobrir;
• quais unidades e equipes participam desses serviços;
• quais sistemas e ambientes de nuvem sustentam a operação;
• onde termina a responsabilidade da empresa e começa a dos fornecedores.

Um escopo estreito demais reduz o esforço e pode resultar em um certificado que não atende à exigência do cliente. Um escopo amplo demais pode tornar o projeto inviável no primeiro ciclo.

3. Patrocínio da liderança e participação das áreas

A norma exige que a alta direção aprove a política de segurança, defina responsabilidades e garanta recursos. Sem esse patrocínio, o projeto perde prioridade diante das demandas do dia a dia.

A segurança da informação também envolve várias áreas além da TI:

• Liderança: aprova a política, os objetivos e os recursos.
• Segurança e TI: conduzem os controles técnicos e o monitoramento.
• Jurídico: revisa contratos, cláusulas de confidencialidade e requisitos legais.
• RH: cuida da contratação, conscientização, termos de responsabilidade e desligamentos.
• Compras: avalia fornecedores que acessam informações da empresa.
• Gestores das áreas de negócio: assumem a responsabilidade pelos riscos e controles dos seus processos.

4. Gestão de riscos com critérios definidos

A avaliação de riscos é o centro da ISO 27001. É ela que indica quais controles a empresa precisa implantar e com que profundidade.

Para estar preparada, a empresa deve conseguir:

• identificar os ativos de informação relevantes no escopo;
• definir critérios de probabilidade, impacto e aceitação de riscos antes de avaliá-los;
• atribuir um responsável para cada risco;
• registrar a decisão sobre cada risco: mitigar, transferir, evitar ou aceitar.

Empresas que já fazem gestão de riscos corporativos costumam aproveitar parte da metodologia existente.

5. Documentação e evidências

A certificação verifica um sistema em funcionamento. O auditor pede políticas e procedimentos e, principalmente, registros que mostrem que os controles são executados.

As evidências mais solicitadas incluem:

• política de segurança da informação aprovada e comunicada;
• avaliação e plano de tratamento de riscos;
• Declaração de Aplicabilidade;
• registros de revisão de acessos, testes de backup e tratamento de incidentes;
• registros de treinamentos e conscientização;
• resultados de auditoria interna e atas de análise crítica pela direção.

Alguns registros só existem com o tempo. Uma revisão trimestral de acessos, por exemplo, precisa de trimestres de operação para ser demonstrada.

6. Diagnóstico inicial e etapas do projeto

O diagnóstico compara os controles existentes com os requisitos da norma e mostra o que está implantado, o que está parcial e o que falta. Com esse retrato, a empresa consegue dimensionar o projeto, que costuma seguir esta sequência:

1. Diagnóstico: levantamento da situação atual e das lacunas.
2. Planejamento: escopo, cronograma, responsáveis e recursos.
3. Implementação: riscos avaliados, controles implantados, políticas aprovadas e registros gerados.
4. Auditoria interna: verificação do funcionamento do SGSI.
5. Análise crítica pela direção: avaliação dos resultados e decisões de melhoria.
6. Auditoria de certificação: realizada pelo organismo acreditado, em duas fases, a primeira documental e a segunda de verificação da implementação.

O prazo varia com o tamanho do escopo, a maturidade de partida e a disponibilidade da equipe. Por isso, qualquer estimativa só faz sentido depois do diagnóstico.

7. Erros que comprometem o cronograma

Alguns problemas aparecem com frequência e atrasam a certificação:

• escopo alterado no meio do projeto;
• documentos escritos antes da avaliação de riscos, descrevendo uma operação que não existe;
• falta de pessoas com tempo dedicado ao projeto;
• controles declarados como implantados sem registros que comprovem sua execução;
• auditoria interna ou análise crítica pela direção deixadas para a última hora;
• implementação sem acompanhamento periódico da liderança.

Checklist de prontidão para a ISO 27001

Responda às perguntas abaixo para ter uma primeira leitura do estágio da sua empresa:

• Sabemos por que queremos a certificação e quem a exige?
• Existe um escopo definido, com serviços, unidades e sistemas identificados?
• A alta direção aprovou o projeto e destinou recursos?
• Há um responsável pela segurança da informação com autoridade para coordenar as áreas?
• Temos um inventário dos ativos de informação dentro do escopo?
• Os riscos de segurança são avaliados formalmente, com critérios definidos?
• Cada risco relevante tem um responsável?
• Existe uma política de segurança da informação aprovada e comunicada?
• Os controles têm responsáveis definidos?
• A empresa possui registros suficientes para demonstrar que os controles funcionam?
• Os fornecedores que acessam informações sensíveis são avaliados?
• Há disponibilidade da equipe para conduzir o projeto pelos próximos meses?

Quanto mais respostas negativas, maior tende a ser o esforço de implementação. Esse resultado não impede o início do projeto. Ele mostra onde começar e ajuda a planejar com realismo.

O próximo passo é avaliar a prontidão

A certificação ISO 27001 exige um sistema de gestão que funcione no dia a dia, com escopo claro, riscos geridos, responsáveis definidos e evidências consistentes. Avaliar a prontidão antes de iniciar o projeto permite dimensionar esforço, recursos e prazos com base na realidade da empresa.

Converse com o Grupo GEP para avaliar o estágio de preparação da sua organização para a ISO 27001.