ISO/IEC 27001: o que é e como uma empresa se certifica

A ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação (SGSI, ou ISMS em inglês). A edição em vigor é a de 2022. Ela não é uma lista de produtos a comprar: exige que a empresa identifique riscos à confidencialidade, à integridade e à disponibilidade da informação, escolha controles para tratá-los e prove, em auditoria independente, que o sistema funciona e melhora com o tempo.

O que exatamente a norma exige?

A norma tem duas partes que funcionam juntas. As cláusulas de 4 a 10 descrevem o sistema de gestão: contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. O Anexo A traz o catálogo de controles de segurança que a empresa deve considerar ao tratar os riscos.

Na prática, o SGSI é um ciclo:

1. Definir o escopo: quais áreas, sistemas, locais e serviços entram.
2. Avaliar os riscos de segurança da informação dentro desse escopo.
3. Escolher como tratar cada risco e quais controles do Anexo A se aplicam.
4. Registrar as escolhas na Declaração de Aplicabilidade (com a justificativa de cada controle incluído ou excluído).
5. Operar os controles, medir resultados, fazer auditoria interna e análise crítica pela direção.
6. Corrigir o que falhou e melhorar continuamente.

A edição de 2022 incluiu uma subcláusula sobre planejamento de mudanças (6.3): alterações no SGSI devem ser feitas de forma planejada.

O que mudou da versão 2013 para a 2022?

A mudança mais visível está no Anexo A. A versão de 2013 tinha 114 controles distribuídos em 14 domínios. A de 2022 reorganizou o catálogo em 93 controles agrupados em quatro temas.

Em 2024 saiu ainda uma emenda (Amd 1:2024) que trata de mudanças climáticas, pedindo que a organização considere se o tema é relevante no contexto do seu sistema de gestão.

O prazo de transição terminou em 31 de outubro de 2025: certificados emitidos pela versão de 2013 que não migraram até essa data deixaram de valer. Se um fornecedor apresentar hoje um certificado "ISO 27001:2013", ele está vencido.

Quem certifica uma empresa?

A ISO escreve normas, mas não certifica empresas nem emite certificados. A certificação é feita por organismos de certificação independentes, que auditam a empresa e emitem o certificado.

Esses organismos podem ser acreditados, ou seja, reconhecidos formalmente por um organismo de acreditação como competentes para auditar segundo normas internacionais. No Brasil, o organismo de acreditação é a Cgcre, do Inmetro. A acreditação não é obrigatória, mas é o sinal mais simples de que o certificado foi emitido por quem segue regras reconhecidas.

Ao avaliar um certificado, confira:

• o nome do organismo certificador e se ele é acreditado (e por quem);
• a versão da norma ("ISO/IEC 27001:2022");
• o escopo escrito no certificado, porque uma empresa pode certificar só um produto, uma unidade ou um datacenter;
• a validade e se o certificado aparece na consulta pública do organismo certificador.

Como funciona o processo de certificação?

O caminho mais comum segue estas etapas:

1. Implantação do SGSI: escopo, avaliação de riscos, Declaração de Aplicabilidade, políticas e controles funcionando por um período que gere registros.
2. Auditoria interna e análise crítica pela direção: exigências da própria norma antes da auditoria externa.
3. Auditoria de certificação em duas fases: na fase 1, o auditor verifica a documentação e se a empresa está pronta; na fase 2, avalia se o sistema funciona na prática, com entrevistas e evidências.
4. Tratamento de não conformidades apontadas pelo auditor.
5. Emissão do certificado, que abre um ciclo de três anos.
6. Auditorias de manutenção durante o ciclo e recertificação ao final, que reinicia um novo ciclo de três anos.

O tempo e o custo dependem do tamanho do escopo, do número de pessoas e locais, da maturidade de segurança de partida e do organismo escolhido. Não existe preço tabelado: peça propostas a mais de um organismo certificador e, se for contratar consultoria de implantação, separe quem implanta de quem audita.

Vale a pena para uma empresa de serviços digitais?

Depende de quem compra de você. A certificação tende a fazer diferença quando:

• clientes grandes, bancos, saúde ou governo pedem a norma em questionários de segurança e editais;
• a empresa processa dados pessoais ou dados sensíveis de clientes em escala;
• a venda para o exterior exige evidência formal de segurança.

A ISO 27001 não é exigência da LGPD (Lei 13.709/2018), mas ajuda a demonstrar as "medidas de segurança, técnicas e administrativas" que a lei pede de quem trata dados pessoais. Para entender o lado do comprador, veja como contratar empresa de cibersegurança e o checklist de LGPD para empresas digitais. Se você é fornecedor, as certificações que ajudam software houses a vender comparam ISO 27001, SOC 2 e MPS.BR.

Próximo passo

Se você contrata tecnologia, peça o certificado e confira escopo, versão e organismo certificador antes de aceitar a norma como prova. Compare fornecedores em empresas e nos rankings da Citeo. Se a sua empresa é certificada, registre isso no perfil gratuito: crie ou reivindique o perfil e coloque o certificado como evidência pública.

Fontes

• ISO — ISO/IEC 27001:2022 Information security management systems — definição, edição de 2022 e emenda de 2024
• ISO — Certification — a ISO não certifica; certificação por organismos externos; acreditação
• Cloud Security Alliance — How to prepare for ISO/IEC 27001:2022 — 114 para 93 controles, subcláusula 6.3 e prazo de transição
• TÜV NORD — Client information on the ISO 27001 revision (PDF) — fim dos certificados 2013 em 31/10/2025 e ciclo de três anos com auditoria em duas fases
• Sprinto — ISO 27001 controls — distribuição dos 93 controles nos quatro temas (fonte secundária)
• Agência Gov — Inmetro e o Dia Mundial da Acreditação — papel da Cgcre/Inmetro na acreditação no Brasil
• Planalto — Lei 13.709/2018 (LGPD) — dever de adotar medidas de segurança no tratamento de dados pessoais