ISO/IEC 27001:2022 · Certificação

Certificação ISO 27001: como funciona e os controles de acesso que o auditor testa.
Anexo A, Declaração de Aplicabilidade e a evidência de cada controle.

A ISO/IEC 27001 é a norma internacional do sistema de gestão de segurança da informação (SGSI). A certificação é dada por um organismo certificador, depois de uma auditoria em duas etapas. O controle de acesso é uma das áreas que o auditor sempre testa com amostra. Veja como funciona a certificação, quais controles do Anexo A tratam de acesso e que evidência preparar.

Fale com um especialista

Funciona com Microsoft Entra ID e Google Workspace

Como funciona

O ciclo da certificação ISO 27001

A empresa monta o SGSI, define o escopo e escolhe os controles do Anexo A que se aplicam. Um organismo certificador acreditado audita e, se o sistema estiver de pé, emite o certificado. Depois, as auditorias se repetem todo ano.

1. Escopo e riscos

O que entra no SGSI

Áreas, sistemas e locais cobertos, análise de riscos e o plano de tratamento. O escopo aparece no certificado.

2. Declaração de Aplicabilidade

Quais controles valem

A lista dos 93 controles do Anexo A, com o que se aplica, o que não se aplica e o porquê. É o mapa que o auditor segue.

3. Operação

Os controles funcionando

Políticas em uso, registros sendo gerados, auditoria interna e análise crítica pela direção antes da auditoria externa.

4. Auditoria em duas etapas

Documentação e prática

Na etapa 1, o auditor lê a documentação e confere se o SGSI está pronto. Na etapa 2, testa se os controles funcionam, com amostras e evidências.

5. Manutenção

Três anos, com auditoria anual

O certificado vale por três anos, com auditorias de manutenção a cada ano e uma recertificação no fim do ciclo.

Anexo A

O que o auditor da certificação pede nos controles de acesso

Na versão de 2022, os 93 controles estão em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. Os de acesso estão espalhados entre eles. Para cada um, o auditor pede a regra, uma amostra e a prova de que a regra foi seguida.

ControleO que o auditor espera verFalha comum

5.15 Controle de acessoPolítica de acesso aprovada, com regras por tipo de informação e de sistemaPolítica escrita que não bate com o que existe nos sistemas

5.16 Gestão de identidadeCada identidade ligada a uma pessoa, com ciclo de vida da entrada à saídaContas genéricas ou compartilhadas sem dono

5.18 Direitos de acessoConcessão aprovada, revisão periódica registrada e remoção no desligamento e na mudança de funçãoDesligado com acesso ativo, revisão sem registro de quem revisou

5.3 Segregação de funçõesPerfis que não juntam etapas conflitantes (veja a matriz SoD)Quem solicita também aprova

8.2 Direitos de acesso privilegiadoAdministradores nomeados, poucos, com justificativa e revisãoAdministrador genérico usado por várias pessoas

8.5 Autenticação seguraAutenticação adequada ao risco, com segundo fator onde a política exigirMFA na política, mas não nos sistemas fora do SSO

8.15 Log (registro de eventos)Logs de acesso e de ações administrativas, retidos e protegidosLog desligado, ou editável por quem administra

Controle a controle, com exemplos de evidência: guia dos controles de identidade do Anexo A.

Evidência

Revisão de acessos para a auditoria em cinco passos

1. Escopo

Os sistemas dentro do SGSI

Liste os sistemas do escopo do certificado, inclusive os SaaS fora do SSO que guardam informação classificada.

2. Lista

Quem tem acesso a quê

Usuários e perfis de cada sistema, cruzados com o RH: quem é a pessoa, qual o cargo e se ainda trabalha na empresa.

3. Revisão

O dono do sistema decide

Manter ou remover cada acesso, com nome do revisor e data. A decisão registrada é a evidência do controle 5.18.

4. Remediação

Remova e guarde a prova

Acesso removido no prazo da política, com registro de quem removeu e quando. O auditor compara a decisão com o que aconteceu.

5. Rotina

Repita antes de cada auditoria

A norma não fixa a frequência: ela sai da sua política e do seu risco. Como há auditoria todo ano, a revisão precisa rodar o ano inteiro, não só na véspera.

Quem pede

Por que a ISO 27001 aparece na sua mesa

Clientes

Questionário de segurança e contrato

Clientes grandes pedem o certificado, o escopo e às vezes a Declaração de Aplicabilidade antes de contratar.

Setor financeiro

Avaliação de fornecedores

Bancos, instituições de pagamento e corretoras precisam verificar, antes de contratar serviços relevantes de nuvem e processamento, se o fornecedor adere às certificações que a própria instituição exigir e se dá acesso aos relatórios de auditoria independente (Resolução CMN 4.893 e Resolução BCB 85, art. 12, II, d e e). Nenhuma das duas exige a ISO 27001 pelo nome. Veja o guia da Resolução CMN 4.893 e 5.274.

SOC 2 e ITGC

Controles parecidos

O SOC 2 é relatório de auditoria, não certificado; os ITGC são testados na auditoria das demonstrações financeiras. Os controles de acesso dos três se parecem.

Como a Niuco ajuda

A evidência de acesso nasce da rotina, não da véspera da auditoria.

A governança de identidade (IGA) da Niuco mantém o inventário de quem tem acesso a quê nos sistemas conectados e o cruza com a folha de pagamento: quem entrou, mudou de cargo ou saiu. As campanhas de revisão de acessos levam a lista ao gestor, registram cada decisão e guardam a evidência para o auditor: a decisão registrada é a evidência do controle 5.18. Desligado que segue com acesso aparece no painel de risco, com remoção em massa mediante aprovação. A Niuco não é organismo certificador e não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.

Veja a revisão de acessos na prática

Material informativo. Não substitui orientação jurídica. ISO é marca da International Organization for Standardization e IEC é marca da International Electrotechnical Commission. A Niuco não tem vínculo com elas nem com organismos certificadores e não emite certificação.

Perguntas frequentes sobre a ISO 27001

Se a sua dúvida não estiver aqui, fale com um especialista — a conversa leva 30 minutos.

É a norma internacional ISO/IEC 27001, que define os requisitos de um sistema de gestão de segurança da informação (SGSI): como a empresa avalia riscos, escolhe controles e melhora o sistema com o tempo. A versão atual é de 2022, e o Anexo A lista 93 controles de referência.

A empresa define o escopo, avalia os riscos, escreve a Declaração de Aplicabilidade e põe os controles para funcionar. Um organismo certificador acreditado faz a auditoria em duas etapas: a primeira olha a documentação e a prontidão do SGSI; a segunda testa se os controles funcionam na prática. Aprovada, a empresa recebe o certificado.

O ciclo é de três anos. Nesse período, o organismo certificador faz auditorias de manutenção todo ano. No fim do ciclo, uma auditoria de recertificação renova o certificado.

Para cada controle de acesso que a Declaração de Aplicabilidade inclui, o auditor pede a regra escrita, tira uma amostra do período e confere a evidência: pedidos de acesso aprovados, revisões com nome do revisor e data, acessos removidos no desligamento e administradores nomeados. Os principais controles do Anexo A são 5.15, 5.16, 5.18, 8.2 e 8.5.

É o documento que lista os controles do Anexo A e diz, para cada um, se ele se aplica, por que, e se já está implementado. A norma exige esse documento, e o auditor usa a Declaração como roteiro para escolher o que testar.

A ISO 27001 é uma certificação do sistema de gestão, emitida por um organismo certificador e válida por três anos. O SOC 2 é um relatório em que uma firma de auditoria dá a opinião sobre os controles de um prestador de serviço, com base nos critérios do AICPA. Os controles de acesso dos dois se parecem.

A próxima auditoria começa pela lista de acessos.

Fale com um especialista sobre revisão de acessos e evidência para a auditoria da ISO 27001.