ISO 27001 & Segurança da Informação

O que é uma consultoria de ISO/IEC 27001

Certificar-se não é produzir um conjunto de políticas. É conseguir mostrar, diante de um auditor, que cada controle declarado tem justificativa, dono e evidência — e que existe um nexo rastreável entre o risco identificado, a decisão de tratamento e o controle implementado.

É aí que a maioria dos SGSI falha: a Declaração de Aplicabilidade afirma coisas que o ambiente não comprova, a matriz de riscos existe no papel mas não conecta risco a controle, e falta rastro técnico das operações diárias — então a não conformidade volta no ciclo seguinte.

• Implantar o SGSI — escopo aprovado, manual, diretrizes de risco e de documentação, políticas e os processos de segurança, cada um com dono nomeado.
• Amarrar risco a controle — ativos críticos, ameaças, impacto em confidencialidade, integridade e disponibilidade, classificação, plano de tratamento e derivação direta da SoA.
• Auditar antes do auditor — gap analysis, pré-certificação e o programa de auditoria interna que a própria norma exige.

Quando faz sentido chamar a VESATEC

• Clientes e auditorias de terceiros passaram a exigir critério reconhecido — e autoavaliação não resolve.
• A auditoria interna voltou com Não Conformidades Maiores e há risco concreto de reprovação.
• Há controles declarados sem evidência, ou justificativas de não aplicabilidade que não se sustentam tecnicamente.
• A matriz de riscos não conecta ameaça a decisão de investimento.
• Faltam requisitos de segurança nos contratos com terceiros críticos, inclusive fornecedores de nuvem.
• O regulador do setor exige SGSI, continuidade e privacidade em conjunto.
• Já existe ISO 9001 e a dúvida é o que aproveitar do sistema de gestão vigente em vez de criar estrutura paralela.

Como conduzimos

O pacote completo, até a auditoria de certificação, roda em cinco etapas:

1. Workshop ISO/IEC 27001:2022 — um dia ao vivo, cobrindo fundamentos do SGSI, as seções gerais e os domínios de controle do Anexo A. Serve para criar linguagem comum antes de começar.
2. Gap analysis — verificação das cláusulas 4 a 10 e dos controles do Anexo A, com relatório e apresentação. É este relatório que redesenha o cronograma da etapa seguinte.
3. Implantação do SGSI — aproveitamento do que já existe (inclusive da ISO 9001), definição e aprovação do escopo, manual e diretrizes, avaliação e tratamento de riscos, políticas, os processos de segurança e os procedimentos operacionais. Cada processo segue o mesmo rito: criar, nomear o dono, cumprir os controles do Anexo A, criar os registros, revisar com o dono e aprovar corporativamente.
4. Auditoria de pré-certificação — plano de auditoria, verificação das cláusulas e dos controles, relatório e apresentação, em cumprimento ao programa de auditoria interna.
5. Programa de auditoria interna — cobrindo os três anos do ciclo de certificação, conforme a cláusula 9.2.2.

Há ainda a trilha de auditoria independente do Anexo A, para quem já tem SGSI e precisa de avaliação externa; a trilha de remediação, quando a auditoria interna já reprovou; e a trilha de continuidade (ISO 22301), quando o regulador exige o SGCN junto.

O que você recebe

• Escopo do SGSI aprovado, com contexto organizacional e requisitos das partes interessadas documentados
• Manual do SGSI, diretrizes de avaliação e tratamento de riscos e diretrizes de documentação
• Análise de riscos executada, Matriz de Riscos e Plano de Tratamento de Riscos
• Declaração de Aplicabilidade (SoA) derivada dos controles aplicáveis — não copiada de modelo
• Políticas de segurança da informação, privacidade, desenvolvimento de software e uso de recursos de TI
• Processos de gestão de mudanças, pessoas, acessos e identidades, operações de segurança, ativos, fornecedores, continuidade, logs, capacidade e criptografia — cada um com dono nomeado
• Base de controle de Não Conformidades, com planos de ação e registro de fechamento
• Plano e Relatório de Auditoria, com planos de ação para as Não Conformidades Menores e apresentação executiva
• Na trilha de continuidade: BIA com as funções vitais de negócio, PCN e PCSTI

Por que a VESATEC

Auditamos como um auditor audita. As auditorias seguem as diretrizes da ISO 19011 e são conduzidas por Auditor Líder ISO/IEC 27001 certificado — com amostragem definida, entrevistas técnicas e validação prática de efetividade, não leitura de documento.

Rastreabilidade é o produto. A sequência risco → decisão → controle → evidência é o que dá aderência à cláusula 6.1 e o que sustenta o SGSI diante do auditor. Sem ela, o certificado fica frágil mesmo quando sai.

Aproveitamos o que você já tem. Onde existe ISO 9001, partimos do manual da qualidade, das instruções de trabalho e do processo de riscos vigente. Sistema de gestão paralelo é retrabalho e morre por desuso.

Perguntas frequentes

Vocês emitem o certificado ISO?

Não — certificação é ato de organismo certificador acreditado. Nós preparamos o SGSI, auditamos internamente e, quando não há Não Conformidade Maior no escopo avaliado, emitimos o Certificado de Auditoria VESATEC atestando evidência suficiente de implantação e eficácia dos controles avaliados.

Já temos ISO 9001. Dá para aproveitar?

Sim, e é o caminho recomendado. Levantamos o processo de avaliação e tratamento de riscos, os modelos de documentação, o manual da qualidade e as instruções de trabalho já publicadas, e integramos o SGSI ao que existe.

Nossa auditoria interna reprovou. Dá tempo de corrigir?

Em geral sim. A trilha de remediação é uma jornada estruturada em ciclos de estabilização, implementação e maturidade, com cadência de dois encontros semanais, atacando a causa de a estrutura atual ter falhado — documentação obsoleta, excesso de burocracia, falta de clareza de dono.

Vocês operam SOC, pentest ou resposta técnica a incidente?

Não. O escopo é o sistema de gestão: processos, controles, evidências e auditoria. A execução técnica no ambiente permanece com a sua equipe e com os seus fornecedores de tecnologia.

Quanto custa?

Sob consulta. O investimento é dimensionado pelo escopo do SGSI, pelo porte da operação e pelas trilhas contratadas — implantação completa, auditoria independente, remediação ou continuidade.