Auditoria ISO 27001: interna, de certificação e o que o auditor pede

Auditoria de ISO 27001 é uma coleta de evidência com amostragem. O auditor não avalia se a sua empresa é segura — ele verifica se o que você declarou existir realmente existe, opera e deixa rastro. Entender isso muda a preparação inteira: o que se prepara não é discurso, é registro.

Este artigo cobre os dois lados da mesa. Primeiro a auditoria interna, que é requisito da norma (cláusula 9.2) e trava a certificação quando falta. Depois a auditoria de certificação, com o que o auditor pede em cada cláusula e em cada controle, os tipos de achado e o que fazer com uma não conformidade sem que ela volte no ano seguinte.

Os quatro tipos de auditoria que a 27001 envolve

• Auditoria interna (primeira parte). Feita pela própria empresa, ou por alguém contratado por ela, contra a norma e contra o próprio SGSI. É requisito 9.2 e precisa acontecer antes da certificação;
• Auditoria de segunda parte. Quando um cliente audita você, ou quando você audita um fornecedor crítico. Não emite certificado, mas costuma ser a mais dura, porque quem audita tem interesse direto no resultado;
• Auditoria de certificação (terceira parte). Feita pelo organismo certificador acreditado, em dois estágios;
• Manutenção e recertificação. Dentro do ciclo de três anos, auditorias de manutenção — normalmente anuais, com escopo reduzido — e, ao final, a recertificação, que reavalia o sistema inteiro. O calendário e o custo estão em certificação ISO 27001: etapas, prazo e custo.

A diferença entre interna e externa não é rigor, é finalidade: a interna existe para você achar o problema primeiro. Mais sobre a distinção em auditorias internas e externas.

Auditoria interna: como fazer a que a norma exige

A auditoria interna da 27001 tem cinco elementos que o auditor externo confere um a um.

1. Programa de auditoria. Não é um evento anual: é um plano que define frequência, métodos, responsabilidades e critérios, e que leva em conta a importância dos processos e os resultados de auditorias anteriores. Processo crítico e área que teve não conformidade no ciclo passado precisam aparecer com mais frequência. Programa que audita tudo uma vez por ano, na mesma semana, com a mesma profundidade, ignora o requisito.

2. Escopo e critérios de cada auditoria. O critério é o conjunto contra o qual você audita: a norma, a política, os procedimentos internos, requisitos contratuais e legais. Sem critério declarado não existe não conformidade — existe opinião.

3. Competência do auditor. Auditar segurança da informação exige conhecer a norma e o assunto: quem não entende de gestão de acessos não sabe o que amostrar em 8.2. A referência de prática é a ISO 19011. Formação de auditor interno resolve a parte da técnica de auditoria; o conhecimento do tema vem da experiência ou de quem acompanha.

4. Imparcialidade. Ninguém audita o próprio trabalho. Em empresa pequena, onde a mesma pessoa fez quase tudo, a saída é cruzar auditores entre áreas ou contratar auditor externo para a auditoria interna — o que é permitido e comum.

5. Relato e tratamento. Resultados reportados à direção, não conformidades registradas e tratadas com prazo. Auditoria interna que produz relatório sem achado, ano após ano, não convence auditor nenhum: sistema que opera gera desvio.

Evidência esperada: programa de auditoria, plano de cada auditoria, registro de competência do auditor, relatórios com achados e evidência do tratamento. A preparação prática está em checklist de preparação para a auditoria interna.

O que o auditor pede, cláusula por cláusula

A auditoria de certificação acontece em dois estágios. No estágio 1 a pergunta é "existe e está coerente?" — documentação, escopo, avaliação de riscos, SoA, auditoria interna e análise crítica. No estágio 2 a pergunta muda para "mostre a última vez que isso aconteceu". É essa mudança que reprova sistema de fachada.

• 4 — Contexto. Análise de contexto com questões nomeadas (não uma SWOT genérica), partes interessadas com o que cada uma exige, escopo documentado com interfaces e dependências externas explícitas. Desde a Emenda 1:2024, a determinação sobre mudanças climáticas serem ou não pertinentes precisa estar registrada;
• 5 — Liderança. Política aprovada, comunicada e disponível; papéis e responsabilidades atribuídos com nome; evidência de que a direção decide sobre o SGSI — a ata da análise crítica é a prova principal;
• 6 — Planejamento. Critérios de risco definidos antes dos resultados, avaliação executada com donos atribuídos, plano de tratamento, Declaração de Aplicabilidade com justificativa de inclusão e exclusão dos 93 controles, aceitação formal do risco residual, e objetivos de segurança mensuráveis com plano para alcançá-los;
• 7 — Apoio. Registros de competência de quem executa atividade crítica, plano e registros de conscientização com avaliação de eficácia, controle de informação documentada (versão, aprovação, distribuição, retenção);
• 8 — Operação. Evidência de que os processos planejados acontecem: reavaliação de riscos em intervalos definidos e quando há mudança significativa, controle de processos terceirizados, gestão de mudanças;
• 9 — Avaliação de desempenho. O que é medido, por qual método e quem analisa; resultados de monitoramento; auditoria interna completa; ata de análise crítica com as entradas exigidas e decisões registradas;
• 10 — Melhoria. Registros de não conformidade com correção, análise de causa, ação corretiva e verificação de eficácia. O paralelo detalhado está em não conformidade e ação corretiva.

Cada requisito, item por item, está em requisitos da ISO 27001: as cláusulas 4 a 10.

O que ele pede nos controles do Anexo A

Nos controles, a auditoria é quase sempre a mesma pergunta em formas diferentes: o controle declarado na SoA deixa rastro na operação? Os pedidos mais frequentes:

• Gestão de acessos. A lista de quem tem acesso a quê, a última revisão de acessos com data e responsável, e a comparação com o RH — usuário ativo de alguém desligado há três meses é achado imediato;
• Backup (8.13). Não a rotina de backup: o registro do último teste de restauração. Backup que nunca foi restaurado é um plano, não um controle. Detalhes em backup e cópia de segurança na ISO 27001;
• Criptografia (8.24). A política de uso, o que está cifrado, e principalmente a gestão de chaves — quem guarda, como se troca, o que acontece quando a pessoa sai;
• Dados em ambiente de teste (8.11 e 8.33). Se há dado real em homologação, com ou sem mascaramento;
• Fornecedores. Contratos com cláusula de segurança, avaliação antes da contratação e monitoramento depois, e o que acontece na rescisão (devolução e exclusão de dados);
• Incidentes. O registro dos incidentes do período, o tratamento de cada um, e as lições aprendidas que viraram mudança de controle. Empresa que declara zero incidente em doze meses geralmente não tem controle: tem falta de registro;
• Pessoas. Termo de responsabilidade assinado, triagem na contratação quando aplicável, processo disciplinar definido, checklist de desligamento com devolução de ativo e corte de acesso — com data;
• Físico. Registro de entrada em áreas restritas, descarte de mídia, e a caminhada pelo escritório: mesa com credencial anotada em papel vale mais que qualquer procedimento;
• Continuidade. O teste do plano, não o plano.

O padrão, repetido: o auditor amostra o registro, não o documento que descreve o registro.

Achados: NC maior, NC menor, observação e oportunidade

• Não conformidade maior. Ausência ou falha sistêmica de um requisito, ou uma falha que compromete a capacidade do SGSI de atingir seus resultados. Exemplos típicos: não ter feito auditoria interna, não ter análise crítica, SoA inexistente, ou o mesmo desvio se repetindo em várias áreas. Bloqueia a recomendação de certificação até ser tratada e verificada;
• Não conformidade menor. Desvio pontual, sem colapso do requisito — um registro faltando numa amostra, um documento desatualizado. Não impede a certificação, mas exige plano de ação aceito pelo organismo;
• Observação. Ponto que ainda não é desvio, mas tende a virar se nada mudar;
• Oportunidade de melhoria. Sugestão. O auditor de terceira parte não pode dizer como resolver — orientar seria consultoria, e o organismo que certifica não pode consultar quem audita.

Vale saber que várias menores relacionadas ao mesmo requisito podem ser reclassificadas como uma maior. É o mecanismo que impede que um problema sistêmico seja fatiado em pequenos achados.

Como tratar uma não conformidade para ela não voltar

A sequência que a cláusula 10.2 pede, na ordem:

1. Correção — resolver o caso concreto (revogar o acesso, corrigir o documento). É o que quase todo mundo faz, e é a parte que não impede a repetição;
2. Análise de causa — por que o sistema permitiu isso. "Falha humana" não é causa: é o ponto onde a análise parou. Método em análise de causa raiz;
3. Avaliação de recorrência — se o mesmo desvio pode existir em outra área ou outro processo. É aqui que a maioria dos planos de ação falha;
4. Ação corretiva — mudar o processo, o controle ou a competência, com responsável e prazo;
5. Verificação de eficácia — em nova amostra, depois de tempo suficiente. Sem essa verificação, o achado volta na auditoria seguinte, agravado por ter sido "tratado".

Prazos e formato do plano de ação são definidos pelo organismo, e costumam ser curtos para NC maior. Combine isso na abertura da auditoria, não depois da reunião de encerramento.

Os erros que geram achado sem que a segurança esteja ruim

• Registro criado na véspera. Doze meses de "revisão mensal" produzidos na mesma semana têm metadados, e o auditor olha;
• SoA desatualizada. A empresa mudou o controle e não mexeu na Declaração de Aplicabilidade — o documento passa a mentir sobre a própria operação;
• Escopo que não bate com a realidade. Certificado para um serviço, operação rodando em outra unidade não declarada;
• Zero incidente registrado. Interpretado como ausência de processo de registro, não como excelência;
• Indicador sem análise. Número medido, nenhuma decisão tomada a partir dele — 9.1 pede o resultado e a avaliação;
• Ação corretiva sem causa. O caminho mais curto para transformar uma NC menor deste ano em NC maior no ano que vem;
• Preparar as pessoas com respostas prontas. O auditor entrevista quem executa. Resposta decorada que não bate com o registro produz achado maior do que a resposta honesta "eu faço assim, e está anotado aqui".

Leia mais

• ISO 27001: o que é, requisitos e como certificar
• Requisitos da ISO 27001: as cláusulas 4 a 10 explicadas
• Como implementar a ISO 27001: o passo a passo
• Certificação ISO 27001: etapas, prazo e custo
• SGSI: o que é o Sistema de Gestão da Segurança da Informação
• Checklist de preparação para a auditoria interna
• Como manter o SGSI depois da certificação
• Consultoria ISO 27001: o que ela faz e o que continua sendo seu