Certificação ISO 27001: etapas, prazo e custo

Certificar na ISO 27001 não é comprar um documento: é submeter o seu Sistema de Gestão da Segurança da Informação à verificação de um organismo independente, que vai atrás de evidência de que os controles existem e operam. Este artigo descreve o caminho inteiro — o que precisa estar pronto antes, o que acontece nas duas fases da auditoria, quanto tempo leva e, principalmente, o que faz o custo variar.

Um aviso já no começo, porque economiza tempo de todo mundo: quem promete prazo fechado e preço de tabela antes de conhecer o seu escopo está adivinhando. A conta da certificação tem uma regra própria — e ela é pública.

O que precisa existir antes de chamar o auditor

A auditoria de certificação verifica um sistema em funcionamento, não um projeto em andamento. Antes dela, a empresa precisa ter:

• escopo do SGSI definido e documentado, com as interfaces e dependências externas explícitas — o que é responsabilidade sua e o que é do provedor de nuvem;
• política de segurança da informação aprovada pela direção, com controle de versão e prova de que chegou às pessoas;
• avaliação de riscos executada com critérios escritos antes dos resultados, com riscos nomeados e donos atribuídos;
• o plano de tratamento de riscos e a Declaração de Aplicabilidade (SoA), com justificativa de inclusão e de exclusão de cada controle do Anexo A, mais a aceitação formal dos riscos residuais;
• controles implantados onde o risco apontou — e operando há tempo suficiente para gerar registro. Os que mais geram achado têm guia próprio aqui: backup e cópia de segurança (8.13), controle criptográfico (8.24) e mascaramento de dados (8.11);
• pessoal conscientizado, com registro de participação e avaliação de eficácia;
• ao menos uma rodada completa de auditoria interna e de análise crítica pela direção, com ata que registre decisões e não só números.

Faltando a auditoria interna ou a análise crítica, a certificação trava no estágio 1. É o motivo mais banal de adiamento e o mais fácil de evitar. O detalhamento de cada exigência está em requisitos da ISO 27001: as cláusulas 4 a 10.

As etapas, na ordem que funciona

1. Diagnóstico. Comparar o que já existe com o que a norma exige. Empresa que já tem ISO 9001 costuma descobrir que boa parte da estrutura está pronta: contexto, informação documentada, competência, auditoria interna, ação corretiva. Veja o que se aproveita em ISO 27001 e ISO 9001.
2. Definição de escopo. Quais processos, unidades, pessoas e ativos entram. Decisão de negócio antes de ser técnica: se o cliente exige a 27001 para o serviço que ele contrata, aquele serviço tem de estar dentro.
3. Avaliação de riscos. A etapa que determina todo o resto — é ela que diz quais controles você precisa e em que profundidade.
4. Tratamento de riscos e SoA. Escolher os controles a partir do risco e só então conferir contra o Anexo A, para não deixar lacuna.
5. Implantação dos controles nos processos reais — acessos, fornecedores, desenvolvimento, operação de TI, pessoas, ambiente físico.
6. Conscientização e comunicação, proporcionais ao risco de cada função.
7. Operação com registro. O sistema precisa rodar tempo suficiente para gerar evidência: acessos revisados, incidentes tratados, testes de restauração feitos, indicadores medidos.
8. Auditoria interna e análise crítica pela direção.
9. Auditoria de certificação, estágio 1 e estágio 2.
10. Tratamento de não conformidades, com análise de causa e evidência de implementação, no prazo dado pelo organismo.
11. Decisão e emissão do certificado, tomada por uma instância do organismo que não participou da auditoria.

Estágio 1 e estágio 2: o que o auditor faz em cada um

A auditoria inicial da ISO 27001 acontece obrigatoriamente em dois estágios, e a diferença entre eles explica por que sistema de fachada não passa.

No estágio 1, o organismo avalia se você está pronto para ser auditado: analisa o escopo, a documentação, a avaliação de riscos, a SoA, o entendimento do contexto, e confirma que a auditoria interna e a análise crítica aconteceram. Ele também usa esse estágio para planejar o estágio 2 — quais locais visitar, quais áreas amostrar. Sai com pontos a resolver, e é comum sair com a recomendação de adiar.

No estágio 2, o auditor verifica a implementação: entrevista quem executa, amostra registros, confere se o controle declarado na SoA deixa rastro na operação. É aqui que a pergunta muda de "existe o documento?" para "mostre a última vez que isso aconteceu". Controle marcado como implementado sem histórico amostrável é a não conformidade mais comum desta etapa.

Há um intervalo entre os dois estágios — a norma prevê tempo para você tratar o que apareceu no estágio 1 —, e esse intervalo entra no cronograma.

Depois do certificado: o ciclo de três anos

O certificado vale três anos. Dentro do ciclo há auditorias de manutenção (normalmente anuais, com escopo reduzido) e, ao fim, uma recertificação, que reavalia o sistema inteiro. Não conformidade grave não tratada, ou sistema que parou de operar, leva a suspensão e depois a cancelamento.

Esse ritmo externo costuma ser o maior benefício prático para quem já tinha alguma estrutura de segurança: o calendário do organismo impede que o SGSI vire pasta parada depois do primeiro semestre. O que fazer entre auditorias está em como manter o SGSI depois da certificação.

Quanto tempo leva

Não há resposta única, e desconfie de quem der uma. O prazo depende de três variáveis: maturidade de partida (já ter sistema de gestão certificado encurta muito), tamanho e dispersão do escopo (uma unidade ou doze) e, principalmente, disponibilidade real da equipe — cronograma trava mais por agenda de gente do que por complexidade técnica.

O que dá para afirmar com segurança sobre a composição do prazo: a etapa mais longa raramente é escrever os documentos. É operar tempo suficiente para gerar evidência. Um controle implantado ontem não tem histórico para o auditor amostrar hoje, e alguns registros só existem com o calendário: revisão trimestral de acessos precisa de trimestres, teste de restauração de backup precisa de testes feitos.

Somam-se ao cronograma a agenda do organismo de certificação, o intervalo entre estágio 1 e estágio 2, o prazo para tratar não conformidades e os dias até a decisão de certificação.

O que define o custo

São duas contratações distintas, e a separação não é comercial, é regra de imparcialidade: o organismo que certifica não pode prestar consultoria a quem ele audita. Quem oferece "consultoria e certificação no mesmo pacote" está oferecendo um certificado que o mercado não vai aceitar.

Custo da certificação, cobrado pelo organismo

Aqui está a parte que quase ninguém explica: para a ISO 27001 o tempo mínimo de auditoria não é arbitrado pelo certificador. Ele segue a ISO/IEC 27006-1, a norma que os organismos precisam cumprir para serem acreditados a certificar SGSI. Ela parte do número de pessoas que executam trabalho dentro do escopo e ajusta esse tempo por fatores de complexidade. Ou seja: o preço é, em boa medida, uma função de dias de auditoria — e os dias têm piso normativo.

O que empurra os dias para cima ou para baixo:

• número de pessoas no escopo — a variável de base, e é do escopo, não da empresa inteira;
• número de sites e se há amostragem entre eles (multiunidade com processos idênticos pode ser amostrado; operações distintas, não);
• criticidade da informação tratada — dado pessoal sensível, dado financeiro e informação sujeita a exigência regulatória pesam mais;
• complexidade da infraestrutura — número de plataformas, sistemas legados, ambientes;
• desenvolvimento de software dentro do escopo, que traz controles próprios e aumenta o tempo;
• grau de terceirização e uso de nuvem — pode reduzir o que você opera, mas aumenta o que você precisa evidenciar sobre o controle de fornecedores;
• quantidade de controles do Anexo A declarados aplicáveis na SoA;
• deslocamento dos auditores, quando a auditoria não é remota;
• o ciclo completo, não só a certificação inicial: some as manutenções anuais e a recertificação do terceiro ano.

Duas consequências práticas disso. A primeira: recortar o escopo é a alavanca de custo mais forte que você tem — e a mais perigosa, porque escopo estreito demais entrega um certificado que não resolve a exigência do cliente. A segunda: peça o orçamento do ciclo de três anos, não da auditoria inicial. Proposta que só mostra o ano 1 esconde metade da conta.

Custo da implantação

Consultoria, quando houver, mais o custo interno que quase ninguém orça: horas do pessoal em levantamento de ativos, avaliação de riscos, escrita de documentos, conscientização, auditoria interna e reuniões de análise crítica. Em projetos que atrasam, é esse custo invisível que estoura o orçamento — tempo de gente é a maior linha, e ela não aparece em nenhuma proposta.

Entram ainda itens menores e frequentemente esquecidos: a compra da norma (a ABNT NBR ISO/IEC 27001 é paga), eventuais ferramentas, e os controles que a avaliação de riscos apontar e que dependem de investimento — o que não é custo da certificação, é custo de segurança que a empresa provavelmente já devia ter.

Se o que você precisa é o número da sua operação, o caminho curto é descrever o cenário — quantas pessoas no escopo, quantas unidades, o que a empresa faz — e receber uma estimativa em cima disso. É o que fazemos em consultoria ISO 27001.

Acreditação: o detalhe que decide se o certificado vale

Certificado emitido por organismo acreditado tem reconhecimento internacional pelo acordo multilateral do IAF. Certificado de organismo não acreditado é um papel com logotipo — e o cliente que exigiu a certificação verifica isso.

Antes de assinar, confirme três coisas: qual organismo de acreditação reconhece aquele certificador (no Brasil, o Inmetro/Cgcre), se o escopo de acreditação cobre a ISO/IEC 27001 — acreditação para ISO 9001 não serve —, e se o certificado aparece no diretório público do acreditador.

Vale saber também que a acreditação para certificar SGSI tem requisito próprio de competência: além da ISO/IEC 17021-1, o organismo precisa atender à ISO/IEC 27006-1, que define desde o tempo de auditoria até a qualificação de quem audita segurança da informação.

O que mais atrasa uma certificação

• Começar pelos documentos. Escrever política e procedimentos antes da avaliação de riscos gera um sistema que descreve uma empresa que não existe;
• Escopo mal definido. Redefinir escopo depois do estágio 1 joga cronograma e custo para frente, e muda os dias de auditoria já contratados;
• SoA sem lastro. Controle declarado aplicável e implementado, sem registro que o auditor possa amostrar;
• Chamar a auditoria sem histórico de operação. Alguns registros só existem com o passar do calendário — não há atalho;
• Pular a auditoria interna ou a análise crítica. São requisito, não boa prática, e a ausência para o processo no estágio 1;
• Tratar não conformidade com paliativo. Ação corretiva sem análise de causa volta na auditoria seguinte, agravada;
• Contratar certificador sem checar a acreditação. Descobrir isso depois significa certificar de novo, do zero.

Leia mais

• ISO 27001: o que é, requisitos e como certificar
• Requisitos da ISO 27001: as cláusulas 4 a 10 explicadas
• Como definir o escopo do SGSI
• Como implementar a ISO 27001 na sua empresa
• Que infraestrutura a ISO 27001 exige de verdade
• Quais empresas precisam da ISO 27001
• Como manter o SGSI depois da certificação
• ISO 27701:2025: a norma de privacidade ficou independente da 27001
• Consultoria ISO 27001: como funciona