O sistema de segurança da informação que só existe na pasta

Uma empresa com ISO 27001 em andamento costuma ter um conjunto respeitável de documentos: política de segurança da informação aprovada pela direção, análise de riscos em planilha, declaração de aplicabilidade assinada, procedimentos de backup e de gestão de incidentes. No papel, o sistema está completo. Na operação, ninguém sabe dizer quem aprova acesso privilegiado ou onde ficam os logs de um servidor específico.

Essa distância é o que separa um certificado de uma fachada. A ISO 27001 não certifica a existência de documentos: certifica que os controles declarados na declaração de aplicabilidade estão implementados e produzem o efeito esperado. Quando o auditor pergunta “mostre”, a pasta não responde.

E o custo de descobrir isso na auditoria de certificação é alto, porque segurança da informação não se corrige com assinatura.

O que a norma cobra antes de chegar aos anexos

A parte principal da ISO 27001 sustenta tudo o resto. O 6.1.2 exige avaliação de riscos com critérios definidos de aceitação; o 6.1.3 exige tratamento com escolha justificada de controles; o 8.2 e o 8.3 exigem que essa avaliação seja recorrente, não um evento único feito no início do projeto. O 9.2 exige auditoria interna e o 9.3 exige análise crítica com entrada de desempenho e decisão sobre risco residual.

O ponto que mais reprova é o vínculo entre risco e operação. A empresa identifica “acesso indevido a dados” como risco alto, mas não consegue mostrar qual controle reduz esse risco, quem opera o controle, com que frequência e qual evidência sobra. Sem esse vínculo, a análise de riscos é um documento opinativo.

Os controles que o auditor pede para ver em execução

A versão 2022 da norma organiza os controles do Anexo A em quatro temas — organizacional, pessoas, físico e tecnológico —, totalizando 93 controles. Um grupo pequeno concentra as verificações mais duras:

• Gestão de incidentes (A.5.24 a A.5.28): não basta ter procedimento. O auditor pede um incidente real, com registro de detecção, avaliação, resposta, lição aprendida e evidência preservada.
• Registro e monitoramento (A.8.15 e A.8.16): logs existem, mas ninguém revisa? O controle não está operando. A pergunta é quem analisa, com qual rotina e o que aconteceu na última anomalia.
• Controle de acesso (A.5.15, A.5.18, A.8.2): a revisão periódica de acessos precisa mostrar contas removidas, privilégios reduzidos e aprovação registrada. Conta de ex-funcionário ativa é achado clássico.
• Backup (A.8.13): o auditor quer teste de restauração, não apenas rotina de cópia. Backup nunca restaurado é hipótese, não controle.
• Gestão de vulnerabilidades técnicas (A.8.8): qual foi a última varredura, o que foi encontrado e o que foi corrigido.

Cada item desses gera evidência datada. Onde não há data, não há controle — há intenção.

Um controle que ninguém executa não reduz risco: reduz a credibilidade do sistema inteiro.

O elo com a LGPD que ninguém quer testar

Boa parte das empresas que buscam a ISO 27001 trata dados pessoais. A Lei 13.709/2018 exige medidas de segurança desde o art. 46 e determina comunicação de incidentes relevantes à ANPD e ao titular, conforme o art. 48. O art. 52 prevê sanções que incluem multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.

O detalhe que pesa: para comunicar um incidente em prazo razoável, a empresa precisa saber que houve incidente. Isso depende de detecção, de log íntegro e de um processo de triagem que funcione fora do horário comercial. Um plano de resposta a incidentes que só existe no documento não atende nem a norma nem a lei.

Do outro lado, a estrutura da ISO 27001 — inventário de ativos, base legal mapeada, controle de acesso, registro de tratamento — é o que permite responder a um pedido de titular sem mobilizar meia empresa. Conformidade aqui é operacional, não jurídica.

Quanto custa o controle de fachada

O primeiro custo é o da auditoria repetida: reprovar em controles centrais significa nova rodada, novo esforço de evidência e novo custo de certificação, sem receita nova no intervalo.

O segundo é o incidente. Um vazamento com rastreabilidade fraca impede dimensionar o alcance, o que obriga a comunicar de forma ampla, atrai exposição pública e pode gerar sanção administrativa. O custo inclui contenção emergencial, perícia, comunicação e — o mais caro — a revisão de contratos por clientes que tratam a empresa como operadora de dados.

O terceiro é comercial: em licitações e em contratos com bancos, operadoras e indústrias, a comprovação de segurança da informação virou requisito de qualificação técnica. Quem não demonstra, não contrata.

Segurança que se prova em cinco minutos

Quando os controles operam, a auditoria deixa de ser um evento de estresse e passa a ser uma demonstração. O auditor pede o incidente, você abre o registro com linha do tempo, decisão e lição aprendida. Pede a revisão de acessos, você mostra a lista com as remoções. Pede o teste de restauração, você mostra o relatório com data e responsável.

O ganho vai além do certificado: menos tempo de resposta a incidente, menos acesso indevido, menos retrabalho de TI em auditoria e mais velocidade para fechar contratos que exigem segurança comprovada.

Como a Klaston conduz esse diagnóstico

A Klaston faz gap analysis da ISO 27001 com teste de controle, não apenas leitura de documento: seleciona amostra de controles declarados, verifica execução, aponta o que está em fachada e classifica o risco de cada lacuna. Também estrutura GRC para ligar risco, controle, evidência e plano de ação em um único fluxo, e apoia a interface com a LGPD para que o registro de tratamento e o plano de resposta a incidentes conversem com o SGSI.

O entregável é uma lista de controles que não passariam na auditoria — com a evidência que falta em cada um. É mais útil saber isso hoje do que na semana da certificação.