Avaliação de lacunas ISO 27001: etapas e entregáveis

Uma avaliação de lacunas ISO 27001 compara os controlos e os documentos atuais da empresa com as cláusulas da norma e com o conjunto de controlos do Anexo A, e devolve um plano de correção priorizado. Prepara uma empresa para a auditoria de certificação, mas não é em si um certificado, e nenhuma avaliação pode prometer que a certificação se segue.

O que é uma avaliação de lacunas ISO 27001?

ISO/IEC 27001 é a norma internacional para um sistema de gestão de segurança da informação (SGSI): um conjunto documentado de políticas, processos e controlos baseado no risco, que se mantém e se melhora em vez de se instalar uma vez. O certificado é emitido por um organismo de certificação acreditado depois das suas próprias auditorias; a própria norma compra-se à ISO, e são os seus requisitos que toda a avaliação usa como régua.

Uma avaliação de lacunas responde honestamente a uma questão: que distância tem a organização de cumprir esses requisitos hoje? Revisa o que existe — documentos, prática real, configuração técnica — e regista as diferenças como constatações face às cláusulas da norma (as cláusulas 4 a 10 carregam os requisitos do sistema de gestão) e face ao conjunto de controlos do Anexo A, que na versão de 2022 contém 93 controlos de referência agrupados por tema.

Três clarificações que poupam confusão mais tarde:

É um exercício de prontidão, não uma auditoria. Sem acreditação, sem decisão de certificação, sem não conformidade formal com numeração do organismo de certificação. O que produz é um plano de trabalho.

O âmbito escolhe-se, não se impõe. A ISO 27001 não exige certificar toda a organização: o âmbito pode ser uma unidade de negócio, uma localização, uma linha de produto ou um conjunto de sistemas, desde que o perímetro esteja definido e justificado. A maioria das empresas estreita o âmbito primeiro — uma decisão que reduz para metade o custo da avaliação e o da certificação, e que vale a pena acertar antes de alguém rever um único documento.

É honesta quanto às evidências. Um documento que diz uma coisa e uma prática que faz outra é registado como tal, porque o auditor de certificação encontra a mesma diferença mais tarde, num momento pior.

O processo de avaliação

As seis etapas seguintes são como parece uma avaliação que funciona. A coluna do resultado é o ponto da tabela: cada etapa deve produzir um artefacto que guarda, não uma impressão:

Tabela A: etapa | o que acontece | resultado

Etapa	O que acontece	Resultado
Delimitação de âmbito	Acordar a fronteira do SGSI: que locais, departamentos, sistemas e dados entram e porquê; identificar as partes interessadas e os seus requisitos	Declaração de âmbito com justificação, pronta a reutilizar na auditoria da Fase 1
Revisão documental	Ler as políticas, procedimentos e registos existentes face às cláusulas 4–10 e ao Anexo A; verificar se os documentos descrevem a realidade ou a aspiração	Inventário documental com estado por item: existe / parcial / inexistente, com a evidência observada
Entrevistas	Falar com quem executa os processos — TI, recursos humanos, operações, finanças, gestão — e comparar respostas entre funções; contradições entre dois departamentos também são constatações	Notas de entrevista por processo, com registadas as diferenças entre prática e documento
Verificações técnicas	Amostrar a configuração real: listas de acesso, registo de eventos, trabalhos de cópia de segurança e evidência de restauro, estado das correções, acesso físico — amostrado, não um teste de intrusão	Resultados por área de controlo, com amostras e datas para que um resultado possa ser reverificado
Classificação	Pontuar cada constatação por gravidade e esforço; a gravidade segue o risco para a organização e não a posição do controlo no Anexo A	Registo de lacunas: cláusula ou controlo, estado atual, constatação, gravidade, responsável sugerido
Relatório e roteiro	Concatenar as constatações num relatório e sequenciar o trabalho: ganhos rápidos, itens estruturais e os documentos que têm de existir antes da auditoria da Fase 1	Relatório de análise de lacunas, roteiro de correção com prioridades, rascunho da Declaração de Aplicabilidade

Uma nota sobre o método: a norma não prescreve como se conduz uma avaliação de lacunas, por isso os prestadores diferem. O que separa uma avaliação útil de uma cara é a disciplina de evidência — constatações ligadas a algo que um auditor de certificação poderia rever — e o registo que se segue depois. As questões de governação e de auditoria em torno do trabalho de segurança são tratadas na página de auditoria e consultoria de TI, e o contexto mais amplo de proteção da infraestrutura por trás do SGSI está na página de infraestrutura digital.

Entregáveis

Quatro artefactos definem uma avaliação séria. Se uma proposta não nomear todos os quatro, pergunte porquê:

Relatório de análise de lacunas. A narrativa: âmbito revisto, método, constatações por cláusula e por área de controlo, e um sumário executivo que um administrador-geral lê em dez minutos. O relatório explica as diferenças; não se limita a listá-las.

Registo de lacunas. A base de dados de trabalho: cada constatação com a sua cláusula ou referência do Anexo A, estado atual, gravidade e prioridade. É este registo em que o projeto passa a correr depois — converte o relatório de aconselhamento num backlog com responsáveis.

Roteiro de correção. Constatações sequenciadas num plano: o que tem de existir antes da auditoria da Fase 1, o que pertence aos primeiros meses do SGSI e o que pode esperar. A sequência respeita dependências — não é possível rever acessos trimestralmente enquanto não existirem listas de acesso.

Rascunho da Declaração de Aplicabilidade (SoA). O documento que lista cada controlo do Anexo A, se é aplicável e porquê, e como está implementado. Um rascunho de SoA preparado durante a avaliação é a maior poupança de tempo de todo o projeto de certificação, porque a alternativa é escrever 93 decisões de página em branco sob prazo.

Os entregáveis chegam por escrito e pertencem ao comprador. Um prestador que não mostra um relatório de exemplo antes da assinatura está a dizer-lhe algo sobre o relatório.

O que a avaliação não é

Ser preciso aqui poupa discussões mais tarde:

Não é um certificado. Só um organismo de certificação acreditado, a trabalhar segundo a ISO/IEC 17021 e a própria acreditação do organismo, pode certificar um SGSI. Uma avaliação é trabalho de aconselhamento; as suas constatações não têm qualquer validade perante um organismo de certificação, e nenhum resultado de avaliação garante a certificação — uma organização pode passar na sua avaliação e ainda assim falhar na auditoria da Fase 2 com constatações que o auditor desenvolve de forma independente.

Não é uma auditoria interna. A norma exige auditorias internas e uma revisão de gestão como parte do funcionamento do SGSI; são obrigações dentro do sistema, executadas mais tarde, e a avaliação é o trabalho que o leva ao ponto em que essas obrigações podem acontecer.

Não é um teste de segurança. Amostrar a configuração faz parte dela; um teste de intrusão ou uma auditoria técnica completa é um trabalho diferente, com âmbito e profundidade diferentes.

Não é um parecer jurídico. A ISO 27001 e a lei de proteção de dados sobrepõem-se mas são instrumentos diferentes — veja a FAQ abaixo — e nem a avaliação nem o seu relatório substituem o aconselhamento de um jurista ou de um consultor de proteção de dados qualificado.

Não é uma promessa sobre a certificação. Qualquer prestador que implique certificação garantida, cite uma taxa de sucesso ou sugira uma relação com o organismo de certificação que decide de forma independente deve ser tratado como um sinal de alerta e não como argumento de venda. A independência é o produto.

Preparação para a auditoria de certificação

O valor real da avaliação mostra-se no projeto de certificação que se segue. Como as duas coisas se ligam:

A Fase 1 verifica a documentação e o âmbito: a declaração de âmbito do SGSI, a avaliação e o tratamento de riscos, as políticas, a Declaração de Aplicabilidade, os registos de auditoria interna e os registos de revisão de gestão. A maioria das constatações da Fase 1 são documentos em falta ou desatualizados, que é exatamente o que a revisão documental e o rascunho de SoA da avaliação produzem.

A Fase 2 verifica a implementação e a prática: se os controlos operam como documentado, amostrados em todo o âmbito. O trabalho de entrevistas e de verificações técnicas da avaliação ensaia isto — uma equipa que já respondeu a perguntas sobre as suas revisões de acesso e o tratamento de incidentes faz isso com calma na auditoria.

Vigilância e recorrência seguem a certificação, pelo que o roteiro tem de construir um sistema a funcionar e não um conjunto de documentos: revisões de acesso que se repetem, incidentes que são registados, formação que fica em registo, cópias de segurança que são restauradas e testadas. Um SGSI construído para passar uma auditoria desmorona-se na primeira de vigilância.

Pontos práticos que a avaliação costuma trazer à superfície: quem é o responsável de cada área de controlo internamente, se a reunião de gestão é uma reunião real ou uma assinatura, se os auditores internos são independentes do que auditam, e como se conservam os registos entre auditorias. Para uma empresa que faz isto pela primeira vez, as questões de TI em volta — registo de eventos, gestão de acesso, disciplina de cópias de segurança — são tratadas na página de infraestrutura digital, e os deveres perante fornecedores e o tratamento de dados na página de subcontratação de TI.

Lacunas frequentes

As constatações que se repetem em empresas de pequena e média dimensão, por ordem aproximada de frequência:

Inventário de ativos. Sem lista atualizada de sistemas, dispositivos e dados com responsáveis. Quase todos os outros controlos dependem de saber o que existe, e é por isso que este costuma ser o primeiro item do roteiro.

Método de avaliação de riscos. Ou inexistente, ou herdado de um modelo sem justificação organizacional; o auditor de certificação pergunta como os riscos foram identificados e tratados, e «o consultor escreveu-o» não é uma resposta que resista.

Gestão de fornecedores. Sem registo de que fornecedores tocam nos dados da empresa, sem requisitos de segurança nos acordos com fornecedores, sem ciclo de revisão. Para empresas que trabalham com parceiros de desenvolvimento, esta lacuna assenta diretamente sobre as questões contratuais tratadas na página de subcontratação de TI.

Revisões de acesso. Contas atribuídas na admissão e nunca revistas; colaboradores que saíram encontrados na lista de acesso; direitos de administrador nas mãos de quem já saiu da função. Revisões que existem no papel mas não têm registos são metade de uma constatação.

Tratamento de incidentes. Sem processo definido, sem lista de contactos, sem registo dos incidentes que de facto ocorreram. Os incidentes que a empresa esqueceu que teve são os que se tornam constatações na auditoria.

Formação de sensibilização. Um diapositivo único de integração em vez de um programa recorrente com registos. A norma pergunta se as pessoas estão conscientes das suas obrigações; uma lista de presenças com data responde a essa questão.

Teste de cópias de segurança. Cópias de segurança configuradas e nunca restauradas. Um restauro que nunca foi tentado é um controlo não testado, e a verificação técnica da avaliação pede normalmente evidência de um restauro e não uma captura de ecrã de um calendário.

Como escolher o prestador

Três questões separam uma avaliação rigorosa de uma revisão cara:

Independência. O avaliador não pode ter interesse na decisão de certificação — avaliadores não certificam, os organismos de certificação certificam, e um prestador que promete ambos está a descrever um conflito e não um serviço. A independência abrange também o avaliador não ter nenhum produto para vender depois: uma avaliação que recomenda a sua plataforma é um documento de venda com constatações anexadas.

Método. Peça o método antes da proposta: como se acorda o âmbito, como se classificam as constatações, que evidência é exigida por área de controlo e que entregáveis chegam. Um método escrito de antemão é o que torna as constatações defensáveis perante um auditor de certificação mais tarde.

Relatório de exemplo. O melhor teste que existe. Um registo de lacunas censurado e um relatório mostram exatamente o que vai receber: se as constatações estão ligadas a cláusulas com evidência, se as gravidades são fundamentadas, e se o roteiro é uma sequência ou uma lista de desejos.

Dois extras práticos para empresas na Turquia: confirme se o avaliador trabalha com normas e organismos de certificação familiares aos clientes do seu mercado-alvo, pois os requisitos dos clientes costumam nomear esquemas específicos; e confirme o idioma de trabalho das entrevistas e dos documentos, porque as constatações têm de ser utilizáveis pelas equipas que as vão corrigir. A checklist de RFP para fornecedores dá o método geral para pontuar tal compra, e a página de auditoria e consultoria de TI cobre o contexto de aconselhamento mais amplo.

Perguntas frequentes

Quanto tempo demora uma avaliação de lacunas?

Depende do âmbito, e quem cita uma duração antes de delimitar o âmbito está a adivinhar. Os fatores são o tamanho do âmbito — número de localizações, sistemas e processos no perímetro — o estado da documentação e quantas pessoas têm de ser entrevistadas. Um âmbito de um único departamento com políticas existentes é um trabalho diferente de um âmbito multi-local a começar do zero; a resposta honesta vem depois da conversa de delimitação, por escrito.

Precisamos de ISO 27001 para vender?

Normalmente é um requisito do cliente e não legal: concursos, grandes contas e compradores regulados pedem cada vez mais certificação, sobretudo em software e serviços. A resposta prática é verificar o seu próprio funil — se dois prospectos sérios pediram, o caso de negócio existe; se nenhum pediu, o caso assenta na redução de risco e não na receita. A norma não exige certificar toda a organização, pelo que uma certificação delimitada pode servir primeiro a parte da empresa que fala com o cliente.

O que é a Declaração de Aplicabilidade?

O documento que lista cada controlo do Anexo A, declara se é aplicável ao seu âmbito e porquê, e descreve como está implementado. É exigida pela norma e revista pelo organismo de certificação; é também o artefacto mais eficiente de preparar cedo, porque obriga as decisões sobre controlos a ficarem por escrito uma vez, e não sob pressão da auditoria. Um rascunho de SoA é um dos quatro entregáveis da avaliação, acima.

Como se classificam as lacunas?

Por gravidade e prioridade, com a gravidade ligada ao risco para a organização e não à posição do controlo na norma. Uma classificação utilizável explica-se: o que pode acontecer se a lacuna persistir, quem ou o que fica exposto, e o que é preciso para a fechar. Classificações que se limitam a ordenar itens em «alto/médio/baixo» sem razões geram discussões mais tarde; classificações com fundamentação escrita geram um roteiro que as pessoas seguem.

Uma avaliação de lacunas substitui uma auditoria?

Não. A auditoria interna e a revisão de gestão são obrigações dentro do SGSI, e a auditoria de certificação pertence a um organismo de certificação acreditado. A avaliação de lacunas antecede ambas e ajuda em ambas, mas não tem qualquer validade de auditoria — essa é a linha «não é um certificado» acima, e qualquer prestador que a difumine deve ser convidado a esclarecer por escrito.

Sobrepõem-se em parte, mas não são a mesma coisa. A ISO 27001 é uma norma de sistema de gestão para segurança da informação e toca na proteção de dados apenas onde os controlos de segurança protegem dados pessoais; a KVKK e o GDPR impõem deveres legais — fundamento legal, direitos do titular, notificação de violações, regras de transferência — que um SGSI pode suportar mas não satisfaz por si só. Muitas empresas conduzem os dois programas com artefactos partilhados, e as questões jurídicas ficam com um consultor qualificado; os deveres de KVKK/GDPR em torno de fornecedores e alojamento são tratados na página de subcontratação de TI.

Fontes e normas

A própria norma é a ISO/IEC 27001, publicada pela ISO (https://www.iso.org); os requisitos avaliados são as cláusulas 4–10 e o conjunto de controlos do Anexo A, que contém 93 controlos de referência na versão de 2022. A certificação é executada por organismos de certificação acreditados a trabalhar segundo a ISO/IEC 17021; esta página não faz nenhuma alegação de certificação de qualquer espécie.
As afirmações sobre processo, entregáveis e lacunas frequentes seguem a prática corrente de avaliações de lacunas em geral (delimitação de âmbito, revisão documental, entrevistas, amostragem técnica, registo de lacunas classificado por gravidade, roteiro de correção, rascunho da Declaração de Aplicabilidade); não aparecem nesta página durações, custos nem taxas de sucesso.
As afirmações sobre o processo de certificação (auditoria documental da Fase 1, auditoria de implementação da Fase 2, vigilância) seguem o quadro de certificação publicado pela norma; confirme as regras atuais junto do organismo de certificação que escolher.
Não aparece em lado nenhum desta página alegação de que a WorldwideTradeX esteja certificada ou acreditada em ISO 27001, nem garantia de certificação; os deveres de proteção de dados são nomeados, não interpretados — confirme o regime aplicável com um consultor qualificado.

Páginas relacionadas

Auditoria e consultoria de TI · Infraestrutura digital · Subcontratação de TI a partir da Turquia · Checklist de RFP para fornecedores · Pedir uma cotação