ISO 27001 na prática: quanto custa e quanto demora

Existe um mal-entendido que faz muita empresa começar a ISO 27001 pelo lugar errado: tratá-la como uma lista de controles de segurança a implementar.

Ela não é isso. A ISO 27001 é uma norma de sistema de gestão — e a diferença é prática, não semântica. Uma lista de controles se cumpre e acaba; um sistema de gestão é um ciclo que precisa continuar rodando, gerando evidência, sendo revisto e corrigido. É por isso que empresas que "instalam os controles" em três meses descobrem, na auditoria, que não têm o que mostrar.

A tese em uma frase: a ISO 27001 não certifica que a sua empresa é segura — certifica que ela tem um processo auditável para decidir o que proteger e verificar se está funcionando, e é essa distinção que define se o projeto vale a pena para você.

O que a norma exige de verdade

A estrutura tem duas partes, e confundi-las é o erro mais comum.

O texto oficial da norma está no catálogo da ISO. As cláusulas 4 a 10 são a norma propriamente dita — o que é obrigatório. Elas tratam de contexto da organização, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria. É aqui que mora a exigência de análise de risco, de objetivos mensuráveis, de auditoria interna e de análise crítica pela direção.

O Anexo A é uma lista de referência de controles. Ele existe para você conferir se esqueceu de algo, não para ser implementado inteiro. Os controles estão organizados em quatro temas — organizacional, pessoas, físico e tecnológico — e o volume assusta na primeira leitura.

A peça que liga as duas partes é a Declaração de Aplicabilidade (SoA). É o documento em que você registra, controle a controle: aplica-se ou não, está implementado ou não, e por quê. Excluir controle é legítimo — desde que justificado pela análise de risco. É o documento que o auditor lê primeiro e o que mais revela se o projeto foi feito com seriedade ou com modelo copiado da internet.

Note a direção correta do raciocínio: risco primeiro, controle depois. Quem começa pelo Anexo A acaba implementando controle que não resolve risco nenhum do seu negócio, e deixando de fora o que importa.

Prazo e custo, sem otimismo

Prazo. Para uma PME partindo de uma base razoável, 8 a 14 meses é realista. O limitante quase nunca é técnico — é o tempo de operação. O auditor precisa ver o sistema tendo rodado: incidentes registrados e tratados, indicadores medidos, auditoria interna concluída, análise crítica pela direção realizada.

Quem promete certificação em três meses está vendendo documentação. Ela passa numa auditoria complacente e não sobrevive à primeira manutenção.

Custo. Três blocos, e a proporção surpreende:

O erro clássico é orçar a auditoria e ignorar o custo interno — que é onde o projeto realmente consome. E o segundo erro é esquecer que a certificação não termina: há auditoria de manutenção todo ano.

Sobre valores: não dou números porque a variação é grande demais para ser útil (depende de escopo, número de sites, quantidade de pessoas e do organismo). O conselho prático é pedir proposta a pelo menos três organismos acreditados e comparar escopo idêntico.

A auditoria, em duas etapas

Estágio 1 — documental. O auditor verifica se o sistema de gestão existe no papel: escopo definido, política aprovada, análise de risco feita, SoA coerente. Sai daqui uma lista de lacunas a corrigir antes do próximo estágio.

Estágio 2 — prática. Aqui ele procura evidência de que aquilo acontece. Entrevista pessoas, pede registros, verifica se o processo descrito é o processo real. É onde projetos baseados em documento comprado desmoronam: a política diz que há revisão trimestral de acesso, e não existe nenhum registro de revisão.

Depois: auditoria de manutenção anual e recertificação a cada três anos.

Uma distinção que confunde muita gente: conformidade não é ausência de não conformidade. Auditorias normalmente registram observações e não conformidades menores — o que importa é haver tratamento com prazo e responsável. Auditoria sem nenhum apontamento costuma ser sinal de auditor superficial, não de empresa perfeita.

Quando a ISO 27001 não compensa

Vale ser direto, porque consultoria raramente diz isso.

Se ninguém te pede, provavelmente não é hora. A ISO 27001 é, antes de tudo, um instrumento comercial: ela existe para você provar a um terceiro que tem processo. Se nenhum cliente exige e você não vende para setor regulado nem para a Europa, o mesmo investimento aplicado em MFA, backup testado, EDR e plano de resposta a incidentes entrega mais segurança real por real gasto.

Se o básico não está feito, certificar primeiro é inverter a ordem. Dá para obter o certificado com uma postura de segurança medíocre, desde que os riscos estejam documentados e aceitos formalmente. Isso é conforme à norma e é uma péssima ideia.

Se o objetivo é só ter o selo, o projeto vai produzir uma pasta de documentos que ninguém usa e um custo anual permanente. O sistema de gestão só rende quando alguém de fato revisa risco, trata incidente e mede indicador.

Quando compensa: quando existe exigência contratual concreta, quando o ciclo de vendas trava em questionário de fornecedor, ou quando a empresa já tem maturidade e quer disciplina para não regredir.

Como isso conversa com o resto

A ISO 27001 é o caminho certificável. O NIST Cybersecurity Framework é o caminho gratuito e diagnóstico — organizado em funções, sem auditoria, excelente para descobrir onde você está antes de investir. Muita empresa usa o CSF como ponto de partida e migra para a ISO quando aparece a exigência comercial.

Para o panorama das outras normas da família e das ISOs em geral, o post sobre quais certificações ISO existem dá o mapa — inclusive a distinção entre norma certificável e norma de diretrizes.

E vale registrar a pressão regulatória que se aproxima: o Marco Legal da Cibersegurança caminha para exigir controles de operadores de infraestrutura crítica, e a exigência escorre pela cadeia de fornecimento. Empresas que hoje não são cobradas provavelmente serão — via contrato, antes de via lei.

O caminho mais curto que é honesto

Se você decidiu ir, esta sequência evita retrabalho:

1. Feche o escopo pequeno. Um produto, uma unidade, um processo. Escopo grande na primeira certificação multiplica esforço e risco de falhar. Dá para ampliar depois.
2. Faça a análise de risco de verdade. Não copie matriz pronta. É dela que sai a SoA, e é a SoA que o auditor lê primeiro.
3. Aproveite o que já existe. Boa parte dos controles do Anexo A provavelmente já está implementada sem estar documentada. O trabalho costuma ser de registro, não de implantação.
4. Rode antes de auditar. Deixe o sistema operar alguns meses gerando evidência real. É o passo que não tem atalho.
5. Faça a auditoria interna com seriedade. Ela é obrigatória e é o ensaio geral. Auditoria interna complacente entrega surpresas caras no estágio 2.

O ponto que fica

A ISO 27001 é uma boa norma sendo, com frequência, mal usada. Ela foi desenhada para dar disciplina a quem já leva segurança a sério — e é vendida como se fosse o caminho para se tornar seguro.

Se a exigência comercial existe, vá em frente com escopo pequeno e prazo realista. Se não existe, considere que o certificado é uma prova para terceiros, e que provar não é a mesma coisa que estar protegido.

A pergunta que organiza a decisão é simples: eu preciso de segurança ou preciso demonstrar segurança? As duas respostas são legítimas, e levam a projetos bem diferentes.