Auditoria ISO 27001 — Sistema de Gestao de Seguranca da Informacao
Avaliacao integral do SGSI conforme ISO/IEC 27001:2022 com foco em controles criticos e risco residual.
A ISO/IEC 27001:2022 substituiu a estrutura de 114 controles em 14 dominios por 93 controles em 4 categorias (organizacionais, de pessoas, fisicos e tecnologicos). Essa mudanca nao e cosmetica: implica redesenhar a Declaracao de Aplicabilidade (SoA), recalibrar a avaliacao de riscos e gerar nova evidencia operacional. O que a maioria das organizacoes subestima e que a transicao nao e apenas mapear controles antigos para novos — ha 11 controles completamente novos (como inteligencia de ameacas, seguranca na nuvem e prevencao de vazamento de dados) que exigem adocao do zero. Organizacoes que tratam a transicao como exercicio documental chegam a auditoria de certificacao com lacunas operacionais que resultam em nao conformidades maiores.
Entregaveis
Avaliacao dos 93 controles
Revisao sistematica do Anexo A contra a operacao real da organizacao.
Analise de risco residual
Identificacao de lacunas criticas e risco nao mitigado.
Roadmap de transicao 2022
Plano de migracao da versao 2013 com cronograma priorizado.
Relatorio para diretoria
Traducao executiva de achados tecnicos em linguagem de negocios.
Fluxo de Intervenção
Scoping
Definicao do escopo do SGSI e ativos criticos.
Auditoria de campo
Revisao documental, entrevistas e testes de controles.
Relatorio e encerramento
Entrega do relatorio executivo e sessao de encerramento com a direcao.
Consultas Técnicas
Um diagnostico inicial com gap analysis leva de 5 a 10 dias uteis dependendo do escopo (numero de sedes, funcionarios no escopo e complexidade tecnologica). Uma auditoria de campo completa requer de 15 a 30 dias. O fator que mais impacta os prazos nao e o tamanho da organizacao, mas a maturidade documental: se os registros de risco, a SoA e as evidencias de controles estao desatualizados, o processo de levantamento se estende. Recomendamos iniciar com o diagnostico de 72 horas para dimensionar o esforco real.
Um fornecedor de conformidade tipicamente opera com checklists genericos e entrega um relatorio de status. Uma avaliacao com rigor de auditor lider ISO aplica amostragem baseada em risco, verifica a evidencia operacional contra os requisitos de cada clausula e simula os criterios que o organismo certificador utilizara. A diferenca esta na profundidade do achado: nao reportamos 'conforme/nao conforme' mas classificamos cada nao conformidade por impacto no negocio e probabilidade de deteccao em auditoria formal.
Fernando Arrieta oferece servicos de avaliacao, diagnostico e orientacao metodologica para sistemas de gestao. Estas atividades sao independentes do processo de certificacao, que e realizado exclusivamente por organismos de certificacao acreditados.