Perguntas frequentes

Depende do escopo e da maturidade inicial, mas um projeto típico leva de 8 a 14 meses até a auditoria de certificação. A auditoria de diagnóstico permite ajustar o prazo com dados reais já nas primeiras semanas.

A metodologia é mista: visitas à organização (in loco) combinadas com trabalho a distância. O trabalho pode começar de imediato.

Respostas ágeis das contrapartes internas. Na nossa experiência, não deveriam passar mais de dois ou três dias entre um pedido de informação ou de revisão documental e sua resposta: é a variável que mais afeta o prazo real do projeto.

Sim. Todas as atividades são apoiadas pelo SORT Redmine, nossa plataforma de administração e controle do sistema de gestão, disponível on-premise ou na nuvem da SORT.

Em quatro componentes independentes: a auditoria de diagnóstico inicial, o serviço mensal de implantação no nível escolhido (Essential, Advanced ou Complete), as auditorias internas e a plataforma SORT Redmine. Enviamos o detalhamento na proposta formal.

Sim. Acompanhamos certificações no Uruguai, Estados Unidos, Panamá, Bahamas e Porto Rico, com a mesma metodologia e modalidade mista.

Consultores sênior, não perfis júnior aprendendo na sua organização. O sócio-diretor participa de cada projeto e a equipe designada permanece a mesma do início ao fim: não há rotatividade nem camadas de intermediação entre quem levanta as informações e quem decide.

Auditor líder ISO/IEC 27001 e CISSP na direção e, na rede de profissionais, certificações PMP, ISO/IEC 27001 Lead Auditor, CISM e CEH, entre outras. Para cada projeto convocamos o perfil adequado —técnico, de gestão ou de auditoria— em vez de forçar o problema ao perfil disponível.

Não, e não poderia: as normas de acreditação impedem que um organismo de certificação assessore a organização que depois audita. Nós implantamos o sistema e acompanhamos o processo; o certificado é emitido por um organismo acreditado escolhido pelo cliente. É justamente essa separação que faz o certificado valer perante terceiros.

Saúde, bancos e grupos financeiros, logística e operação postal, tecnologia e nota fiscal eletrônica, fintech, indústria e varejo. Os projetos foram executados no Uruguai, Estados Unidos, Panamá, Bahamas e Porto Rico, com a mesma metodologia e em modalidade mista.

É onde a maioria dos projetos se perde. O certificado exige auditorias de manutenção anuais e recertificação a cada três anos, e um sistema que não é mantido os perde. Acompanhamos essa etapa: análise de riscos atualizada, auditorias internas, análise crítica pela direção e preparação de cada instância externa. Vários dos nossos clientes nos acompanham de forma contínua desde 2017.

Um projeto típico leva de 8 a 14 meses. A base de implantação é estimada em 12 meses e se ajusta conforme o escopo acordado e os resultados da auditoria de diagnóstico.

Uma metodologia própria baseada na avaliação de maturidade dos 93 controles do Anexo A da ISO/IEC 27001:2022. Por meio de entrevistas, revisão documental e da auditoria de diagnóstico, determinamos o grau de implantação de cada controle em uma escala de seis níveis, o que permite traçar o plano ideal por prioridade e esforço.

Auditores especialistas independentes da equipe de consultoria. Essa separação é um requisito de imparcialidade da norma e evita que quem implanta audite a si mesmo.

Sim. A estrutura de alto nível das normas ISO permite integrar o SGSI com a ISO 9001, ISO/IEC 20000-1, ISO 37301 ou ISO/IEC 42001, compartilhando política, gestão de riscos, auditoria interna e análise crítica pela direção.

Sim, e é o caso mais frequente. O diagnóstico usa a ISO/IEC 27001 como referencial porque é completo e reconhecido, mas o entregável é um roteiro de segurança útil independentemente da decisão de certificar.

Não. Inclui uma análise de vulnerabilidades de alto nível sobre infraestrutura e sistemas, que é mais ampla e menos profunda do que um pentest. Se você precisar de um teste de invasão focado, tratamos disso como um trabalho específico.

Anualmente, ou diante de mudanças relevantes: uma fusão, a troca de um fornecedor crítico de TI, uma nova linha de negócio ou um incidente significativo.

Não. A auditoria interna é um requisito da norma e uma preparação para a externa, mas a certificação é emitida por um organismo de certificação acreditado, independente de nós.

Sim, com auditores da equipe de auditoria, independentes da equipe de consultoria que trabalhou na implantação. Essa separação é o que preserva a imparcialidade exigida pela norma.

Sim. As auditorias em terceiros críticos são cada vez mais solicitadas, tanto por exigências contratuais quanto pelo controle A.5.22 da ISO/IEC 27001.

O BCP responde a como o negócio segue operando durante a interrupção, incluindo as alternativas manuais. O DRP é mais restrito: como a infraestrutura e os sistemas são recuperados. O DRP é parte do BCP, não um sinônimo.

Não. Um backup cuja restauração nunca foi testada não é um controle de continuidade. O teste de restauração —com tempos medidos contra o RTO comprometido— é o que transforma o backup em uma capacidade real.

Sim. É um projeto autônomo, ainda que se encaixe naturalmente como parte do SGSI se mais adiante a implantação da ISO/IEC 27001 for encarada.

Sim, se for bem dimensionado. Em organizações pequenas o objetivo não é criar comitês, mas deixar claro quem decide sobre investimentos e riscos tecnológicos, e com qual informação. O modelo se ajusta à escala real.

Sim, e é o mais comum. A governança define a direção e a prestação de contas; a ISO/IEC 20000-1 formaliza a gestão de serviços. Tratamos os dois como um mesmo programa quando o objetivo inclui certificar.

O ITIL é um conjunto de boas práticas; a ISO/IEC 20000-1 é uma norma certificável com requisitos auditáveis. Complementam-se: o ITIL orienta o como, a norma define o que precisa ser demonstrado.

Sim. Compartilham a estrutura de alto nível, de modo que política, gestão de riscos, competência, auditoria interna e análise crítica pela direção se integram em um único sistema, com auditorias combinadas.

É justamente o caso de uso mais frequente: para um provedor de TI, a certificação é um argumento comercial verificável perante seus clientes.

Não é obrigatória em caráter geral, mas é cada vez mais solicitada como requisito em licitações públicas, em contratações com multinacionais e em operações de financiamento internacional.

A ISO 37001 trata de um risco específico —o suborno— e a ISO 37301, da conformidade em geral. Muitas organizações implantam primeiro a 37001 por uma exigência concreta e depois ampliam para a 37301 reaproveitando a estrutura.

Não necessariamente. A norma exige uma função de compliance com autoridade, independência e recursos adequados. Em organizações de porte médio isso costuma ser resolvido com dedicação parcial e reporte direto ao órgão de governança.

Pelo mapa de obrigações. É o entregável que gera mais valor de forma imediata e, em muitas organizações, a primeira vez que tudo o que precisa ser cumprido aparece consolidado em um só lugar.

A legislação de proteção de dados —a LGPD no Brasil, a Lei 18.331 no Uruguai— entra no mapa como qualquer outra obrigação. O sistema de compliance a gere como as demais, apoiando-se nos controles do SGSI quando ele existe.

Sim, e o esforço incremental é menor. Compartilham estrutura, função de compliance, canal de denúncias e auditoria interna; o que se acrescenta é a amplitude do universo de obrigações.

Facilitação nos controles aduaneiros —menos inspeções físicas e despachos mais ágeis— e, sobretudo, o reconhecimento mútuo com as aduanas de outros países, que transfere esses benefícios às operações de exportação.

Não é um requisito formal, mas a maioria dos critérios OEA coincide com os requisitos da norma. Implantar a ISO 28000 organiza o trabalho e deixa a evidência pronta para a validação aduaneira.

Não. O reconhecimento alcança diferentes atores da cadeia: importadores, exportadores, despachantes, transportadores, depósitos e operadores logísticos, cada um com seu conjunto de critérios.

Sim, e é o cenário mais comum. A norma distingue entre desenvolver, prover e usar sistemas de IA. Para uma organização usuária, o foco está na política de uso, na avaliação de fornecedores, na proteção dos dados inseridos e na supervisão humana das decisões.

De forma natural: compartilham estrutura de alto nível, gestão de riscos, competência, auditoria interna e análise crítica pela direção. O que o AIMS acrescenta é a avaliação de impacto sobre as pessoas e a governança do ciclo de vida dos modelos e de seus dados.

Os dados pessoais que alimentam ou são processados por sistemas de IA continuam sujeitos à LGPD: base legal, finalidade, minimização, direitos do titular e decisões automatizadas. O AIMS não substitui esse enquadramento; organiza a governança que permite sustentá-lo.

Sim. A ISO/IEC 42001 é certificável por organismos acreditados, com o mesmo esquema de auditorias de certificação e manutenção da ISO/IEC 27001.

Não. Está preparado para qualquer sistema de gestão com estrutura de alto nível: ISO/IEC 27001, ISO/IEC 20000-1, ISO 37001, ISO 37301, ISO 28000 e ISO/IEC 42001. Quando a organização opera mais de uma norma, elas compartilham o mesmo repositório de documentos, riscos e ações em vez de duplicá-los.

Onde a organização decidir. Na modalidade on-premise a plataforma roda inteiramente na sua infraestrutura e os dados nunca saem dela. Na modalidade nuvem, roda na infraestrutura da SORT, com as condições de tratamento e guarda acordadas em contrato.

Não necessariamente. Muitas organizações mantêm seu repositório corporativo para a documentação geral e usam o SORT Redmine para o que o repositório não faz: o ciclo de vida do sistema de gestão —riscos, incidentes, ações, auditorias e agenda—, que é onde a rastreabilidade se perde.

A plataforma se apoia em software livre, de modo que não há licenciamento por usuário. O custo corresponde à implantação, à configuração e ao suporte, e varia conforme a modalidade e o número de normas em escopo. É orçado caso a caso a partir do levantamento.

Um feed publica tudo e deixa a filtragem por conta do cliente. O ThreatLens faz a filtragem: cruza o fluxo com o inventário concreto da organização e entrega apenas o que a afeta, com a explicação de por que importa e qual ação cabe. Na prática, a diferença é entre centenas de entradas por mês e algumas poucas acionáveis.

Sim. A versão 2022 incorporou a inteligência de ameaças como novo controle do Anexo A e exige que a informação coletada seja analisada e utilizada. O ThreatLens produz exatamente essa evidência: coleta, análise contextualizada e uso documentado dentro do ciclo de riscos.

Não. O serviço se apoia no inventário declarado e em fontes externas; não implanta agentes nem acessa os sistemas internos do cliente. Quando também se quer ver a exposição real de fora, o serviço adequado é o SORT ASM.

Não. Um pentest é pontual e profundo: tenta explorar o que encontra em uma janela de tempo delimitada. O ASM é contínuo e amplo: não explora, mas vigia permanentemente o que está exposto e avisa quando algo muda. Complementam-se —o ASM costuma mostrar onde vale a pena apontar um pentest— e nenhum substitui o outro.

Não. A descoberta se apoia em fontes públicas e em sondagens não intrusivas, equivalentes ao que qualquer buscador faz. Não são executados exploits nem testes de carga contra a infraestrutura do cliente.

Porque é o escopo incluído no nível Advanced do modelo de serviço, e cobre o caso habitual: o domínio institucional e o da aplicação principal. Organizações com mais superfície contratam escopo adicional, orçado conforme a quantidade de ativos.

Sim. A norma exige determinar a competência necessária, assegurá-la e reter informação documentada como evidência. A certificação nominal por trilha, com data e resultado da avaliação, é exatamente o registro que o auditor procura nesse requisito.

Sim, e é o recomendável. Um exercício de phishing controlado antes de atribuir conteúdo mostra onde está a exposição real e permite direcionar a formação em vez de distribuí-la de maneira uniforme. Depois do programa, um segundo exercício mede se algo mudou.

As trilhas são pensadas em módulos curtos, de poucos minutos, concluídos ao longo de semanas em vez de em uma sessão única. A retenção de uma capacitação anual de duas horas é notoriamente pior do que a de doze contatos breves distribuídos no ano.

Depende da maturidade inicial e do escopo, mas um projeto completo de implantação e certificação em uma organização do setor de saúde costuma ficar entre nove e dezoito meses, da auditoria de diagnóstico até a etapa 2 da certificação. Neste caso, o projeto foi desenvolvido durante a pandemia de COVID-19, com a equipe trabalhando de forma remota.

Significa que o auditor externo não encontrou, na etapa 2 da certificação inicial, nenhum descumprimento dos requisitos da norma —nem maior nem menor. É um resultado pouco frequente: o habitual é encerrar a auditoria com algumas não conformidades menores que a organização precisa sanar antes de receber o certificado.

A ISO/IEC 27001 não é uma norma específica de saúde, mas sua análise de riscos e seus controles se aplicam aos ativos de informação que a organização define em seu escopo, prontuário incluído. Complementa-se com a legislação de proteção de dados —a LGPD no Brasil, a Lei 18.331 no Uruguai—, que trata dados de saúde como dados sensíveis, com exigências reforçadas.

Não o substitui, mas facilita muito. O SWIFT Customer Security Programme exige controles específicos sobre o ambiente de mensageria; um SGSI ISO/IEC 27001 já provê a governança, a análise de riscos, a gestão de acessos e a evidência que esse marco requer, de modo que a atestação anual deixa de ser um exercício isolado e passa a se apoiar em um sistema que já está funcionando.

Sim. A ISO/IEC 27001 é certificada sobre um escopo declarado, que pode ser um processo, uma unidade de negócio ou uma entidade específica. É comum começar pelo processo ou pela entidade de maior exposição e ampliar o escopo em ciclos posteriores, desde que as interfaces com o que ficou de fora estejam identificadas e tratadas.

Implica que o escopo cobre não só a informação própria, mas a dos clientes hospedados, com exigências adicionais em segurança física, segregação, gestão de capacidade e continuidade. O plano de recuperação de desastres deixa de ser um documento e passa a ser uma capacidade comprovada, com testes periódicos cuja evidência é auditada.

Na prática, sim. Um certificado emitido por um organismo acreditado responde de maneira padronizada o que cada cliente pergunta separadamente em seus questionários e auditorias de fornecedores. Não elimina toda revisão —um cliente pode pedir evidência adicional sobre o seu próprio serviço—, mas reduz de forma significativa sua frequência e seu escopo.

A implantação constrói o sistema até a certificação. A manutenção o sustenta depois: análise de riscos atualizada, auditorias internas, análise crítica pela direção, tratamento de incidentes e não conformidades, e preparação das auditorias de manutenção anuais e da recertificação a cada três anos. Um SGSI que não é mantido perde o certificado.

Com controles que combinam o físico e o lógico: cadeia de custódia documentada, segurança das áreas de triagem e depósito, controle de acesso, acordos de confidencialidade com o pessoal e com terceiros, e conscientização sustentada. Em logística, o elo mais exposto quase nunca é o servidor: é o ponto em que a informação troca de mãos.

O Anexo A passou de 114 controles em quatorze domínios para 93 controles agrupados em quatro temas —organizacionais, de pessoas, físicos e tecnológicos—, com cinco atributos que permitem filtrá-los. Foram incorporados onze controles novos, entre eles inteligência de ameaças, segurança em serviços de nuvem, gestão da configuração, exclusão de informação, mascaramento de dados, prevenção de vazamento de dados e codificação segura.

O limite é a evidência: a norma exige que o sistema tenha operado —ao menos um ciclo de auditoria interna, uma análise crítica pela direção e registros dos processos— antes da etapa 2. Uma organização com processos já maduros pode percorrer esse caminho em poucos meses; uma que parte do zero dificilmente o faça em menos de um ano, porque não há como fabricar histórico operacional.

É uma empresa habilitada pela autoridade fiscal do Panamá para validar e transmitir documentos fiscais eletrônicos em nome dos contribuintes. Por atuar como intermediário de informação fiscal de terceiros, sua exposição e sua responsabilidade em segurança da informação são consideravelmente maiores que as de um fornecedor de software comum.

O acesso à informação de uma central de risco de crédito é restrito a entidades habilitadas e sujeito ao sigilo estabelecido pela regulação do banco central, além das obrigações da legislação de proteção de dados pessoais. Na prática, exige controle de acesso por usuário nominal, rastreabilidade de cada consulta, guarda do dado e um marco de gestão que sustente tudo isso de forma verificável.

Nem sempre por obrigação legal, mas cada vez mais por pressão da cadeia: bancos correspondentes, adquirentes e fontes de dados exigem evidência de um marco de segurança. Implantar o sistema e certificá-lo são decisões separáveis: há organizações que implantam por necessidade operacional e certificam mais adiante, quando o certificado passa a ter valor comercial.

Salvo se houver uma exigência contratual com prazo, convém diagnosticar primeiro. A auditoria de diagnóstico custa uma fração de um projeto de certificação, mede a distância real até a norma e permite decidir com dados se o certificado justifica o investimento ou se basta executar o plano de melhoria.

Um levantamento de gestão —políticas, papéis, processos, gestão de terceiros, continuidade— e outro técnico, com análise de vulnerabilidades de alto nível sobre a superfície exposta. Encerra-se com um relatório que ordena as lacunas por risco e esforço, e com um conjunto de ações imediatas que a organização pode executar sem esperar pelo plano completo.