Consultoria ISO 27001: um sistema de segurança que funciona de verdade, não uma pilha de papel.
A certificação ISO/IEC 27001 mostra a clientes, parceiros e licitações que a segurança da informação é gerida com método. Acompanho sua empresa da análise de riscos até a auditoria de certificação, com documentação enxuta e controles proporcionais ao seu porte.
Quando a ISO 27001 faz diferença
Não é obrigatória por lei, mas o mercado exige cada vez mais.
Clientes exigentes
Software houses, MSPs, nuvem e serviços digitais: a certificação responde de antemão aos questionários de segurança e abre portas para grandes clientes, inclusive na Europa.
Requisito ou pontuação
Muitos editais e contratos exigem ou valorizam a certificação. Tê-la antes vale mais do que correr atrás depois.
Conformidade demonstrável
Um sistema ISO 27001 organiza as medidas de segurança exigidas pela LGPD, pelo GDPR e pela NIS2 em um único quadro auditável.
Da decisão ao certificado
Prazos indicativos para uma PME; dependem do escopo e do ponto de partida.
Escopo e gap analysis
Definição do escopo, análise da situação atual em relação à norma e plano de trabalho.
Avaliação e tratamento de riscos
Metodologia, registro de riscos e Declaração de Aplicabilidade (SoA) com os controles pertinentes do Anexo A.
Políticas, procedimentos e controles
Só os documentos necessários, controles técnicos e organizacionais, treinamento e conscientização da equipe.
Auditoria interna e análise crítica
Auditoria interna independente, ações corretivas e análise crítica pela direção: pré-requisitos para o organismo certificador.
Auditorias de Fase 1 e Fase 2
Auditoria do organismo de certificação acreditado. Acompanho sua empresa em todas as etapas.
Auditorias de manutenção
Duas auditorias de manutenção e a recertificação no terceiro ano. O sistema precisa funcionar, não só existir.
Os certificados na versão 2013 venceram em 31 de outubro de 2025: hoje só se certifica na ISO/IEC 27001:2022.
Consultoria ISO 27001 em seis etapas
Gap analysis
Retrato da situação atual em relação aos requisitos da norma e aos 93 controles do Anexo A.
Análise e tratamento de riscos
Metodologia simples e repetível, registro de riscos e plano de tratamento aprovado pela direção.
Documentação enxuta
Políticas, procedimentos e SoA escritos para serem usados, não para encher gavetas.
Controles técnicos
Acessos, backup, criptografia, gestão de vulnerabilidades e de fornecedores, com a visão de quem também atua no lado técnico.
Auditoria interna
Auditoria com o olhar de um Lead Auditor ISO 27001: sua empresa chega ao organismo certificador sem surpresas.
Acompanhamento e manutenção
Suporte nas auditorias externas e integração com LGPD, GDPR, NIS2 e ISO/IEC 42001.
Consultor e certificador não são a mesma coisa
Independência
O certificado é emitido por um organismo de certificação acreditado, escolhido por você. Meu papel é preparar e acompanhar: pela regra de imparcialidade, quem presta consultoria não pode certificar a mesma empresa.
Um único sistema
- ISO/IEC 27001 como base de segurança da informação.
- Extensão para LGPD, GDPR e NIS2 com os mesmos documentos.
- ISO/IEC 42001 para quem usa sistemas de IA e quer se alinhar ao AI Act.
ISO/IEC 27001:2022 em três números
Agrupados em quatro temas: 37 organizacionais, 8 de pessoas, 14 físicos, 34 tecnológicos.
Da 4 à 10 são requisitos obrigatórios: contexto, liderança, planejamento, apoio, operação, avaliação, melhoria.
Certificação inicial, duas auditorias anuais de manutenção e recertificação.
A SoA (Declaração de Aplicabilidade) indica quais controles você aplica e por quê: é o primeiro documento que o auditor lê.
ISO 27001: as perguntas que mais recebo
Quanto tempo leva para obter a certificação ISO 27001?
Para uma PME com escopo bem definido, em geral de 4 a 8 meses do início até a auditoria de certificação. Depende do ponto de partida e do tempo que a equipe interna pode dedicar.
A ISO 27001 é obrigatória?
Não, é uma norma voluntária. Mas é cada vez mais exigida por clientes, licitações e seguradoras de risco cibernético, e ajuda a demonstrar conformidade com LGPD, GDPR e NIS2.
Você mesmo emite o certificado?
Não. O certificado é emitido por um organismo de certificação acreditado. Eu preparo a empresa, conduzo a auditoria interna e acompanho as auditorias externas: por imparcialidade, consultoria e certificação devem ficar separadas.
Ainda temos certificado na versão 2013: ele vale?
Não. O período de transição terminou em 31 de outubro de 2025 e os certificados na ISO/IEC 27001:2013 perderam a validade. É preciso certificar na versão 2022.
A consultoria é feita online?
Sim. Atendo empresas no Brasil e na Europa de forma remota, em português, italiano ou inglês.
Referências: ISO/IEC 27001:2022 e Amendment 1:2024, ISO/IEC 27002:2022, IAF MD 26 (transição). Conteúdo informativo. Atualizado em novembro de 2026.
Segurança e conformidade em um só caminho
Pronto para certificar sua empresa?
Uma primeira avaliação para estimar escopo, prazos e esforço necessário.