Gap analysis ISO 27001: ISMS em 7 passos

Um gap analysis de ISO/IEC 27001 compara os controles que a sua organização já opera com o que a norma exige, identificando as lacunas antes da auditoria de certificação. É o primeiro passo prático para implementar um ISMS — o Sistema de Gestão de Segurança da Informação — e planejar o caminho até os estágios 1 e 2.

A ISO/IEC 27001 não certifica que a sua empresa é "segura". Ela certifica que existe um sistema de gestão que identifica riscos de segurança da informação, decide o que fazer com eles e mantém essas decisões vivas ao longo do tempo. O gap analysis é onde esse sistema começa a tomar forma: em vez de tratar a norma como um checklist de 93 controles a marcar, ele posiciona a organização em relação aos requisitos de gestão e mostra, com evidência, onde a distância é maior.

O que é um gap analysis de ISO 27001 e por que começar por ele?

Um gap analysis é um diagnóstico estruturado que confronta a prática atual da organização com dois conjuntos de exigências: as cláusulas de gestão da norma (seções 4 a 10) e os controles do Anexo A. O resultado é um mapa de lacunas priorizado, com o esforço estimado para fechar cada uma — não um parecer de aprovado ou reprovado.

Começar por ele economiza tempo e dinheiro. Muitas organizações já operam boa parte dos controles do Anexo A sem documentá-los como a norma pede; outras têm ótima documentação e nenhum processo de gestão de risco por trás. O gap analysis separa esses dois casos. Ele responde à pergunta que define o cronograma de certificação: quanto do ISMS já existe, ainda que sob outro nome, e quanto precisa ser construído do zero.

A versão de 2022 da norma reorganizou o Anexo A em 93 controles distribuídos em quatro temas — organizacionais, de pessoas, físicos e tecnológicos. Um gap analysis atual deve trabalhar sobre essa estrutura, e não sobre a divisão em 14 domínios da edição anterior, para que a Declaração de Aplicabilidade produzida no fim reflita o padrão vigente.

Como implementar um ISMS em 7 passos?

Implementar um ISMS é transformar o mapa de lacunas em um sistema que opera e se sustenta. Os sete passos abaixo seguem a lógica das cláusulas 4 a 10 da norma e o ciclo PDCA (planejar, executar, verificar, agir) que a estrutura pressupõe.

1. Definir contexto e escopo. Estabeleça quais partes da organização, quais processos e quais informações o ISMS cobre. Um escopo bem delimitado é o que separa um projeto viável de um que nunca termina. Aqui também se identificam as partes interessadas e suas expectativas.

2. Obter comprometimento da liderança. A norma exige envolvimento explícito da alta direção: aprovação da política de segurança da informação, alocação de recursos e definição de papéis. Sem isso, o ISMS vira um documento de gaveta.

3. Conduzir a análise de riscos. Identifique os riscos de segurança da informação dentro do escopo, avalie probabilidade e impacto e defina critérios de aceitação. Esta é a espinha dorsal do sistema — todo controle aplicado precisa rastrear a um risco tratado.

4. Definir o tratamento de riscos e a Declaração de Aplicabilidade. Para cada risco, decida entre mitigar, transferir, evitar ou aceitar. Os controles do Anexo A escolhidos para mitigação, com a justificativa de inclusão ou exclusão de cada um, formam a Declaração de Aplicabilidade (SoA), documento central da certificação.

5. Implementar controles e processos. Coloque em operação os controles selecionados — políticas, procedimentos, configurações técnicas, treinamentos — e produza os registros que comprovam que eles funcionam. É a etapa mais longa e a que mais se beneficia de um gap analysis bem feito.

6. Treinar, comunicar e operar. O ISMS precisa ser conhecido por quem o executa. Conscientização, competência das pessoas nos papéis definidos e comunicação interna e externa são requisitos explícitos da norma, não itens opcionais.

7. Monitorar, auditar e melhorar. Meça o desempenho dos controles, conduza a auditoria interna, leve os resultados à análise crítica pela direção e trate não conformidades. É o ciclo que mantém o sistema vivo entre uma certificação e a próxima.

Os passos não são estritamente sequenciais. Contexto, análise de risco e tratamento formam um núcleo que se retroalimenta; implementação e monitoramento convivem a partir do momento em que os primeiros controles entram em produção.

Como funcionam os estágios 1 e 2 da auditoria de certificação?

A certificação ISO/IEC 27001 é concedida por um organismo certificador independente e acontece em dois estágios sequenciais. O Estágio 1 avalia se o ISMS está documentado e pronto para ser auditado a fundo; o Estágio 2 avalia se ele opera de fato como está descrito.

No Estágio 1, o auditor revisa a documentação central — política, escopo, metodologia de análise de risco, Declaração de Aplicabilidade — e verifica se os processos obrigatórios existem no papel. É uma revisão de prontidão. As observações típicas apontam documentos ausentes, escopo inconsistente ou uma SoA que não conversa com a análise de risco. Corrigi-las antes do Estágio 2 é esperado e faz parte do fluxo.

No Estágio 2, o auditor busca evidência de que o sistema funciona: entrevista pessoas, examina registros, verifica se os controles do Anexo A declarados aplicáveis estão realmente operando e se auditoria interna e análise crítica pela direção já rodaram ao menos uma vez. Não conformidades maiores encontradas aqui precisam de plano de ação antes da emissão do certificado. Aprovado o Estágio 2, o certificado é emitido, geralmente com validade de três anos, sustentado por auditorias de manutenção anuais.

Qual a diferença entre gap analysis, auditoria interna e auditoria de certificação?

As três atividades avaliam o ISMS, mas em momentos diferentes, com finalidades diferentes e por partes diferentes. Confundi-las leva a expectativas erradas sobre o que cada uma entrega.

A auditoria interna merece destaque porque é o passo que muitas organizações deixam para a última hora e o auditor externo cobra no Estágio 2. A norma exige que o ISMS seja auditado internamente em intervalos planejados, por pessoas que não avaliem o próprio trabalho, cobrindo todo o escopo ao longo do ciclo. Ela não é um ensaio da auditoria de certificação — é um mecanismo permanente de verificação, e seus resultados alimentam a análise crítica pela direção e o tratamento de não conformidades.

Quanto tempo leva e o que determina o esforço?

Não existe prazo padrão. O tempo entre o gap analysis e a certificação depende de quanto do ISMS já existe, do tamanho do escopo e da maturidade dos processos de gestão — não do setor ou do porte isoladamente.

Os principais fatores de custo e prazo são o tamanho e a complexidade do escopo (mais processos, sites e sistemas ampliam o esforço de risco e de evidência), a distância medida no gap analysis (uma organização que já opera controles técnicos maduros mas nunca formalizou gestão de risco tem um perfil de esforço diferente de uma que precisa construir os controles), a disponibilidade das equipes que operam e evidenciam os controles, e o intervalo mínimo para que auditoria interna e análise crítica rodem ao menos um ciclo antes do Estágio 2. Descrever esses fatores é mais honesto do que prometer um número: eles é que definem quantos meses o projeto ocupa.

Como a Berghem executa

A Berghem estrutura a jornada de ISO/IEC 27001 a partir do gap analysis, e não de um modelo genérico de implementação. Começamos medindo a distância real entre a operação atual e os requisitos da norma — cláusulas de gestão e controles do Anexo A — para que o plano de tratamento ataque as lacunas que importam, na ordem que reduz mais risco e encurta o caminho até a certificação.

A partir daí, apoiamos a análise de riscos, a Declaração de Aplicabilidade, a implementação dos controles e a auditoria interna, deixando o ISMS pronto para os estágios 1 e 2 conduzidos pelo organismo certificador. O detalhamento da abordagem, dos entregáveis e da conexão com testes técnicos está na nossa página de consultoria e adequação à ISO/IEC 27001.

Como o ISMS raramente vive isolado, conectamos a trilha da 27001 a testes técnicos que produzem a evidência de eficácia dos controles — pentest de rede, pentest de cloud, pentest de API e exercícios de Red Team — e às demais frentes de conformidade da mesma organização, como a adequação à LGPD, o PCI DSS e a governança de IA sob a ISO/IEC 42001. Como empresa de segurança da informação em São Paulo, ajustamos escopo, profundidade e cronograma ao perfil de risco de cada operação.

A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.

Perguntas frequentes

O gap analysis é obrigatório para certificar a ISO 27001?

Não. A norma não exige gap analysis — ela exige análise de risco, tratamento, auditoria interna e análise crítica pela direção. O gap analysis é uma boa prática de planejamento: ele mede a distância até a certificação e prioriza o esforço, evitando que a organização construa controles que já tinha ou ignore lacunas de gestão.

Qual a diferença entre estar em conformidade e ser certificado na ISO 27001?

Conformidade significa operar um ISMS que atende aos requisitos da norma. Certificação é o reconhecimento formal disso por um organismo acreditado, após os estágios 1 e 2 de auditoria. É possível estar em conformidade sem ser certificado, mas só o certificado serve como prova independente para clientes, reguladores e parceiros.

Preciso implementar todos os 93 controles do Anexo A?

Não. Os controles do Anexo A são uma referência, não uma lista obrigatória. Você seleciona os aplicáveis com base na sua análise de risco e registra as inclusões e exclusões, com justificativa, na Declaração de Aplicabilidade. Um controle pode ser excluído se o risco associado não existir no seu escopo ou for tratado por outro meio.