A consultoria ISO 27001 da Berghem em São Paulo conduz sua organização do diagnóstico à certificação do SGSI: análise de gaps contra a ISO/IEC 27001:2022, avaliação e tratamento de riscos, mapeamento dos 93 controles do Anexo A, auditoria interna e preparação para a certificação nos estágios 1 e 2.
A ISO/IEC 27001 é a norma internacional que define os requisitos para estabelecer, operar e melhorar continuamente um Sistema de Gestão de Segurança da Informação (SGSI). A certificação, emitida por um organismo de certificação acreditado, comprova a terceiros — clientes, reguladores e parceiros — que a segurança da informação é gerida por processos formais e auditáveis, e não por controles pontuais.
A edição vigente, ISO/IEC 27001:2022, traz um Anexo A com 93 controles organizados em quatro temas: organizacionais, de pessoas, físicos e tecnológicos. A Berghem estrutura o SGSI ao redor do contexto e dos riscos reais do seu negócio, para que a certificação seja consequência de uma operação segura — e não um exercício de papel para o auditor.
A certificação segue um caminho previsível: diagnóstico, tratamento de riscos, implementação, auditoria interna e a auditoria de certificação em dois estágios. A Berghem acompanha cada fase e prepara as evidências que o organismo certificador vai exigir.
Comparamos a postura atual contra cada requisito das cláusulas 4 a 10 e contra os controles do Anexo A, produzindo um relatório priorizado que mostra exatamente o que falta para a conformidade e o esforço estimado de cada frente.
Definimos as fronteiras do sistema — unidades, processos, ativos e partes interessadas —, os objetivos de segurança e as responsabilidades da liderança, base sobre a qual todo o SGSI e a certificação se sustentam.
Estruturamos a metodologia de risco, identificamos e avaliamos os riscos de segurança da informação e definimos o tratamento de cada um, consolidado na Declaração de Aplicabilidade (SoA) que justifica a inclusão ou exclusão de cada controle.
Colocamos em operação os controles do Anexo A aplicáveis — políticas, gestão de acessos, criptografia, segurança de operações e resposta a incidentes —, com procedimentos e registros que geram evidência real, não apenas documentação.
Conduzimos a auditoria interna do SGSI e apoiamos a análise crítica pela direção, corrigindo não conformidades antes que o organismo certificador as encontre — o ponto onde a maioria das certificações trava.
Preparamos a organização para o Estágio 1 (revisão documental) e o Estágio 2 (auditoria da implementação) conduzidos pelo organismo acreditado, e apoiamos o tratamento de eventuais achados até a emissão do certificado.
A edição de 2022 organiza os 93 controles do Anexo A em quatro temas. A Declaração de Aplicabilidade define quais se aplicam ao seu contexto — a Berghem implementa e evidencia cada controle selecionado.
Políticas de segurança, papéis e responsabilidades, gestão de fornecedores, classificação da informação, gestão de continuidade e conformidade — a espinha dorsal de governança do SGSI.
Triagem na contratação, conscientização e treinamento, responsabilidades disciplinares e trabalho remoto — o fator humano, alvo recorrente de engenharia social.
Perímetros seguros, controle de entrada, proteção de equipamentos, mídias e áreas sensíveis — a segurança do mundo físico que sustenta a lógica.
Gestão de acessos, criptografia, segurança de redes e endpoints, desenvolvimento seguro, registro e monitoramento — a camada técnica validada com testes reais.
A auditoria de certificação acontece em dois estágios conduzidos pelo organismo acreditado. Da análise de gaps à emissão do certificado, o cronograma típico fica entre 4 e 9 meses, conforme a maturidade e o escopo da organização.
O organismo acreditado revisa a documentação do SGSI — escopo, política, avaliação de riscos e Declaração de Aplicabilidade — para confirmar que o sistema está formalizado e pronto para a auditoria de implementação.
O auditor verifica em campo se os controles do Anexo A estão operando e gerando evidência, entrevistando responsáveis e examinando registros. Superado o Estágio 2, o certificado é emitido.
Do diagnóstico à certificação, a maioria dos projetos leva de 4 a 9 meses. Depois vêm as auditorias de manutenção anuais e a recertificação completa a cada três anos.
São duas auditorias distintas e ambas obrigatórias. A auditoria interna é sua; a de certificação é do organismo acreditado.
Requisito do próprio SGSI: sua organização audita os controles e leva os resultados à análise crítica da direção, corrigindo não conformidades antes da certificação. A Berghem conduz essa auditoria como preparação.
Conduzida por um organismo de certificação acreditado e independente, em dois estágios (documental e de implementação). É ela que resulta na emissão do certificado ISO/IEC 27001.
Não há preço único: o investimento depende de fatores que definimos na análise de gaps inicial. Some ao projeto de consultoria a taxa cobrada à parte pelo organismo certificador.
Quantas unidades, processos e ativos entram no SGSI. Um escopo enxuto certifica mais rápido e por menos; um escopo amplo exige mais controles e evidências.
Organizações com controles e políticas já em operação partem na frente; as que começam do zero precisam construir boa parte do SGSI antes da auditoria.
O tamanho da equipe, a disponibilidade dos responsáveis e a complexidade tecnológica influenciam o esforço de implementação e, portanto, o custo total.
Para um orçamento sob medida, fale com um especialista: Falar com um especialista.
Não. A ISO 27001 é uma norma internacional de gestão da segurança da informação; a LGPD é a lei brasileira de proteção de dados pessoais. O SGSI da ISO 27001 fornece grande parte dos controles técnicos e de governança que a LGPD exige, mas não cobre as obrigações jurídicas — bases legais, direitos do titular e relatório de impacto. Integrados, os dois programas reduzem muito o esforço de conformidade.
O SGSI se adapta ao contexto e aos riscos de cada setor. Alguns exemplos de como estruturamos o escopo e os controles:
Bancos, fintechs e meios de pagamento usam o SGSI como base para as resoluções do BACEN/CMN e o PCI DSS, reaproveitando controles entre os frameworks.
Operadoras, clínicas e healthtechs alinham a proteção de dados sensíveis de pacientes à LGPD sobre a estrutura de controles da ISO 27001.
SaaS e provedores de software usam a certificação como pré-requisito comercial, provando a clientes e parceiros que a segurança é gerida por processos.
Órgãos e empresas reguladas estruturam governança de segurança auditável, conectando o SGSI aos demais requisitos de conformidade do seu setor.
A maioria das consultorias de ISO 27001 para no papel. A Berghem valida os controles tecnológicos do Anexo A com teste de invasão real, transformando a certificação em evidência de segurança — não apenas de conformidade.
Os controles tecnológicos do Anexo A ganham prova de eficácia quando confrontados com nosso teste de invasão. O auditor recebe evidência de que os controles funcionam, e a sua organização recebe uma postura de segurança real.
Conectamos o SGSI ao restante do seu programa — pentest, DevSecOps e resposta a incidentes — para que a certificação reforce a operação de segurança em vez de competir com ela por recursos.
O SGSI da ISO 27001 serve de base para PCI DSS, LGPD e as resoluções do BACEN/CMN sobre segurança cibernética, incluindo a 4.893. Estruturamos os controles para que o mesmo esforço atenda a vários requisitos.
Em uma conversa de 30 minutos mapeamos sua maturidade atual e desenhamos o caminho até a certificação — da análise de gaps à auditoria do organismo acreditado.