- ISO/IEC 27001:2022 define os requisitos de um sistema de gestão de segurança da informação. Seu Anexo A referencia 93 controles (IAF MD 26), que o guia ISO/IEC 27002 agrupa em controles organizacionais, de pessoas, físicos e tecnológicos.
- A ISO não emite certificados. Quem os emite é um organismo de certificação que trabalha sob ISO/IEC 17021-1 e ISO/IEC 27006-1:2024, idealmente acreditado.
- Segundo o IAF e a ISO, a certificação acreditada não implica que o produto ou serviço da organização esteja certificado, nem substitui uma auditoria completa de conformidade legal.
- O ciclo de certificação dura três anos: auditoria inicial, vigilâncias no primeiro e no segundo ano, e recertificação no terceiro. Desde 31 de outubro de 2025, nenhum certificado acreditado contra a edição 2013 continua vigente (IAF MD 26).
Duas empresas podem exibir o mesmo selo de ISO/IEC 27001:2022 e estar certificadas sobre coisas muito diferentes. O certificado de uma pode cobrir toda a plataforma que ela vende a você, e o da outra, apenas seu escritório administrativo. Os dois são válidos. O que os separa é o escopo, uma linha do próprio documento.
O documento conjunto do IAF e da ISO sobre o que se pode esperar de uma certificação acreditada começa justamente por aí. Sua fórmula central começa com "For the defined certification scope". Tudo o que o certificado assegura vale dentro desse escopo, e fora dele não assegura nada.
ISO/IEC 27001 certifica um sistema de gestão, não um produto
ISO/IEC 27001 é uma norma de requisitos para um sistema de gestão de segurança da informação (SGSI). A ISO a descreve assim: "It defines requirements an ISMS must meet." Cumpri-la significa que a organização montou um sistema para gerenciar os riscos sobre os dados que possui ou manipula. A edição vigente foi publicada em outubro de 2022 e, em 2024, recebeu uma emenda de uma página que pede avaliar se a mudança climática é um tema relevante para o sistema.
As cláusulas 4 a 10 são os requisitos, e o grupo de práticas de auditoria do comitê que escreve a norma (ISO/IEC JTC 1/SC 27) é explícito: nenhuma pode ser excluída. O Anexo A é um catálogo de referência de 93 controles que a organização compara com aqueles que escolheu, para verificar se não omitiu nenhum necessário. Em relação à edição 2013, que tinha 114, a de 2022 soma 11 controles novos, funde 24 e atualiza 58, segundo o documento de transição do IAF.
O resultado dessa comparação é a Declaração de Aplicabilidade: o documento em que a organização lista quais controles precisa, por quê, se estão implementados e por que exclui os do Anexo A que não se aplicam. Um controle não é obrigatório por estar no Anexo A. Isso é decidido pela própria organização a partir de sua avaliação de riscos.
Isso a separa da ISO/IEC 30107-3, que é uma norma de ensaio: define como medir o desempenho de um mecanismo de detecção de ataques de apresentação e exclui de seu escopo a avaliação de segurança do sistema completo. Um ensaio desse tipo, como o feito pelo laboratório iBeta, mede um mecanismo específico. A ISO/IEC 27001 audita como uma organização gerencia o risco, e um resultado não diz nada sobre o outro.
O que o certificado de fato garante aos seus usuários
Um certificado acreditado garante a quem o recebe que, dentro do escopo declarado, a organização tem políticas e processos para cumprir os objetivos da norma, e que um terceiro independente auditou isso. O documento do IAF e da ISO sobre resultados esperados formula isso como confiança de que a organização tem um sistema de gestão que cumpre os requisitos aplicáveis da norma.
Entre os resultados que esse documento enumera, os que mais servem a um cliente são estes:
- Um sistema adequado ao contexto da organização e ao escopo da certificação.
- Riscos e oportunidades identificados e tratados em função desse contexto.
- Auditoria interna e revisão pela direção implementadas e efetivas.
A isso se soma a melhoria contínua, que a ISO coloca na própria descrição da norma: estabelecer, implementar, manter e melhorar o sistema de forma contínua.
Para os usuários, a consequência prática é que a confidencialidade, a integridade e a disponibilidade da informação são gerenciadas com um processo de riscos que um terceiro revisa todos os anos. O ciclo de certificação dura três anos, com uma auditoria inicial em duas etapas, vigilâncias no primeiro e no segundo ano e uma recertificação no terceiro, antes do vencimento.
O que o certificado não garante
Um certificado ISO/IEC 27001 não garante que o produto seja seguro, nem cobre o que ficar fora de seu escopo. Isso é dito pelo documento do IAF e da ISO, em sua seção sobre o que a certificação acreditada não significa: as normas de sistemas de gestão estabelecem requisitos sobre o sistema, não critérios de desempenho específicos. Uma auditoria de sistema de gestão tampouco é uma auditoria completa de conformidade legal. E, dentro de seu escopo, a certificação não implica que a organização ofereça um produto superior, nem que seu produto ou serviço esteja certificado contra uma norma.
Lido pelo lado do usuário:
- O produto. O fato de um fornecedor ter ISO/IEC 27001 não diz nada sobre se seu motor biométrico detecta um ataque. Isso é medido por um ensaio como o da ISO/IEC 30107-3.
- Os incidentes. O IAF e a ISO não dizem isso com essas palavras, mas se deduz do anterior: se a norma não estabelece um desempenho, um certificado vigente não promete que não haverá uma violação. Promete que há um sistema para gerenciar esse risco e responder.
- O que fica fora do escopo. Um serviço, um site ou um processo que o certificado não nomeia não está coberto, ainda que seja prestado pela mesma empresa.
Um certificado emitido para um grande fornecedor de cloud, reemitido em janeiro de 2026, escreve isso no próprio documento: esclarece que, pela natureza amostral da avaliação, não expressa nenhuma garantia sobre o desempenho da organização certificada.
O escopo é a letra miúda que define tudo
O escopo é a parte do certificado que diz quais atividades, produtos, serviços e sites ele cobre, e é a que mais pesa. A lista de verificação com que um organismo de acreditação revisa as certificadoras, construída sobre a ISO/IEC 17021-1, pede que o certificado identifique:
- A organização e a localização de cada site incluído.
- As datas de concessão e de vencimento.
- Um código de identificação único.
- A norma, com sua edição.
- O escopo, por produto, serviço ou processo em cada site.
- O nome da certificadora e, se corresponder, a marca de acreditação.
Na ISO/IEC 27001, soma-se a Declaração de Aplicabilidade. O guia do grupo de auditoria do SC 27 indica que os documentos de certificação devem referenciar a versão da Declaração de Aplicabilidade. Esse guia cita a edição 2015 da norma que rege as certificadoras. A edição 2024 mantém uma seção sobre os documentos de certificação, embora não tenhamos conseguido ler seu texto, e um certificado reemitido em janeiro de 2026 ainda traz a data de sua Declaração de Aplicabilidade.
Entre os exemplos de certificado falsificado que o IAF apresenta está o de um escopo apresentado como mais amplo do que realmente é.
Como verificar um certificado antes de confiar nele
Um certificado é verificado olhando a edição, quem o emitiu, o registro público e o escopo. A edição primeiro: desde o último dia de abril de 2024, as certificações iniciais e as recertificações são feitas apenas contra a ISO/IEC 27001:2022. Em 31 de outubro de 2025 terminou a transição e, segundo o IAF MD 26, todas as certificações baseadas na edição 2013 "shall expire or be withdrawn". Um certificado acreditado que hoje diz 2013 não está vigente, ainda que a data impressa seja posterior.
Depois, quem o emitiu. A ISO não certifica ninguém, e a frase "certificado pela ISO" é incorreta. Quem emite é um organismo de certificação, e a confiança adicional vem do fato de um organismo de acreditação ter confirmado sua competência. Desde 1º de janeiro de 2026, o IAF deixou de operar e seu papel foi assumido pela Global Accreditation Cooperation (Global ACI); as acreditações reconhecidas sob o IAF continuam valendo durante a transição.
O registro público ajuda, com um limite. O IAF CertSearch permite confirmar o status de um certificado acreditado, mas não é exaustivo. O documento que o regula admite que uma certificadora não carregue dados por leis de privacidade ou requisitos regulatórios, ou que marque dados como confidenciais, e o organismo de acreditação alemão, DAkkS, esclareceu em novembro de 2024 que não exige seu uso. Se um certificado não aparece, pergunta-se à certificadora que figura nele.
Por último, o escopo, com perguntas concretas: inclui o serviço que me presta?, cobre os sites a partir dos quais se opera?, que versão da Declaração de Aplicabilidade referencia?, quando foi a última vigilância?
Na região, essa leitura cai do lado do comprador. Nenhuma das normas que revisamos dos reguladores financeiros do Brasil, México, Colômbia e Argentina exige ISO/IEC 27001 por nome. No Brasil, a Resolução CMN 4.893 pede à instituição que verifique que seu fornecedor de nuvem adere às certificações que a própria instituição exija, e que tenha acesso aos relatórios do auditor independente desse fornecedor. Que certificado pedir e como lê-lo é decisão da entidade.
O que a VU faz
A VU tem certificação ISO/IEC 27001:2022 e ISO/IEC 27017:2015. A ISO/IEC 27017 é um guia de controles para serviços na nuvem, hoje em sua edição 2026. Ela não é certificada sozinha: seus controles são incorporados ao sistema de gestão da ISO/IEC 27001 por meio da Declaração de Aplicabilidade. Se você avalia uma plataforma de identidade, peça o escopo e a Declaração de Aplicabilidade como parte da avaliação. Conheça Verifica, a verificação de identidade da VU.
Um certificado ISO/IEC 27001 vale exatamente o que diz seu escopo, e isso se lê, se pergunta e se verifica.
vamos conversar.
