A ISO/IEC 27001 define os requisitos para implementar, operar e melhorar um Sistema de Gestão de Segurança da Informação, o SGSI. A versão vigente, de 2022, tem 10 cláusulas e um anexo: o Anexo A, com 93 controles divididos em quatro categorias: organizacionais, de pessoas, físicos e tecnológicos.
Não é um guia de boas práticas de TI. A norma obriga a empresa a mapear seus ativos de informação, avaliar os riscos de cada um, definir como tratar esses riscos, aplicar os controles do Anexo A pertinentes ao contexto e documentar cada etapa de forma auditável. Depois, repetir esse ciclo periodicamente.
Por que a auditoria externa faz diferença
Uma empresa pode ter processos de segurança sólidos sem nunca ter passado por auditoria de terceiros. O problema é que, de fora, ninguém consegue verificar isso.
A certificação resolve essa lacuna porque passa por auditoria de um organismo certificador acreditado, em duas etapas: revisão documental do SGSI e, depois, verificação de campo para confirmar se os controles descritos operam de fato. Após a certificação inicial vêm auditorias de manutenção anuais e recertificação a cada três anos. O certificado tem prazo de validade condicionado à manutenção dos controles: não é um selo que se ganha uma vez e se guarda na gaveta.
O peso da norma no setor financeiro
O setor já responde a exigências específicas: a LGPD para dados pessoais, resoluções do Banco Central para instituições financeiras e de pagamento, PCI DSS para quem processa cartão. Nenhuma delas é substituída pela ISO 27001, mas há sobreposição real de controles: gestão de acesso, criptografia, resposta a incidentes e continuidade de negócios aparecem tanto no Anexo A quanto nessas exigências regulatórias. Uma empresa certificada já tem boa parte do terreno coberto para atender às outras frentes.
Há também um motivo estrutural. Instituições financeiras costumam terceirizar processamento de pagamento, infraestrutura em nuvem, integrações via API. Cada fornecedor nessa cadeia carrega risco próprio, e uma falha em qualquer ponto afeta os demais. Por isso a ISO 27001 tem virado cláusula contratual em processos de contratação de fornecedores de tecnologia no setor: deixou de ser diferencial e virou critério de qualificação.
A Softfocus é certificada ISO 27001
A Softfocus concluiu recentemente o processo de certificação ISO 27001. O SGSI da empresa (que abrange gestão de acesso, resposta a incidentes, continuidade operacional e gestão de fornecedores) foi avaliado por um organismo certificador externo e atende aos requisitos da norma vigente.
Os controles de segurança da Softfocus não dependem de declaração institucional. Passaram por auditoria formal, estão sujeitos aos ciclos de manutenção e recertificação da norma, e o certificado pode ser consultado junto ao organismo certificador. Para clientes e parceiros do setor financeiro, isso é evidência verificável, não promessa.
Depois da certificação
Manter o certificado exige auditorias anuais e recertificação a cada três anos, com revisão constante de riscos e controles. Empresa que abandona esse ciclo perde a certificação na auditoria seguinte. O selo, sozinho, já funciona como um indicador razoável de que a gestão de segurança segue ativa, e não apenas documentada uma vez para conseguir o papel.
