Preparar evidências técnicas para a ISO 27001

A maior parte do trabalho de ISO 27001 em que somos envolvidos chega tarde — seis semanas antes da auditoria de certificação, com uma análise de lacunas numa mão e um pedido de «um teste de intrusão» na outra. Essa ordem sai cara e produz evidência mais fraca do que seria necessário. Eis o que os auditores procuram do lado técnico, e quando o produzir.

Uma nota de âmbito: somos um prestador de testes, não um organismo de certificação. Produzimos evidência técnica e corrigimos constatações. A decisão de certificação pertence a um organismo acreditado e aos seus próprios consultores.

O que a norma pede de facto

A revisão de 2022 do Anexo A condensou os controlos técnicos numa lista mais curta, e três deles concentram quase tudo o que um auditor lhe pedirá para demonstrar:

• Gestão de vulnerabilidades técnicas. Sabe o que tem, toma conhecimento das vulnerabilidades que o afetam e atua dentro de prazos definidos.
• Desenvolvimento seguro. A segurança é considerada durante o desenvolvimento e as alterações são testadas antes de chegarem a produção.
• Monitorização e registo. Os eventos relevantes são registados, retidos e revistos.

Repare no que não está lá: a norma não impõe literalmente um teste de intrusão anual. O que exige é que consiga demonstrar um processo a funcionar. Um relatório de teste é evidência forte desse processo — mas um relatório isolado, sem processo à volta, não convence ninguém.

A evidência que os auditores pedem

• Um inventário de ativos atual, e a explicação de como se mantém atual.
• Resultados de análises ao longo do tempo, não uma execução única — a mostrar que analisar é rotina.
• Uma escala de severidade documentada com prazos de correção associados a cada nível, e prova de que esses prazos são geralmente cumpridos.
• Uma amostra de constatações seguidas de ponta a ponta: descoberta, registada, corrigida, verificada, fechada. É o artefacto mais persuasivo que pode apresentar.
• Testes independentes dos sistemas que importam, com o âmbito indicado e o reteste das correções anexado.
• Registo de exceções — constatações que aceitou em vez de corrigir — com responsável, motivo e data de revisão.

Este último ponto gera mais ansiedade do que devia. Os auditores não esperam zero constatações abertas. Esperam que as abertas sejam conhecidas, tenham dono e estejam justificadas. Um risco aceite com assinatura é prova de um sistema a funcionar; um risco por registar não prova nada.

Sequenciar corretamente

A correria acontece porque o teste é contratado em último lugar. Inverta:

• Seis meses antes. Corrija o inventário. Tudo o resto depende de saber o que existe. Comece já a analisar rotineiramente, para que na altura da auditoria tenha histórico e não uma fotografia.
• Quatro meses antes. Acorde a escala de severidade e os prazos, e comece a correr o fluxo de correção no seu sistema de bilhetes habitual. Não construa um processo separado para a auditoria; os auditores percebem, e um processo paralelo não sobrevive ao ano.
• Três meses antes. Testes independentes dos sistemas em âmbito. Cedo o suficiente para corrigir e retestar antes da auditoria, o que converte a sua pior evidência na melhor.
• Seis semanas antes. Reteste. Um relatório que mostra constatações críticas fechadas e verificadas convence muito mais do que um que as mostra abertas com uma promessa.
• Duas semanas antes. Monte o rasto: escolha três constatações e apresente o ciclo completo com datas e referências de bilhete.

Como costuma correr mal

O âmbito do teste não coincide com o âmbito da certificação, pelo que o teste cobre sistemas que não interessam ao auditor e falha os que interessam. Acorde os dois em conjunto.

O relatório é uma exportação bruta com duzentas entradas informativas e sem triagem. Isso não é prova de processo; é prova de ter corrido uma ferramenta. Peça constatações triadas e ordenadas por impacto no negócio.

As constatações são corrigidas mas nunca verificadas, pelo que nada demonstra que a correção funcionou. O reteste é o que fecha o ciclo e deve vir incluído na intervenção, não comprado à parte.

E o mais comum de todos: o processo foi construído para a auditoria e abandonado a seguir. O certificado dura três anos, com auditorias de acompanhamento pelo meio. Um processo que faria de qualquer maneira é o único que lhes sobrevive.

O mais forte que pode colocar à frente de um auditor não é um relatório limpo. São três constatações seguidas da descoberta ao fecho verificado, com datas. Esse único artefacto demonstra todos os controlos que ele está a tentar avaliar.