Checklist pré-auditoria da ISO 27001

Escopo vago é o achado mais comum do estágio 1. Se dá para discutir o que está dentro, o auditor vai discutir.

Evidência: Documento de escopo aprovado, citando sistemas, times e endereços incluídos e excluídos.

Excluir uma área sem justificar sugere que a exclusão existe para esconder um problema.

Evidência: Parágrafo de justificativa por exclusão, com o risco residual reconhecido.

Muita empresa lista clientes e reguladores sem dizer qual requisito cada um impõe, que é a parte útil.

Evidência: Tabela de partes interessadas com requisito, origem e responsável.

Se o serviço depende de um provedor de nuvem, isso precisa aparecer no escopo, não só no contrato.

Evidência: Diagrama ou descrição das dependências externas relevantes ao escopo.

Política aprovada há três anos, sem revisão e que ninguém do time sabe onde fica, não sustenta o controle.

Evidência: Política com data, aprovador, versão e prova de comunicação ao público que precisa segui-la.

Responsabilidade atribuída a um departamento é responsabilidade de ninguém quando o incidente acontece.

Evidência: Matriz de papéis com nomes, ou organograma com responsabilidades atribuídas.

O auditor procura decisão, orçamento e priorização, não apenas patrocínio declarado.

Evidência: Atas com decisões tomadas, recursos aprovados e prioridades definidas pela direção.

Quem solicita, aprova e executa a mesma mudança concentra risco que o auditor sempre testa.

Evidência: Matriz de segregação e perfis de acesso que a reflitam na prática.

Matriz colorida não é metodologia. O auditor pergunta o que define probabilidade 3 e não 2.

Evidência: Documento de metodologia com escalas, critérios e limite de aceitação definidos.

Controle sem decisão registrada é lacuna automática, mesmo que na prática ele exista.

Evidência: Declaração de Aplicabilidade cobrindo os 93 controles, sem linha em branco.

É a primeira coisa que o auditor lê na SoA, e a que mais gera não conformidade.

Evidência: Texto de justificativa por controle excluído, ligado ao escopo ou ao risco.

Plano sem responsável e sem data é intenção, não tratamento.

Evidência: Plano de tratamento com risco, ação, responsável, prazo e status atual.

Aceitar risco é legítimo. Aceitar sem registro de quem aprovou não é.

Evidência: Registro de aceite com risco, motivo, aprovador e data de reavaliação.

Objetivo sem métrica não permite ao auditor verificar progresso.

Evidência: Objetivos com indicador, meta, periodicidade e resultado do último período.

Cláusula acrescentada em 2022 e frequentemente esquecida por quem migrou da versão 2013.

Evidência: Registro de mudanças no SGSI com motivo, impacto avaliado e aprovação.

A norma pede competência demonstrada, não presença em treinamento.

Evidência: Certificados, experiência registrada ou avaliação de competência por papel.

Terceirizado com acesso ao ambiente costuma ficar de fora da campanha e aparece na amostra.

Evidência: Registro de participação com data e público, incluindo contratados.

O auditor costuma perguntar isso direto a um funcionário na entrevista.

Evidência: Canal de reporte divulgado e reconhecível por quem trabalha no escopo.

Documento sem versão nem aprovador não é informação documentada controlada.

Evidência: Repositório com histórico de versões, aprovadores e ciclo de revisão definido.

Duas versões da mesma política circulando é achado clássico.

Evidência: Marcação ou arquivamento das versões superadas, com acesso restrito.

Evidência com todas as datas concentradas no último mês mostra preparação, não operação.

Evidência: Registros distribuídos ao longo do período, com data e origem.

Quase toda empresa revisa acesso. Poucas conseguem provar quando e quem revisou.

Evidência: Ata ou export da revisão, com período, revisor e ações tomadas.

Conta ativa de ex-funcionário é o achado mais fácil de encontrar em uma amostra.

Evidência: Cruzamento entre desligamentos do RH e data de revogação de acesso.

Sem inventário, não há como demonstrar que o escopo está coberto.

Evidência: Inventário com sistema, base de dados, dono e classificação.

Política de classificação sem nada classificado é documento decorativo.

Evidência: Amostra de ativos com rótulo de classificação efetivamente atribuído.

Backup que nunca foi restaurado é hipótese. O auditor pede o teste, não a rotina.

Evidência: Registro de teste de restauração com data, escopo e resultado.

Log que o administrador pode editar não sustenta investigação nem auditoria.

Evidência: Configuração de retenção e proteção dos registros, com amostra do período.

Scanner rodando sem SLA de correção mostra detecção sem tratamento.

Evidência: Política de prazos por severidade e evidência de correções dentro do prazo.

Mudança sem trilha é o caminho mais curto para uma não conformidade maior.

Evidência: Amostra de mudanças com solicitante, aprovador, teste e data.

Tratar o provedor de nuvem como o fornecedor de café dilui o controle onde ele importa.

Evidência: Lista de fornecedores com critério de criticidade aplicado.

Avaliação feita uma vez na contratação e nunca repetida é achado frequente.

Evidência: Registro de reavaliação com data, responsável e conclusão.

Sem cláusula contratual, o prazo de notificação do fornecedor não é exigível.

Evidência: Amostra de contratos com as cláusulas de segurança destacadas.

Assumir que o provedor cuida de algo que na verdade é sua responsabilidade é erro caro.

Evidência: Matriz de responsabilidade compartilhada por serviço contratado.

No dia do incidente ninguém lê manual. O que funciona é um fluxo curto e conhecido.

Evidência: Procedimento com responsáveis nomeados, critérios de severidade e canais.

Registro vazio levanta mais suspeita que registro com incidentes bem tratados.

Evidência: Base de incidentes com data, classificação, ação e encerramento.

Incidente que não mudou nada indica processo que não aprende.

Evidência: Ligação entre incidente e ação corretiva ou controle ajustado.

Plano nunca exercitado é ficção, e o auditor pede o registro do teste.

Evidência: Relatório de teste ou exercício com data, cenário, participantes e falhas encontradas.

Auditor interno que audita o próprio trabalho invalida o resultado.

Evidência: Programa de auditoria, relatório e declaração de imparcialidade do auditor.

É a não conformidade mais fácil de evitar e uma das mais comuns, por puro adiamento.

Evidência: Ata com participantes, data, entradas analisadas e decisões tomadas.

Reunião que só olha indicador esquece status de ações anteriores, mudanças e feedback.

Evidência: Ata estruturada pelas entradas de 9.3.2, com resultado por item.

Corrigir o sintoma e não a causa faz o mesmo achado voltar na próxima auditoria.

Evidência: Registro com causa raiz, ação corretiva, prazo e verificação de eficácia.

Medir uma vez por ano não permite mostrar tendência nem melhoria contínua.

Evidência: Indicadores com histórico do período e análise do que mudou.