Governança de segurança · Cibersegurança
Auditoria interna ISO/IEC 27001:2022
Auditamos seu Sistema de Gestão de Segurança da Informação com o mesmo rigor do organismo certificador, para que não apareçam surpresas no dia da auditoria real.
- Norma
- ISO/IEC 27001:2022 · cláusula 9.2
- Duração
- 3 a 6 semanas
- Modalidade
- Auditoria interna ou de fornecedores
- Saída
- Relatório com não conformidades e plano
O problema
A norma exige auditorias internas em intervalos planejados, e não é burocracia: é o mecanismo que detecta os desvios antes que um terceiro o faça. Também serve como ensaio geral se você ainda não se certificou, e como controle sobre fornecedores críticos que declaram conformidade sem que ninguém tenha verificado.
O que inclui
Programa de auditoria
Planejamento do ciclo anual: que processos são auditados, quando, com que critérios e com que independência em relação a quem os opera.
Revisão documental
Confronto do corpo documental —política, procedimentos, Declaração de Aplicabilidade e registros— com o que a norma exige em cada cláusula.
Auditoria de campo
Entrevistas, observação e amostragem de evidência real: não basta que o procedimento exista, é preciso comprovar que se executa como está escrito.
Verificação de controles do Anexo A
Revisão técnica dos controles declarados aplicáveis, incluídos acessos, criptografia, backups, registro, desenvolvimento seguro e gestão de fornecedores.
Achados classificados
Não conformidades maiores, menores e observações, cada uma com a cláusula descumprida, a evidência que a respalda e seu impacto.
Plano de ações corretivas
Análise de causa raiz e ações com responsável e prazo, redigidas para encerrar o achado e não apenas para respondê-lo.
Acompanhamento do encerramento
Verificação posterior de que as ações foram implementadas e eficazes, com ata de encerramento por achado.
Auditoria a fornecedores
A mesma metodologia aplicada a terceiros críticos que tratam sua informação e declaram cumprir a norma.
Como trabalhamos
- 01PlanejamentoEscopo, critérios, equipe auditora e calendário acordados com a direção.
- 02Revisão documentalAnálise prévia do SGSI e preparação da lista de verificação.
- 03ExecuçãoEntrevistas, amostragem de evidências e reunião de encerramento com os achados preliminares.
- 04RelatórioAchados classificados, evidências e plano de ações corretivas.
- 05AcompanhamentoVerificação do encerramento efetivo de cada não conformidade.
Entregáveis
| Documento | Extensão |
|---|---|
| Programa de auditoria Ciclo anual documentado. | incluído |
| Lista de verificação Cláusula a cláusula e controle a controle. | incluído |
| Relatório de auditoria Achados com evidência e classificação. | 20-45 págs |
| Plano de ações corretivas Com causa raiz, responsável e prazo. | incluído |
| Ata de encerramento Verificação de eficácia por achado. | incluído |
Auditamos, não certificamos. A certificação é emitida por um organismo independente acreditado, e essa independência é exatamente o que lhe dá valor. Nosso papel é interno: encontrar o que falha enquanto ainda dá para corrigir sem que fique em um relatório oficial.