Pentest para a sua certificação ISO 27001
A ISO/IEC 27001:2022 trata de avaliar e tratar o risco de segurança da informação — e o pentest é a evidência técnica que o auditor espera por trás de controles do Anexo A como 8.8, 8.25 e 8.29. Vale deixar claro o que quase nenhuma página explica: o Anexo A é um conjunto de referência, não uma lista de requisitos. A Strike executa pentest contínuo com IA e validação humana especializada antes da entrega ao cliente, e entrega relatórios que apoiam programas de auditoria e conformidade. A Strike apoia o processo; quem emite o certificado é o organismo certificador. Fonte: ISO, acessado em 29 de julho de 2026.
Feito para o ciclo de certificação ISO 27001 de três anos
Times que vão para uma auditoria de Estágio 2 e precisam chegar com os achados fechados e retestados, e não com itens abertos para explicar.
Organizações já certificadas, cujas auditorias de manutenção do ano um e do ano dois seguem amostrando se os controles ainda funcionam.
Líderes de segurança que precisam de evidência de teste que mapeie direto para o Anexo A e se anexe ao plano de tratamento de riscos e à Declaração de Aplicabilidade.
Pentest ISO 27001: o que a norma estabelece e onde o teste entra
A ISO/IEC 27001:2022 nunca cita o pentest como atividade obrigatória. O que ela exige é um sistema de gestão de segurança da informação baseado em risco: você identifica o risco, trata o risco e demonstra que seus controles realmente funcionam. O pentest é a evidência de maior peso nessa demonstração, porque mostra um controle resistindo ou caindo diante de um ataque real, e não no papel. Fonte: ISO/IEC 27001:2022 (acessado em 29 de julho de 2026).
Um certificado ISO 27001 vale três anos. O ano um e o ano dois trazem auditorias de manutenção — revisões por amostragem que confirmam que o SGSI continua operando — e o ano três é uma auditoria de recertificação completa, que reinicia o ciclo. Um pentest contratado quatro semanas antes da auditoria de Estágio 2 documenta um único momento de uma história de trinta e seis meses. Tudo o que subiu nos outros trinta e cinco meses fica sem evidência por trás.
Anexo A 8.8 — Gestão de vulnerabilidades técnicas: você precisa obter informação sobre as vulnerabilidades dos sistemas que usa, avaliar sua exposição e agir sobre ela. O pentest revela as exposições que nenhum feed de vulnerabilidades vai te contar, porque elas vivem na sua própria lógica de negócio. Fonte: ISO/IEC 27001:2022 (acessado em 29 de julho de 2026).
Anexo A 8.25 — Ciclo de vida de desenvolvimento seguro: a segurança precisa ser desenhada dentro do desenvolvimento, e não colada depois. Testar a cada release é a prova prática de que esse ciclo de vida é real e não um documento.
Anexo A 8.29 — Testes de segurança em desenvolvimento e aceitação: uma estratégia de testes definida, executada durante o desenvolvimento e antes da aceitação, em ambientes devidamente separados e por testadores competentes. O controle não obriga a fazer um pentest — revisão de código e testes automatizados também valem. A maioria das organizações faz mesmo assim, porque é o método que o auditor reconhece de imediato.
Rastreabilidade: o que estava no escopo, quem testou e com qual competência, o que foi encontrado, como cada achado foi classificado, quando foi corrigido e a prova de que a correção funciona. E o botão de parada: evidência de que um release foi realmente segurado porque um teste de segurança falhou. O teste contínuo gera essa trilha como subproduto; uma contratação anual gera um relatório e depois onze meses de silêncio.
A Strike não certifica ISO 27001 e não teria como: o certificado é emitido por um organismo de certificação acreditado, depois da auditoria dele. O que a Strike produz é a evidência técnica que esse organismo pede — pentest contínuo executado por IA com validação humana especializada antes da entrega ao cliente, reteste cuja disponibilidade depende do escopo contratado, e relatórios que você entrega ao auditor e anexa à sua Declaração de Aplicabilidade.
Métricas reportadas pela Strike nesta página: 97% de precisão / 3% de falsos positivos, e mais de 6.000 vulnerabilidades críticas reportadas. São números que a Strike reporta sobre a própria plataforma, não benchmarks de terceiros; o escopo, as definições e as datas de medição de cada um estão em como medimos os resultados.
Pentest ISO 27001 e o Anexo A: um conjunto de referência, não uma lista de requisitos
Essa é a distinção que quase toda página de conformidade achata — e é justamente a que define como se responde ao auditor. Na ISO/IEC 27001:2022, as cláusulas numeradas de 4 a 10 são a parte obrigatória da norma e não podem ser excluídas de um SGSI conforme. O Anexo A é outra coisa: conforme o texto da norma, é um conjunto de referência de controles de segurança da informação, do qual cada organização seleciona com base na sua própria avaliação de riscos. Quando a organização determina que um controle não é aplicável, essa decisão e a justificativa dela ficam registradas na Declaração de Aplicabilidade.
A consequência, sem rodeio: a ISO 27001 não obriga a fazer pentest. Nenhuma cláusula e nenhum controle do Anexo A cita o pentest como atividade que a organização precise executar. Quem afirma que a norma obriga a contratar um está descrevendo a prática comum de auditoria, e não o texto da norma.
Então por que o auditor pede um pentest? Porque ele está amostrando se os controles que a organização selecionou operam de forma eficaz, e a evidência de teste é uma das formas de prova que o auditor reconhece de imediato. O pedido é real. A base dele é a própria Declaração de Aplicabilidade e o plano de tratamento de riscos, e não uma linha do Anexo A que obrigue alguém.
O que isso muda na hora de responder: se os controles 8.8, 8.25 ou 8.29 do Anexo A foram selecionados, também foram escolhidos os métodos que os demonstram. O pentest é um método; revisão de código e testes automatizados são outros, e a ISO não hierarquiza entre eles. Se um controle foi excluído, o que o auditor lê no lugar de um relatório de teste é a justificativa na Declaração de Aplicabilidade. De um jeito ou de outro, a evidência precisa ser rastreável até o risco que ela trata.
Onde isso deixa um pentest ISO 27001 na prática: a maioria das organizações certificadas faz um, porque é o caminho mais rápido para mostrar um controle resistindo ou caindo em condições de ataque real, e não no papel. Essa é uma decisão sobre qualidade da evidência, não sobre obrigação — e vale tomá-la de forma deliberada, não porque um fornecedor disse que a norma forçou a sua mão.
Fontes: ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection — Information security management systems — Requirements (ISO), acessado em 29 de julho de 2026, incluindo a emenda ISO/IEC 27001:2022/Amd 1:2024. A numeração de controles do Anexo A segue a revisão de 2022. O texto completo da norma é de acesso pago na ISO; a página de catálogo citada aqui é de acesso público. A Strike apoia programas de auditoria e conformidade; não emite certificados ISO, e a certificação é concedida por um organismo de certificação acreditado depois da auditoria dele.
Pentest ISO 27001, em perguntas
Pentest ISO 27001 é a mesma coisa que teste de intrusão para ISO 27001?
Sim. Pentest ISO 27001 é só a forma curta de dizer a mesma coisa, e nenhuma das duas expressões aparece na norma. A ISO/IEC 27001:2022 estabelece que as cláusulas de 4 a 10 são a parte obrigatória, e, conforme o texto da norma, o Anexo A é um conjunto de referência de controles do qual a organização seleciona com base na própria avaliação de riscos, registrando qualquer exclusão e a justificativa dela na Declaração de Aplicabilidade. Ou seja: a expressão descreve um trabalho de teste desenhado para apoiar um programa ISO 27001, e não um controle que se possa apontar no texto. Fonte: ISO/IEC 27001:2022 (ISO), acessado em 29 de julho de 2026.
Que evidência de teste o auditor de ISO 27001 realmente pede?
Escopo, metodologia, a competência de quem testou, os achados com sua severidade, as datas de remediação, a prova de que cada correção foi reavaliada e a ligação com o seu plano de tratamento de riscos e a Declaração de Aplicabilidade. Um relatório sem reteste e sem rastreabilidade até o registro de riscos é evidência fraca.
Em que momento do processo de certificação vale testar?
No máximo antes da auditoria de Estágio 2, para que os achados cheguem fechados e não abertos. O ideal é que o teste seja contínuo, porque as auditorias de manutenção do ano um e do ano dois também amostram a eficácia dos controles, e a recertificação do ano três olha para trás no ciclo inteiro.
O mesmo teste serve para SOC 2 e PCI DSS?
Em boa medida sim. O trabalho técnico se sobrepõe bastante entre os frameworks; o que muda é como a evidência é empacotada e a quais controles ela é mapeada. A Strike roda um único programa de teste contínuo e produz relatórios que apoiam cada framework, em vez de três contratações desconectadas.
Qual o papel da Strike diante da ISO 27001?
A Strike apoia a ISO 27001 com evidência de pentest — só um organismo de certificação acreditado pode emitir o certificado, depois da auditoria dele. A Strike entrega a evidência técnica, os registros de reteste e os relatórios que apoiam programas de auditoria e conformidade, nos quais essa auditoria se sustenta.
Quanto custa e quanto tempo leva?
A Strike funciona como assinatura contínua dimensionada pela superfície de ataque, e não como um projeto pontual de preço fechado — então o custo depende do escopo e dos ativos. O setup leva menos de 5 minutos assim que as informações do alvo e os acessos estiverem prontos, para escopos suportados. Separadamente, com o teste em execução, os achados chegam em 1–2 horas. Fale com a gente para um orçamento com escopo.
Algo assim. A ISO/IEC 27001:2022 estabelece que as cláusulas de 4 a 10 são a parte obrigatória da norma, e, conforme o texto da norma, o Anexo A é um conjunto de referência de controles do qual a organização seleciona com base na própria avaliação de riscos, registrando qualquer exclusão e a justificativa dela na Declaração de Aplicabilidade. A ISO 27001 pede uma avaliação de riscos, plano de tratamento e evidência de que os controles selecionados são eficazes. O pentest é a evidência que o auditor reconhece mais rapidamente por trás dos controles 8.8, 8.25 e 8.29 do Anexo A, e a maioria das organizações certificadas faz um. A norma deixa o método aberto; a auditoria raramente deixa. Fonte: ISO/IEC 27001:2022 (acessado em 29 de julho de 2026).
Escolhida pelas equipes de segurança que lideram o setor.
Experiência humana. Poder da IA. Segurança superior.
Quer você esteja crescendo rapidamente, fechando contratos corporativos ou apenas cansado de relatórios barulhentos, ajudaremos você a construir uma pilha de segurança que se mova mais rápido do que suas ameaças.
