Pentest para a sua certificação ISO 27001

O que a ISO 27001 pede — e onde entra o pentest

A ISO/IEC 27001:2022 nunca cita o pentest como atividade obrigatória. O que ela exige é um sistema de gestão de segurança da informação baseado em risco: você identifica o risco, trata o risco e demonstra que seus controles realmente funcionam. O pentest é a evidência de maior peso nessa demonstração, porque mostra um controle resistindo ou caindo diante de um ataque real, e não no papel.

Um certificado ISO 27001 vale três anos. O ano um e o ano dois trazem auditorias de manutenção — revisões por amostragem que confirmam que o SGSI continua operando — e o ano três é uma auditoria de recertificação completa, que reinicia o ciclo. Um pentest contratado quatro semanas antes da auditoria de Estágio 2 documenta um único momento de uma história de trinta e seis meses. Tudo o que subiu nos outros trinta e cinco meses fica sem evidência por trás.

Anexo A 8.8 — Gestão de vulnerabilidades técnicas: você precisa obter informação sobre as vulnerabilidades dos sistemas que usa, avaliar sua exposição e agir sobre ela. O pentest revela as exposições que nenhum feed de vulnerabilidades vai te contar, porque elas vivem na sua própria lógica de negócio.

Anexo A 8.25 — Ciclo de vida de desenvolvimento seguro: a segurança precisa ser desenhada dentro do desenvolvimento, e não colada depois. Testar a cada release é a prova prática de que esse ciclo de vida é real e não um documento.

Anexo A 8.29 — Testes de segurança em desenvolvimento e aceitação: uma estratégia de testes definida, executada durante o desenvolvimento e antes da aceitação, em ambientes devidamente separados e por testadores competentes. O controle não obriga a fazer um pentest — revisão de código e testes automatizados também valem. A maioria das organizações faz mesmo assim, porque é o método que o auditor reconhece de imediato.

Rastreabilidade: o que estava no escopo, quem testou e com qual competência, o que foi encontrado, como cada achado foi classificado, quando foi corrigido e a prova de que a correção funciona. E o botão de parada: evidência de que um release foi realmente segurado porque um teste de segurança falhou. O teste contínuo gera essa trilha como subproduto; uma contratação anual gera um relatório e depois onze meses de silêncio.

A Strike não certifica ISO 27001 e não teria como: o certificado é emitido por um organismo de certificação acreditado, depois da auditoria dele. O que a Strike produz é a evidência técnica que esse organismo pede — pentest contínuo executado por IA e validado por hackers especialistas, com 97% de precisão e menos de 3% de falsos positivos, um reteste documentado ligado a cada achado, e relatórios que você entrega ao auditor e anexa à sua Declaração de Aplicabilidade.

ISO 27001 e pentest, em perguntas

A ISO 27001 exige pentest?

Não com essas palavras. A ISO/IEC 27001:2022 exige avaliação de riscos, plano de tratamento e evidência de que seus controles são eficazes. O pentest é a evidência que o auditor espera por trás dos controles 8.8, 8.25 e 8.29 do Anexo A, e na prática quase toda organização certificada faz um. A norma deixa o método aberto; a auditoria raramente deixa.

Que evidência de teste o auditor de ISO 27001 realmente pede?

Escopo, metodologia, a competência de quem testou, os achados com sua severidade, as datas de remediação, a prova de que cada correção foi reavaliada e a ligação com o seu plano de tratamento de riscos e a Declaração de Aplicabilidade. Um relatório sem reteste e sem rastreabilidade até o registro de riscos é evidência fraca.

Em que momento do processo de certificação vale testar?

No máximo antes da auditoria de Estágio 2, para que os achados cheguem fechados e não abertos. O ideal é que o teste seja contínuo, porque as auditorias de manutenção do ano um e do ano dois também amostram a eficácia dos controles, e a recertificação do ano três olha para trás no ciclo inteiro.

O mesmo teste serve para SOC 2 e PCI DSS?

Em boa medida sim. O trabalho técnico se sobrepõe bastante entre os frameworks; o que muda é como a evidência é empacotada e a quais controles ela é mapeada. A Strike roda um único programa de teste contínuo e produz relatórios que apoiam cada framework, em vez de três contratações desconectadas.

A Strike certifica ISO 27001?

Não. A Strike apoia a ISO 27001 com evidência de pentest — só um organismo de certificação acreditado pode emitir o certificado, depois da auditoria dele. A Strike entrega a evidência técnica, os registros de reteste e os relatórios prontos para auditoria em que essa auditoria se apoia.

Quanto custa e quanto tempo leva?

A Strike funciona como assinatura contínua dimensionada pela sua superfície de ataque, e não como um projeto pontual de preço fechado — então o custo depende do escopo e dos ativos. O onboarding leva dias, e os achados críticos validados costumam chegar em horas ou dias depois que o teste começa. Fale com a gente para um orçamento com escopo.