ISO 27001 não é um checklist que você preenche uma vez e esquece. É um sistema de gestão vivo — e quando parte da sua infraestrutura está em cloud, a norma exige que você demonstre controle sobre um ambiente que não é fisicamente seu. Saber exatamente o que isso significa evita surpresas na auditoria.
O que é ISO 27001
ISO/IEC 27001 é a norma internacional para Sistemas de Gestão de Segurança da Informação (SGSI). Ela define um conjunto de requisitos que uma organização deve implementar para gerenciar a segurança da informação de forma sistemática — identificando riscos, implementando controles e melhorando continuamente.
A certificação é concedida por um organismo de certificação acreditado após auditoria externa. Ela vale por 3 anos, com auditorias de vigilância anuais.
A norma tem duas partes principais:
- Corpo da norma: os requisitos de gestão (política, planejamento, suporte, operação, avaliação, melhoria)
- Annex A: 93 controles de referência (na versão 2022) organizados em 4 temas — controles organizacionais, de pessoas, físicos e tecnológicos
Para cloud, os controles mais relevantes estão no tema tecnológico e em controles organizacionais de gestão de fornecedores.
Controles do Annex A relevantes para cloud
A.5 — Controles organizacionais (relacionados a cloud):
- A.5.19 a A.5.22: Gestão de segurança da informação na cadeia de fornecimento — exige que você avalie e monitore os controles de segurança dos seus fornecedores, incluindo o provedor de cloud. Não basta o provedor ter certificação — você precisa evidenciar que avaliou e monitora.
- A.5.23: Segurança da informação para uso de serviços em nuvem — um controle específico para cloud adicionado na versão 2022. Exige política de uso de cloud, gestão de acesso, controle de dados e avaliação de riscos para serviços em nuvem.
A.8 — Controles tecnológicos:
- A.8.1: Dispositivos de endpoint — gestão de dispositivos que acessam a cloud
- A.8.5: Autenticação segura — MFA para acesso a sistemas em cloud
- A.8.9: Gestão de configuração — configurações dos recursos cloud devem ser gerenciadas (Infrastructure as Code, baselines de segurança)
- A.8.10: Deleção de informação — dados devem ser deletados quando não mais necessários, inclusive em storage de cloud
- A.8.11: Mascaramento de dados — dados sensíveis em ambientes de teste/dev devem ser mascarados
- A.8.12: Prevenção de vazamento de dados (DLP) — monitoramento e prevenção de exfiltração de dados
- A.8.24: Uso de criptografia — política de criptografia aplicada aos dados em cloud (em trânsito e em repouso)
- A.8.25 a A.8.31: Desenvolvimento seguro — relevante se você desenvolve aplicações que rodam em cloud
A.7 — Controles físicos:
- A.7.1 a A.7.14: Para cloud pública, você depende dos controles físicos do datacenter do provedor — o que se comprova via relatórios SOC 2 Tipo II ou auditoria direta.
Certificar a empresa vs exigir certificação do provedor
Essa é uma das confusões mais comuns em projetos de ISO 27001 com cloud.
Certificar sua empresa: o escopo da sua certificação cobre os processos e sistemas sob seu controle. A cloud do provedor entra no escopo como “serviço terceirizado” — você não controla o datacenter físico, mas controla como usa o serviço.
O que você precisa do provedor: evidência de que ele tem controles adequados. Isso normalmente vem de:
- Certificação ISO 27001 do próprio provedor (AWS, Azure, GCP, e provedores nacionais sérios têm isso)
- Relatório SOC 2 Tipo II (equivalente para auditores americanos)
- Respostas ao questionário de segurança (SIG, CAIQ)
O auditor de ISO 27001 vai perguntar: “Como você garante que o provedor de cloud tem controles adequados?” Você precisa ter uma resposta documentada — não apenas confiar que é uma empresa grande.
Diferença importante: a certificação do provedor cobre a infraestrutura dele. A sua certificação cobre como você usa essa infraestrutura. Um provedor ISO 27001 não significa que a sua configuração está adequada — você pode ter buckets públicos, senhas fracas e acesso sem MFA num provedor com certificação impecável.
Como cloud privada certificada simplifica a auditoria
Quando você usa cloud privada de um provedor com ISO 27001 e o ambiente é dedicado (seus recursos são isolados, não compartilhados), o escopo da auditoria fica mais limpo:
- Os controles físicos (datacenter, acesso físico, energia) são cobertos pela certificação do provedor — você usa a evidência deles
- A configuração lógica (acesso, criptografia, rede) está no seu escopo, mas você tem mais visibilidade e controle do que em cloud pública multitenante
- O relacionamento contratual (DPA, SLA, direito de auditoria) é mais fácil de formalizar com um provedor nacional
Para empresas que precisam certificar ISO 27001 e já usam cloud privada de provedor certificado, a evidência de due diligence de fornecedores (um dos requisitos mais trabalhosos) fica substancialmente mais simples.
O que o auditor vai pedir sobre cloud
Em uma auditoria de ISO 27001 com escopo que inclui cloud, espere perguntas sobre:
- Política de uso de serviços em nuvem (existe? está atualizada?)
- Inventário de serviços de cloud em uso (shadow IT é um problema recorrente)
- Como o acesso é gerenciado (IAM, MFA, revisão de acessos)
- Configuração de criptografia nos dados em cloud
- Gestão de configuração (como você garante que configurações seguras são mantidas?)
- Monitoramento e alertas de segurança em cloud
- Plano de continuidade que inclui cenários de falha do provedor cloud
- Evidência da avaliação de segurança do provedor (certificação, SOC 2, questionário)
A Adentro opera com certificação ISO 27001 e pode fornecer a evidência de due diligence que você precisa para a sua auditoria. Cloud privada com postura de segurança documentada e auditável.