"Quanto tempo e quanto custa?" é a primeira pergunta de quem avalia a certificação ISO/IEC 27001. A resposta honesta é: depende do escopo, da maturidade atual e do tamanho da organização. Mas é possível entender os fatores que definem prazo e orçamento e chegar a uma estimativa realista antes de começar.
O que é a certificação
A ISO/IEC 27001:2022 é a norma internacional que define os requisitos de um Sistema de Gestão de Segurança da Informação (SGSI). A certificação é concedida por um organismo certificador acreditado e independente, após auditoria. Consultorias como a RV3 preparam a empresa, mas não emitem o certificado: essa separação garante a imparcialidade do processo.
As fases e o prazo típico
| Fase | O que acontece | Duração típica |
|---|---|---|
| 1. Diagnóstico (gap analysis) | Avaliação da situação atual frente às cláusulas 4 a 10 e aos 93 controles do Anexo A | 2 a 4 semanas |
| 2. Escopo e governança | Definição do escopo, políticas, papéis e comitê | 3 a 6 semanas |
| 3. Gestão de riscos | Inventário de ativos, análise e plano de tratamento de riscos, Declaração de Aplicabilidade (SoA) | 4 a 8 semanas |
| 4. Implementação de controles | Procedimentos, controles técnicos e geração de evidências | 2 a 6 meses |
| 5. Operação e verificação | Indicadores, treinamento, auditoria interna e análise crítica pela direção | 1 a 3 meses |
| 6. Auditoria de certificação | Estágio 1 (documentação) e Estágio 2 (implementação) | 1 a 2 meses entre os estágios |
Em empresas de médio porte, o ciclo completo costuma levar de 6 a 12 meses. Organizações com boa maturidade prévia podem concluir em menos tempo, enquanto escopos amplos ou ambientes complexos podem passar de um ano (faixas estimadas com base em prática de mercado).
Um ponto que costuma surpreender: o organismo certificador espera ver o SGSI em operação, com evidências de funcionamento por algum período, normalmente alguns meses, antes do Estágio 2. Por isso, não é possível comprimir indefinidamente o prazo.
Os fatores que definem prazo e custo
- Escopo: certificar a empresa inteira ou apenas um produto, serviço ou unidade. Um escopo bem delimitado reduz custo sem perder valor comercial.
- Número de pessoas no escopo: determina a quantidade de dias de auditoria, calculada pelo organismo certificador com base em critérios da ISO/IEC 27006-1.
- Maturidade atual: empresas que já têm políticas, controle de acessos, backup e gestão de vulnerabilidades avançam muito mais rápido.
- Complexidade tecnológica: número de sistemas, ambientes de nuvem, localidades e fornecedores críticos.
- Disponibilidade da equipe interna: o maior gargalo costuma ser o tempo das pessoas, não a tecnologia.
Os componentes do custo
| Componente | O que inclui | Observação |
|---|---|---|
| Consultoria de implementação | Diagnóstico, documentação, riscos, apoio na implementação, treinamentos e auditoria interna | Maior variável do orçamento; depende do escopo e da maturidade |
| Auditoria de certificação | Estágios 1 e 2 pelo organismo certificador | Proporcional aos dias de auditoria |
| Auditorias de manutenção | Uma por ano nos anos 2 e 3 do ciclo | Em geral cerca de um terço do esforço da certificação inicial |
| Recertificação | Nova auditoria completa a cada 3 anos | - |
| Controles técnicos | Ferramentas que faltarem: MFA, EDR, backup imutável, SIEM, gestão de vulnerabilidades | Frequentemente subestimado no orçamento |
| Esforço interno | Horas de gestores e equipes envolvidas | Custo indireto, mas real |
Ordem de grandeza para médias empresas no Brasil: a consultoria de implementação costuma variar de algumas dezenas a poucas centenas de milhares de reais, e a auditoria de certificação inicial, de algumas dezenas de milhares (faixas indicativas e sujeitas a variação significativa por escopo, região e fornecedor; solicite propostas específicas).
Como reduzir prazo e custo sem perder qualidade
- Delimite o escopo pelo que seus clientes realmente exigem.
- Faça o diagnóstico antes de orçar a implementação completa.
- Aproveite controles e documentos que já existem (LGPD, políticas internas, contratos).
- Integre ISO/IEC 27001 e ISO/IEC 27701 num projeto só, se privacidade também for requisito.
- Garanta um responsável interno com tempo dedicado ao projeto.
- Planeje o ciclo de 3 anos desde o início, incluindo manutenção e auditorias internas.
Vale a pena?
Para empresas que vendem a grandes clientes, participam de licitações ou atuam em setores regulados, a certificação costuma se pagar pelo acesso a contratos e pela redução de questionários e due diligences de segurança. Além disso, o SGSI reduz a probabilidade e o impacto de incidentes, o que tem valor financeiro direto.
A RV3 conduz projetos de implementação ISO/IEC 27001 e 27701, do diagnóstico à certificação. Solicite um diagnóstico e uma estimativa para o seu escopo.