A ISO/IEC 27001:2022 não exige pentest de forma universal nem estabelece uma periodicidade fixa para todas as organizações. A necessidade do teste deve ser avaliada no contexto dos riscos, dos controles selecionados, das políticas internas e dos compromissos assumidos com clientes.
Este artigo explica o que a norma exige e como justificar a frequência e os controles aplicáveis. Para planejar uma contratação, definir ativos, preparar acessos e organizar os entregáveis, consulte o guia de planejamento de pentest para ISO 27001.
O que a ISO 27001 exige em relação à segurança?
A ISO/IEC 27001 define requisitos para um Sistema de Gestão de Segurança da Informação (SGSI). A organização precisa avaliar riscos e selecionar medidas adequadas para tratá-los. A certificação avalia esse sistema de gestão; não é uma declaração de que todos os sistemas estão livres de vulnerabilidades.
A ISO/IEC 27002 orienta a implementação dos controles. ISO/IEC 27000 trata de visão geral e vocabulário. A norma de requisitos para certificação do SGSI é a ISO/IEC 27001.
Como o Anexo A e a Declaração de Aplicabilidade entram nessa decisão?
O Anexo A é uma referência para comparar os controles escolhidos durante o tratamento de riscos e evitar omissões. Ele não significa que todas as organizações precisam executar exatamente as mesmas atividades. A orientação de práticas de auditoria da ISO sobre o Anexo A explica essa relação.
A Declaração de Aplicabilidade, também conhecida como Statement of Applicability (SoA), registra os controles necessários, a justificativa de inclusão, sua implementação e as exclusões justificadas do Anexo A. O pentest deve responder a perguntas relevantes aos riscos e aos controles que a organização selecionou.
Quais controles podem ser apoiados por um pentest?
- A.8.8 — Gestão de vulnerabilidades técnicas: o teste pode identificar e validar falhas exploráveis em sistemas em uso. O processo também precisa tratar exposição, priorização, acompanhamento e medidas de resposta.
- A.8.29 — Testes de segurança no desenvolvimento e na aceitação: testes de aplicações novas ou alteradas podem contribuir para a avaliação de segurança. O planejamento deve definir objetivos, cobertura e critérios de aceitação pertinentes.
Um relatório oferece evidências limitadas ao escopo, às condições e ao período da avaliação. Ele não satisfaz automaticamente um controle inteiro. Vulnerabilidades encontradas, decisões de tratamento e validação das correções precisam ser consideradas junto das demais evidências do SGSI.
Quando o pentest pode se tornar necessário?
- Tratamento de riscos: a avaliação identifica riscos que justificam testes técnicos, como exposição de APIs ou isolamento entre clientes.
- Políticas e procedimentos: a organização se compromete a executar pentests em determinada frequência ou após mudanças.
- Contratos: um cliente ou parceiro exige avaliação independente, abrangência ou evidência específica.
- Mudanças relevantes: alterações introduzem riscos que os resultados anteriores não cobrem.
A ausência de uma obrigação universal na norma não elimina esses compromissos específicos. A organização define os controles e sua operação; o organismo certificador avalia a suficiência das evidências no contexto do SGSI.
A norma exige varredura de vulnerabilidades?
A ISO 27001 não define um scanner específico nem um calendário universal de varreduras. O processo de gestão de vulnerabilidades precisa ser adequado aos sistemas e riscos. Scans, monitoramento de avisos de fornecedores, revisão de configuração e testes manuais podem contribuir de maneiras diferentes.
Um scan não substitui um pentest manual previsto em política ou contrato. O pentest também não substitui o acompanhamento contínuo de vulnerabilidades conhecidas.
Com que frequência realizar os testes?
A frequência deve ser justificada pelos riscos e compromissos da organização. Um pentest anual pode servir como base de planejamento, sem ser uma exigência anual universal da ISO 27001. Mudanças significativas em autenticação, autorização, APIs, cloud ou fluxos de dados podem justificar uma nova avaliação antes da data programada.
Documente a periodicidade, os eventos que antecipam um teste, o responsável e os critérios para revisar a cobertura. Se uma política exige testes anuais, o histórico precisa demonstrar o cumprimento desse compromisso.
Qual é a referência atual da norma?
A transição da certificação acreditada da edição de 2013 para a de 2022 encerrou-se em 31 de outubro de 2025. A.12.6.1 e A.14.2.8 são referências da edição de 2013; os novos mapeamentos devem usar a edição aplicável de 2022.
A emenda de 2024 acrescentou considerações climáticas ao contexto da organização e às partes interessadas. Ela não estabeleceu uma nova obrigação universal de pentest.
Quais registros sustentam a justificativa e a execução?
Conecte o risco ao controle, ao objetivo do teste e ao resultado. Retenha as datas, os limites da avaliação, os achados, os responsáveis, os prazos, as decisões de risco e o reteste. Um relatório de pentest deve permitir entender o que foi e o que não foi avaliado.
A existência de uma vulnerabilidade não determina automaticamente o resultado da certificação. O contexto, a gravidade, o tratamento e o cumprimento dos processos importam. Aceitar um risco não elimina uma obrigação legal ou contratual.
Para transformar essa decisão em um plano de avaliação, siga o guia de escopo e evidências de pentest para ISO 27001. A Blaze pode apoiar a avaliação técnica; a decisão de certificação cabe ao organismo certificador.
