ISO 27001 saiu do mundo enterprise em 2026. Compradores B2B brasileiros começaram a pedir em RFP de contratos acima de R$ 200k/ano. Este guia é para founder que ouviu "vocês têm ISO 27001?" e precisa responder "estamos em processo" com credibilidade.

O que é

Norma internacional de sistema de gestão de segurança da informação. Cobre pessoas, processo e tecnologia. Certificação é feita por auditor externo credenciado.

O que não é

Não é firewall novo. Não é ferramenta. Não é senha forte. É sistema de gestão — decisões documentadas, evidências, auditoria.

90 dias realista

Dias 1-30: escopo + política

• Definir escopo (o que está dentro: qual produto, qual filial, qual time).
• Escrever Política de Segurança da Informação (2-3 páginas).
• Fazer análise de gap com os 93 controles do Anexo A.
• Nomear responsável (CISO virtual, se não tiver interno).

Terceirizar: consultoria pra ajudar no gap (R$ 15-30k dependendo do porte). Não terceirize a política em si — o conteúdo precisa ser seu.

Dias 31-60: implementação

• Documentar processos de: onboarding, offboarding, incidente, backup, acesso, mudança.
• Implementar controles técnicos faltantes (varredura, log central, MFA de admin).
• Treinamento do time — 1h obrigatória gravada, com quiz.
• Fornecedores: due-diligence de cada um que trata dado.

Custo médio: R$ 30-50k em implementação (ferramentas + tempo interno).

Dias 61-90: auditoria

• Auditoria interna primeiro (pode ser a consultoria).
• Ajuste dos achados.
• Auditoria de certificação (empresa externa credenciada).
• Recebe certificado (ou plano de correção).

Custo médio: R$ 20-40k na auditoria.

Custo total realista

Startup de 15-30 pessoas: R$ 65k-120k e 90-120 dias reais (não 90 dias de calendário — tem coisa que atrasa).

O que ignorar por enquanto

• SOC 2 antes de ISO 27001 (fluxo comum é ISO primeiro por regulação brasileira).
• Certificações setoriais (PCI, HIPAA) até serem exigidas.
• Ferramentas de GRC caras. Planilhas + Notion cobrem o começo.

Riscos comuns

1. Escopo grande demais. Se você tem 3 produtos, comece com 1. Amplia depois.
2. Documentação sem prática. Auditor pede evidência. Sem log, sem evidência.
3. Política que ninguém do time conhece. Auditor pergunta a dev "qual sua responsabilidade em segurança?". Se dev não sabe, você perde ponto.

Ganho comercial

Empresas com ISO 27001 relatam:

• Ciclo de venda B2B enterprise 30% mais rápido.
• Objeções de segurança em RFP eliminadas.
• Ticket médio 15-25% maior.

Payback típico: 2-4 contratos B2B enterprise.

TL;DR

• 90 dias reais, R$ 65-120k.
• Consultoria pra gap + auditoria; policy é sua.
• Escopo pequeno primeiro.
• Documentação COM evidência.

A Varredura cobre boa parte dos controles técnicos exigidos (varredura, monitoramento). Ver relatório de exemplo.