Pentest como Requisito da ISO 27001: Como Estruturar Testes de Intrusão para Sua Certificação

Neste artigo:

• ISO 27001 e o Requisito de Avaliação Técnica de Vulnerabilidades
• O que é Pentest e Por que ele Vai Além do Vulnerability Scan
• Como o Pentest Atende os Controles da ISO 27001:2022
• Tipos de Pentest Exigidos pelo Escopo da Norma
• Como Estruturar o Programa de Pentest para a ISO 27001
• Evidências e Documentação que o Auditor Vai Exigir
• Conclusão

A ISO/IEC 27001:2022 não menciona a palavra "pentest" de forma explícita , mas define com precisão o que precisa ser feito. O Controle 8.8 (Gestão de Vulnerabilidades Técnicas), herdeiro do antigo A.12.6.1 da versão 2013, determina que a organização deve:

• Identificar e avaliar vulnerabilidades técnicas em seus sistemas
• Tomar medidas corretivas em tempo hábil
• Estabelecer um processo contínuo e documentado de avaliação

Além disso, o Controle 8.9 (Gestão de Configuração) e o Controle 5.36 (Conformidade com políticas, regras e normas de segurança da informação) reforçam a necessidade de validar tecnicamente se os controles implementados são efetivos , e não apenas documentados.

É exatamente nessa lacuna , entre a política escrita e a realidade técnica , que o Teste de Intrusão (Pentest) se posiciona como ferramenta indispensável para organizações que buscam ou mantêm a certificação ISO 27001.

Antes de avançar, é essencial diferenciar dois conceitos frequentemente confundidos em processos de certificação:

O Pentest simula o comportamento de um atacante real , seja externo, seja um colaborador mal-intencionado , com o objetivo de descobrir se é possível comprometer a confidencialidade, integridade ou disponibilidade dos ativos de informação. Esse é exatamente o tipo de avaliação que o Anexo A da ISO 27001 pressupõe quando fala em "verificar a eficácia dos controles".

Por que o Vulnerability Scan isolado não é suficiente?

Um scanner automatizado identifica a presença de uma vulnerabilidade conhecida em um servidor. O Pentest responde perguntas que o scanner não consegue:

• Essa vulnerabilidade é explorável neste ambiente específico?
• Um atacante conseguiria escalar privilégios após a exploração?
• É possível pivotar para sistemas críticos a partir desse ponto de entrada?
• Os controles de detecção e resposta funcionariam diante de um ataque real?

Para fins de conformidade com a ISO 27001, apenas o Pentest fornece evidências suficientes de que os controles de segurança funcionam , e não somente que existem.

A versão 2022 da norma reorganizou os controles em quatro grandes temas: Organizacional, Pessoal, Físico e Tecnológico. O Pentest contribui diretamente para a evidenciação de controles tecnológicos e organizacionais:

O escopo da certificação ISO 27001 da sua organização determina quais modalidades de Pentest são relevantes. As principais são:

Pentest de Infraestrutura Externa

Simula um atacante externo sem credenciais prévias. Abrange IPs públicos, serviços expostos à internet, VPNs, firewalls de borda e qualquer ativo acessível fora do perímetro corporativo. É o ponto de partida obrigatório para praticamente qualquer escopo ISO 27001.

Pentest de Infraestrutura Interna

Avalia o que um atacante já presente na rede corporativa , ou um colaborador mal-intencionado , consegue fazer. Cobre Active Directory, servidores internos, protocolos legados (SMB, RDP, Kerberos) e movimentação lateral. Essencial para organizações com dados críticos ou regulados.

Pentest de Aplicações Web e APIs

Metodologia baseada no OWASP Testing Guide e OWASP Top 10. Avalia sistemas acessíveis via browser ou consumidos por aplicações mobile e integrações. Indispensável para empresas com portais de cliente, e-commerce ou integrações B2B.

Phishing e Engenharia Social

Validação dos controles humanos: simulações de phishing, spear-phishing e pretexting para medir a resiliência dos colaboradores. Relaciona-se diretamente com o Controle 6.3 (Conscientização, Educação e Treinamento em SI) da ISO 27001:2022.

Red Team

Exercício avançado que combina múltiplos vetores de ataque (técnico, humano e físico) com objetivo específico de comprometer um ativo de alto valor. Recomendado para organizações com maturidade elevada em segurança, geralmente após ciclos contínuos de Pentest convencional.

Um teste de intrusão pontual, sem planejamento e sem tratamento dos achados, tem valor limitado para a certificação. O auditor ISO 27001 buscará evidências de um programa estruturado , não apenas um relatório isolado.

As 5 fases de um programa maduro:

1. Definição de Escopo e Regras de Engajamento
Documente quais sistemas serão testados, janelas de tempo, restrições operacionais e responsabilidades. Esse documento (Rules of Engagement) é a base legal e operacional do teste e deve ser aprovado formalmente pela alta gestão.

2. Planejamento e Threat Modeling
Antes de executar, mapeie os ativos críticos do escopo ISO 27001 e as ameaças mais relevantes para o seu setor. Isso direciona o esforço do Pentest para o que realmente importa , e demonstra maturidade de processo ao auditor.

3. Execução do Teste
Conduzida por profissionais certificados (OSCP, CEH, GPEN ou equivalente). A execução deve cobrir as fases clássicas: reconhecimento, enumeração, exploração, pós-exploração e documentação de evidências.

4. Relatório Técnico e Executivo
O relatório é a principal evidência para o auditor. Deve conter:

• Sumário executivo com impacto ao negócio
• Relação de vulnerabilidades com CVSS, CWE e evidência (screenshot/PoC)
• Plano de remediação priorizado
• Mapeamento para controles da ISO 27001

5. Reteste e Ciclo de Melhoria Contínua
Após as correções, execute um reteste formal para validar que as vulnerabilidades foram efetivamente remediadas. Documente o fechamento , isso fecha o ciclo de PDCA exigido pela norma.

Auditores de certificação ISO 27001 são experientes em identificar quando uma organização realizou o Pentest "para cumprir tabela" versus quando existe um processo genuíno de gestão de vulnerabilidades. Prepare-se com as seguintes evidências:

• Política de Gestão de Vulnerabilidades aprovada e revisada , referenciando o processo de Pentest
• Plano anual de testes com escopo, responsáveis e datas previstas
• Contrato/Termo de Engajamento com o fornecedor de Pentest (ou time interno)
• Relatório completo do último Pentest (técnico + executivo)
• Plano de Ação Corretiva (PAC) para cada vulnerabilidade identificada
• Evidências de remediação (logs de configuração, patches aplicados, novas versões implantadas)
• Relatório de Reteste confirmando o fechamento das vulnerabilidades
• Registro no sistema de gestão de ativos dos sistemas testados e sua criticidade

Para organizações sujeitas a regulações adicionais como LGPD, PCI DSS ou normativas do Bacen (Resolução CMN 4.893/2021), o Pentest também atende requisitos complementares dessas frameworks, criando sinergias documentais importantes.

Saiba como o Pentest se integra ao programa de Compliance com LGPD e Bacen

Conheça nossa abordagem de Pentest de Aplicações Web baseada em OWASP

Veja como estruturar sua Política de Gestão de Vulnerabilidades para ISO 27001

O Pentest deixou de ser uma iniciativa opcional de equipes de segurança avançadas para se tornar um requisito prático e esperado em qualquer processo de certificação ISO 27001. Ele é o mecanismo que converte políticas e controles documentados em evidências técnicas objetivas , exatamente o que auditores e a própria norma demandam.

Organizações que estruturam um programa contínuo de testes de intrusão , com escopo definido, metodologia documentada, tratamento dos achados e ciclo de melhoria , não apenas sustentam sua certificação com mais segurança, mas constroem uma postura de cibersegurança genuinamente resiliente frente às ameaças reais do ambiente atual.

A pergunta não é mais "precisamos fazer Pentest para a ISO 27001?", mas sim "nosso programa de Pentest está maduro o suficiente para comprovar a efetividade dos nossos controles?".

Leia também:

• Pentest vs Vulnerability Assessment: qual a diferença e quando usar cada um
• Como preparar sua empresa para a auditoria ISO 27001
• Red Team: quando o Pentest convencional já não é suficiente