A resposta direta
A ISO/IEC 27001:2022 não obriga, com essas palavras, a fazer pentest. Ela exige que a empresa avalie riscos e escolha controles proporcionais. Na prática, para quem tem aplicações expostas à internet, o pentest é a forma mais comum e convincente de provar que alguns desses controles funcionam.
Os controles do Anexo A que mais pedem teste
- 8.8 — Gestão de vulnerabilidades técnicas: obter informação sobre vulnerabilidades, avaliar a exposição e agir.
- 8.29 — Testes de segurança no desenvolvimento e na aceitação: testar a segurança antes de colocar sistemas e mudanças em produção.
- 8.25 a 8.28 — Ciclo de desenvolvimento seguro, requisitos de segurança e codificação segura, que o pentest ajuda a verificar.
- 5.35 — Análise independente da segurança da informação, que um teste externo ajuda a sustentar.
Auditores costumam perguntar "como vocês sabem que isso funciona?". Um relatório de pentest com plano de correção e reteste responde com evidência, não com política escrita.
Como encaixar o pentest no seu SGSI
- 01Registre na avaliação de riscos quais sistemas exigem teste e com que frequência.
- 02Defina o escopo do pentest a partir desses riscos (aplicações, APIs, nuvem, perímetro).
- 03Trate os achados como não conformidades ou riscos, com responsável e prazo.
- 04Guarde o relatório, o plano de ação e o reteste como evidência para a auditoria.
- 05Repita em ciclos (normalmente anual) e após mudanças significativas.
O que a Sovereign Tech entrega
Pentest com escopo alinhado aos seus riscos, relatório executivo e técnico, classificação de severidade, recomendações de correção e reteste. Não somos organismo certificador e não emitimos certificado ISO: entregamos a evidência técnica que o seu processo de certificação usa.
Leia também
Fontes: ISO/IEC 27001:2022 — ISO