ISO/IEC 27701 Gestão de informações de privacidade
A extensão de privacidade do seu SGSI: deveres de controlador e operador, correspondência com o GDPR e a DPDP Act.
Auditor Líder ISO/IEC 27001
Cinco dias para sair da leitura da norma e chegar à condução da auditoria: planejar o escopo, amostrar evidências, redigir não conformidades que se sustentam e conduzir uma reunião de encerramento em que ninguém concorda com você.
Visão geral do programa
A ISO/IEC 27001 é a norma internacional do sistema de gestão de segurança da informação. Auditar um deles é um ofício próprio: a norma diz o que precisa existir, não como descobrir se aquilo existe de fato. Este programa ensina a segunda parte.
Ao longo de cinco dias você percorre um ciclo completo de auditoria contra a ISO/IEC 27001:2022 e o conjunto de controles do Anexo A, tendo como moldura as diretrizes de auditoria da ISO 19011 e os requisitos de certificação da ISO/IEC 17021-1. Você vai planejar uma auditoria a partir de uma declaração de escopo real, montar um checklist que não pareça um questionário, entrevistar um auditado difícil, amostrar evidências, classificar o que encontrar e defender suas conclusões.
Por que fazer este treinamento
A maioria chega sabendo citar o requisito 6.1.2 e sem saber dizer se a avaliação de riscos à sua frente é genuína ou foi montada de trás para frente na semana anterior à auditoria. É essa lacuna que faz auditorias passarem sem atrito e que deixa uma organização ser comprometida mesmo com um certificado válido.
- Conduzido por profissionais com experiência real de auditoria e implementação
- Cerca de metade do tempo é oficina: documentos, entrevistas, constatações, relatórios
- Turmas pequenas, para que cada participante escreva constatações e receba correção
- Baseado na edição de 2022: 93 controles do Anexo A, quatro temas, a tabela de atributos
Resultados de aprendizagem
Ao final do programa você será capaz de:
- Explicar a intenção de cada requisito, do 4 ao 10, e que evidência o atende
- Julgar se a declaração de escopo, a SoA e o plano de tratamento de riscos são coerentes entre si
- Planejar uma auditoria de Estágio 1 e Estágio 2, formar a equipe auditora e definir uma amostra defensável
- Conduzir entrevistas que produzam evidência em vez de concordância
- Escrever uma não conformidade separando com clareza requisito, evidência e enunciado
- Distinguir maior de menor com critério consistente e justificar a decisão
- Avaliar a análise de causa raiz e a ação corretiva, e decidir quando encerrar uma constatação
Para quem é
- Auditores internos assumindo responsabilidade de auditor líder
- Gestores de segurança da informação e de GRC
- Consultores que assessoram implantações de SGSI
- Líderes de TI e engenharia responsáveis pelos controles
- Quem se prepara para integrar a equipe auditora de um organismo de certificação
Pré-requisitos
Não há exigência formal de ingresso, mas o ritmo pressupõe que você chegue com:
- Compreensão prática dos conceitos de segurança da informação
- Familiaridade com a estrutura das normas ISO de sistemas de gestão
- Idealmente, contato prévio com a ISO/IEC 27001 em nível de fundamentos ou implementador
Se estiver em dúvida, conte seu histórico no formulário de contato e daremos uma resposta honesta.
Estrutura do programa
Dia 1: a norma, para valer
Anatomia de um sistema de gestão, requisitos 4 a 10, os temas e atributos do Anexo A e como a Declaração de Aplicabilidade deveria ser derivada.
Dia 2: risco, controles e evidência
Avaliação e tratamento de riscos na prática; o que significa “informação documentada”; ler uma SoA contra um plano de tratamento de riscos e enxergar as emendas.
Dia 3: planejar a auditoria
Princípios da ISO 19011, programa de auditoria versus plano de auditoria, Estágio 1 e Estágio 2, papéis na equipe, amostragem, desenho do checklist. Primeira oficina completa.
Dia 4: conduzir a auditoria
Reunião de abertura, técnica de entrevista, trilhas de evidência, disciplina de anotação, redação e classificação de não conformidades, lidar com resistência. Simulações o dia todo.
Dia 5: relatório, encerramento e avaliação
Reunião de encerramento, relatório de auditoria, análise da ação corretiva, acompanhamento e decisões de encerramento. Avaliação escrita e retorno individual.
Próximas turmas
| Datas | Formato | Horário | Situação |
|---|---|---|---|
| A ser anunciado | Ao vivo pela internet | Horário da Índia, dias úteis | Inscrições abertas |
| A ser anunciado | Ao vivo pela internet | Horário da Índia, fim de semana | Lista de espera |
| A ser anunciado | Pune, presencial | Horário da Índia, dias úteis | Lista de espera |
As datas são confirmadas quando a turma atinge a matrícula mínima. Entre na lista de espera e você fica sabendo primeiro.
Informações sobre o certificado
Quem conclui o programa e é aprovado na avaliação escrita recebe um certificado ZULTIV de conclusão com aproveitamento, indicando a norma, o conteúdo coberto e a carga horária. Quem participa sem fazer a avaliação recebe certificado de participação.
Leia isto com atenção: a ZULTIV é um provedor de treinamento e asseguração. Não somos um organismo de certificação acreditado, não emitimos certificados ISO para organizações nem concedemos credenciais pessoais em nome de qualquer proprietário de esquema. Se você precisa de uma credencial de auditor líder concedida externamente, diga isso no formulário e explicaremos quais bancas concedem e como é o caminho, inclusive quando a resposta honesta for que você não precisa de uma.
Seu instrutor
Conduzido por um auditor líder em atividade
Todo programa de auditor líder da ZULTIV é conduzido por alguém que audita para viver, não por um instrutor em tempo integral trabalhando a partir de um conjunto de slides. Por isso os exemplos são atuais, os relatos são de primeira mão e a resposta para “o que você faria aqui na prática?” é uma resposta de verdade.
O perfil completo do instrutor e suas credenciais são compartilhados com os participantes confirmados antes da turma, e ficam disponíveis mediante solicitação.
Perguntas frequentes
Os dois primeiros dias firmam a norma e a estrutura de auditoria; do terceiro ao quinto predomina a oficina. Você vai planejar pessoalmente uma auditoria, conduzir trechos de entrevista, escrever constatações e apresentar uma reunião de encerramento.
É uma avaliação de verdade, não uma formalidade: é baseada em cenários e pede que você escreva e classifique constatações em vez de lembrar números de requisito. Quem participa das oficinas ao longo da semana costuma passar com folga.
A ISO/IEC 27001 tem direitos autorais e precisa ser comprada da ISO ou de um organismo nacional de normalização: não podemos distribuí-la. Recomendamos ter seu próprio exemplar e dizemos exatamente qual edição e quais documentos complementares valem o dinheiro.
Avise o quanto antes. Dependendo do dia, marcamos uma sessão de reposição antes do módulo seguinte ou transferimos você para a turma seguinte sem custo adicional. Os dias de oficina são difíceis de repor isoladamente.
Sim, e costuma ser a melhor opção acima de umas oito pessoas, porque conseguimos remontar o material de oficina em torno do seu próprio escopo, da sua SoA e do seu conjunto de controles. Veja Treinamento in-company.
Consultar agora
Tire suas dúvidas sobre este programa
Conte de onde você está partindo. Retornamos com datas, valores e uma resposta direta sobre se este é o treinamento certo para você.
Relacionados
Programas que as pessoas fazem junto com este
Auditor Líder ISO/IEC 42001
Audite um sistema de gestão de IA, a norma sobre a qual os conselhos começaram a perguntar em 2024.
Auditoria interna ISO/IEC 27001
Prefere que a gente conduza a auditoria em vez de ensinar você a conduzir? Esse é o nosso lado de asseguração.