Resposta rápida

A ISO 27001 não certifica pessoas: ela certifica o SGSI de uma organização, com escopo declarado, por um organismo acreditado, em auditoria de dois estágios. Para profissionais existem certificações de competência — auditor interno, auditor líder e implementador líder —, emitidas por organismos de certificação de pessoas, cuja referência normativa é a ISO/IEC 17024. Uma não substitui a outra: contratar profissional certificado não deixa a empresa certificada, e certificado de participação em curso não é certificação profissional. Onde as duas se encontram é na auditoria interna, porque a norma exige competência comprovada e imparcialidade de quem audita.

Neste artigo 7 seções
  1. Quem a ISO 27001 certifica
  2. O que existe para pessoas
  3. Certificado de curso não é certificação
  4. Qual delas você precisa
  5. O caso do auditor interno
  6. Como avaliar um curso ou uma certificação
  7. Perguntas frequentes

A resposta curta é que a ISO 27001 não certifica pessoas. Ela certifica o Sistema de Gestão da Segurança da Informação de uma organização. O que existe para profissionais é outra coisa, com outro nome e outro efeito: certificação de competência, emitida por esquemas que avaliam conhecimento e experiência de indivíduos.

Se a sua dúvida é capacitar a equipe do SGSI (conscientização, papéis e competência da cláusula 7.2), o caminho é o treinamento ISO 27001. Se a dúvida é credencial profissional (auditor interno, auditor líder, implementador), continue neste artigo.

A confusão é cara nos dois sentidos. Empresa que contrata um profissional certificado achando que ficou certificada continua sem certificado nenhum. E profissional que faz um curso de dois dias esperando um "certificado ISO 27001" recebe um certificado de participação — que não é a mesma coisa que uma certificação. Este artigo separa o que é cada uma, para você comprar a certa.

Quem a ISO 27001 certifica

O certificado da ISO 27001 é emitido para uma organização, cobre um escopo declarado — processos, unidades, serviços — e é concedido por um organismo de certificação acreditado depois de uma auditoria em dois estágios. Ele vale três anos, com auditorias de manutenção no meio do caminho. É esse documento que um cliente pede quando escreve "fornecedor deve possuir ISO 27001" no contrato ou no edital.

Nada disso é transferível para uma pessoa. Não existe carteira, registro individual ou selo pessoal emitido sob a ISO 27001, e a norma que rege quem pode emitir esse certificado — a ISO/IEC 17021-1, somada à ISO/IEC 27006-1 para o caso do SGSI — trata exclusivamente de certificação de sistemas de gestão. Como funciona o processo inteiro está em certificação ISO 27001: etapas, prazo e custo.

O que existe para pessoas

Para profissionais, o mercado oferece certificações de competência, geralmente com prova e exigência de experiência comprovada. As famílias mais comuns:

  • Auditor interno de SGSI. Formação para conduzir a auditoria interna exigida pela cláusula 9.2 da norma. É a mais procurada por quem já trabalha na empresa que está implantando;
  • Auditor líder (lead auditor). Voltada a quem vai auditar terceiros — em geral, quem trabalha ou pretende trabalhar em organismo certificador. Exige experiência de auditoria registrada para a certificação plena, não só a aprovação na prova;
  • Implementador líder (lead implementer). Voltada a quem vai conduzir a implantação do SGSI dentro de uma organização;
  • Certificações de segurança da informação em geral, que não são da 27001 mas frequentam o mesmo currículo — as de gestão de segurança, risco e privacidade.

Essas certificações são emitidas por organismos de certificação de pessoas e por esquemas de registro de auditores; os mais citados no Brasil são PECB, EXIN, Exemplar Global e o registro do CQI/IRCA. A referência normativa para organismos que certificam pessoas é a ISO/IEC 17024 — quando o esquema é acreditado nela, existe verificação independente do processo de exame. Vale conferir isso antes de pagar, do mesmo jeito que se confere a acreditação de um organismo certificador de empresas.

Certificado de curso não é certificação

A distinção que resolve metade das dúvidas sobre o assunto:

  • Certificado de participação ou de conclusão — comprova que você assistiu a um treinamento. Quem emite é quem deu o curso. Serve, e serve bem, como evidência de competência no seu SGSI;
  • Certificação profissional — comprova que você foi avaliado contra um esquema, quase sempre com exame, às vezes com comprovação de experiência, e com validade e renovação definidas. Quem emite é um organismo de certificação de pessoas, independente de quem treinou.

As duas são legítimas e custam preços muito diferentes. O que não é legítimo é vender a primeira com o nome da segunda — anúncio de "certificação ISO 27001 em 8 horas, com certificado internacional" costuma ser um curso com certificado de participação.

Olívia, especialista Templum
Quer isso avaliado na sua empresa?

Diagnóstico gratuito do seu SGSI: onde estão as lacunas de controle, antes de o auditor apontar.

Falar com a Olívia

Qual delas você precisa

Três cenários cobrem quase todos os casos:

"Um cliente exigiu ISO 27001 da minha empresa." O que resolve é a certificação da organização. Certificação de pessoa não substitui, não acelera a auditoria e não aparece no contrato. O caminho está em como implementar a ISO 27001.

"Quero trabalhar com segurança da informação ou governança." Aí sim a certificação de pessoa é o instrumento — e a escolha entre auditor e implementador depende de onde você quer atuar: auditar terceiros ou construir o sistema dentro das empresas.

"Preciso montar a auditoria interna do nosso SGSI." O que a norma exige é competência e imparcialidade, não um certificado específico. Formação de auditor interno é o caminho mais rápido de comprovar a primeira; a segunda depende de quem você escolhe para auditar o quê.

O caso do auditor interno

Este é o ponto onde a certificação de pessoas realmente encosta na certificação da empresa. A cláusula 9.2 exige auditorias internas, e a 7.2 exige que a empresa determine e comprove a competência de quem faz trabalho que afeta o desempenho do SGSI. Traduzindo: você precisa de alguém capaz de auditar segurança da informação, e precisa de evidência dessa capacidade — formação, experiência ou ambas.

Duas restrições que costumam pegar as empresas de surpresa:

  • Ninguém audita o próprio trabalho. Em equipe pequena, onde a mesma pessoa implantou quase tudo, a saída é cruzar auditores entre áreas ou contratar um auditor externo para conduzir a auditoria interna — o que é permitido e comum;
  • Quem certifica não pode consultar. O organismo que vai emitir o seu certificado não pode prestar consultoria nem fazer a sua auditoria interna. Pacote de "consultoria e certificação juntas" entrega um certificado que o mercado não aceita.

Como conduzir essa auditoria, com o que o auditor externo confere depois, está em auditoria ISO 27001: interna, de certificação e o que o auditor pede.

Como avaliar um curso ou uma certificação

  • Versão da norma. Precisa ser a ISO/IEC 27001:2022, com os 93 controles do Anexo A em quatro temas, e considerar a Emenda 1:2024. Material que ainda ensina os 114 controles da edição de 2013 está desatualizado — a validade daquela edição terminou em outubro de 2025;
  • O que você recebe. Certificado de participação ou certificação com exame? Qual organismo emite? Há acreditação ISO/IEC 17024 no esquema?
  • Validade e renovação. Certificação de pessoa costuma ter prazo e exigir recertificação ou registro de atividade;
  • Exigência de experiência. Em esquemas de auditor líder, aprovação na prova é uma etapa; o registro pleno pede auditorias realizadas;
  • Prática, não só teoria. Curso que não faz você escrever um achado, redigir uma não conformidade e conduzir uma entrevista não prepara para auditar de verdade.

E uma checagem final de expectativa: nenhuma certificação individual coloca o nome da sua empresa no diretório de um organismo acreditado. Se é isso que o cliente pediu, o projeto é outro — e ele começa pelo escopo do SGSI.

Leia mais

Perguntas frequentes

Existe certificação ISO 27001 para pessoas?

Não da forma como se imagina. A ISO 27001 certifica o sistema de gestão de uma organização, com escopo declarado, por um organismo acreditado. Para pessoas existem certificações de competência — auditor interno, auditor líder, implementador líder — emitidas por organismos de certificação de pessoas e esquemas de registro de auditores. São documentos diferentes, com efeitos diferentes.

Se eu contratar um profissional certificado, minha empresa fica certificada?

Não. A certificação da empresa só é obtida com auditoria de um organismo certificador acreditado sobre o SGSI implantado. Um profissional certificado acelera e qualifica o projeto — e serve como evidência de competência dentro do sistema —, mas não emite nem substitui o certificado da organização.

Qual a diferença entre certificado de curso e certificação profissional?

O certificado de participação comprova que você fez o treinamento e é emitido por quem deu o curso; ele serve como evidência de competência no SGSI. A certificação profissional comprova que você foi avaliado contra um esquema, quase sempre com exame e às vezes com comprovação de experiência, e é emitida por um organismo independente de quem treinou, com validade e renovação. Anúncio de "certificação internacional em 8 horas" costuma ser a primeira vendida com o nome da segunda.

Preciso ser certificado para fazer a auditoria interna da ISO 27001?

A norma não exige um certificado específico: exige competência determinada e comprovada (7.2) e imparcialidade (9.2). Formação de auditor interno é o caminho mais rápido de comprovar a competência. A imparcialidade é a restrição que mais pega equipes pequenas: ninguém audita o próprio trabalho, então ou se cruzam auditores entre áreas ou se contrata um auditor externo para conduzir a auditoria interna.

Qual certificação de ISO 27001 escolher para a minha carreira?

Depende de onde você quer atuar. Auditor líder faz sentido para quem vai auditar terceiros, em geral trabalhando com organismos certificadores, e costuma exigir auditorias registradas para o reconhecimento pleno. Implementador líder é para quem vai construir o SGSI dentro das organizações. Auditor interno é o suficiente para quem vai conduzir a auditoria exigida pela cláusula 9.2 na própria empresa.

O curso precisa ser da versão 2022 da norma?

Precisa. A versão vigente é a ISO/IEC 27001:2022, com 93 controles do Anexo A organizados em quatro temas, mais a Emenda 1:2024 sobre mudanças climáticas no contexto. Material que ainda ensina os 114 controles e as 14 seções da edição de 2013 está desatualizado — a validade daquela edição se encerrou em outubro de 2025.

Treinamento ISO 27001 e certificação para pessoas são a mesma coisa?

Não. Treinamento desenvolve competência da equipe no SGSI (política, papéis, controles, evidência). Certificação de pessoas é credencial profissional emitida por organismo de pessoas (em geral com exame), distinta do certificado da empresa. Detalhe do treinamento em treinamento ISO 27001.

Webinar gratuito: Requisitos para Produtos e Serviços, quarta 21/10, às 16h Webinar gratuito · ao vivoRequisitos para Produtos e ServiçosQuarta, 21/10, às 16h (Brasília)Quero minha vaga

Pronto para certificar sua empresa?

Fale com um especialista da Templum e receba um diagnóstico gratuito — com garantia de 200%.

Falar com um especialista