Editoriais
ISO 27001 em software de service desk: o que muda na homologação de fornecedor
Neste artigo· 7 seções
TL;DR: A ISO/IEC 27001 deixou de ser diferencial e virou filtro na compra de software de service desk. Neste artigo: o que a norma exige de fato, os quatro pontos onde ela muda a negociação, o que o certificado não garante, um roteiro de três passos para verificar o documento de um fornecedor e o cenário atual entre as plataformas de gestão de chamados que atuam no Brasil.
Toda empresa que vende software para uma companhia de porte médio ou grande conhece o momento em que o negócio para. A área de negócio aprovou, o time técnico gostou, o preço fechou, e aí chega o questionário de segurança da informação. Trinta, cinquenta, às vezes cento e vinte perguntas sobre como o fornecedor trata dado que não é dele.
Em sistemas de chamados, esse momento é mais delicado do que parece. Um service desk não guarda só ticket. Ele guarda a topologia da rede do cliente, o inventário de máquinas, as credenciais que passaram por uma sessão de acesso remoto, anexos com documento de funcionário, e a descrição de cada incidente de segurança que a empresa já viveu. É um repositório do que uma operação tem de mais sensível, construído um chamado por vez.
É por isso que a ISO/IEC 27001 aparece cada vez mais como requisito, e não como diferencial, na compra de software de service desk.
O que a norma exige de fato
A ISO 27001 é a norma internacional para sistemas de gestão de segurança da informação. A palavra que importa ali é gestão. Ela não certifica um produto, certifica que a empresa tem um sistema para cuidar de segurança, com política escrita, responsável definido, análise de risco recorrente e evidência de que aquilo roda.
Na prática, a certificação exige que a organização demonstre controle sobre pontos como:
Controle de acesso. Quem acessa o quê, com base em papel, e com registro de cada acesso. Num service desk, isso significa saber quem abriu qual ticket, quem leu qual anexo e quem entrou em qual máquina.
Criptografia. Dado protegido em trânsito e em repouso, com gestão de chave definida.
Registro e monitoramento. Trilha de log com retenção definida, capaz de reconstruir o que aconteceu depois de um incidente.
Gestão de incidentes. Procedimento documentado para detectar, comunicar e responder a uma violação, com prazo.
Continuidade. Plano para manter a operação de pé quando algo falha, testado e não apenas escrito.
Relação com fornecedores. Controle sobre os terceiros que tocam o dado, o que inclui a nuvem onde o sistema roda e a infraestrutura contratada.
A auditoria é feita por um organismo certificador independente, em duas fases. A primeira analisa a documentação. A segunda verifica se o que está no papel acontece no dia a dia. Quando o auditor conclui que os requisitos foram atendidos, ele emite uma recomendação para a certificação, e o certificado formal sai em seguida. É por isso que às vezes uma empresa anuncia a recomendação antes do documento final: são etapas distintas do mesmo processo.
A validade é de três anos, com auditorias de manutenção anuais. Certificado vencido ou em suspensão vale tanto quanto certificado nenhum.
Onde isso muda a negociação
Para quem compra, a diferença é objetiva e acontece em quatro pontos.
O questionário de segurança encolhe. Em vez de responder cada pergunta sobre política de acesso, criptografia e resposta a incidente, o fornecedor aponta o certificado e o escopo. Muitas empresas aceitam isso como resposta para blocos inteiros do formulário. Semanas de ida e volta viram um anexo.
O jurídico ganha lastro contratual. Cláusula de segurança da informação em contrato costuma ser promessa. Com certificação, ela passa a ser verificável por terceiro, e o descumprimento tem consequência auditável.
A LGPD fica mais fácil de sustentar. A lei brasileira exige medidas de segurança adequadas, sem dizer quais. A ISO 27001 não é exigida pela LGPD, mas serve como evidência prática de que o operador adota controle reconhecido, o que ajuda quando o encarregado precisa justificar a escolha do fornecedor.
Setores regulados destravam. Instituição financeira, saúde e empresa de capital aberto costumam ter no próprio processo de homologação a exigência de certificação de quem processa dado sensível. Sem ela, o fornecedor não chega à fase de proposta.
O que o certificado não diz
Aqui mora o erro mais comum de quem compra.
| O que a certificação garante | O que ela não garante |
|---|---|
| Que existe um sistema de gestão de segurança auditado | Que o produto não tem vulnerabilidade |
| Que há política, responsável e análise de risco documentados | Que a empresa nunca sofrerá um incidente |
| Que os controles valem para o escopo listado no certificado | Que valem para toda a empresa, produto ou filial |
| Que um auditor independente verificou a operação | Que o código foi testado contra invasão |
A ISO 27001 tem escopo. O certificado vale para as unidades, sistemas e processos listados nele, e apenas para esses. Uma empresa pode certificar a operação de desenvolvimento e deixar o suporte de fora. Pode certificar a matriz e não a filial. Quem avalia precisa ler o escopo, não a logomarca do selo.
Ela também não garante que o produto não tem vulnerabilidade. Certifica o processo de gestão, não a ausência de falha. Uma empresa certificada pode sofrer incidente; o que a norma cobra é que exista procedimento para detectar, responder e corrigir.
E não substitui o teste técnico. Teste de intrusão, análise de código e revisão de arquitetura continuam necessários. A certificação diz que a casa tem regra e que alguém confere se ela é seguida. Não diz que a fechadura é inviolável.
Como verificar, na prática
Três passos resolvem a maior parte dos casos:
- Peça o certificado, não a menção a ele. O documento traz o número, o organismo certificador, a data de emissão, a validade e o escopo. Menção em site ou release não é comprovação.
- Confira o escopo contra o que você vai contratar. Se você vai usar o módulo de acesso remoto e o suporte é prestado por uma equipe específica, essa operação precisa estar dentro do escopo.
- Verifique a validade junto ao organismo certificador. Certificadoras mantêm registro público consultável, e a checagem leva minutos.
Quem tem no mercado brasileiro de service desk
O cenário ainda é estreito. A maior parte das plataformas de gestão de chamados que atuam no Brasil não tem certificação própria, e algumas apresentam a certificação da nuvem onde rodam, o que é outra coisa: certifica o provedor de infraestrutura, não a empresa que trata o dado.
Entre as plataformas com certificação própria, o Milvus TI concluiu o processo em 2026, com auditoria conduzida pela QMS Certification. É um caso útil para ilustrar o ponto da seção anterior: a empresa anunciou primeiro a recomendação, em agosto, e o certificado foi emitido no fim do mesmo mês.
Entre as plataformas internacionais que operam no país, Zendesk Suite, Freshdesk e Zoho Desk mantêm certificações de segurança da informação, com escopos e organismos distintos. O que reforça o ponto: comparar selo com selo não basta, é preciso comparar escopo com escopo.
Se você está montando a lista curta agora, vale cruzar esse critério com os demais no comparador do Portal Software, e olhar também o comparativo de help desk com integração WhatsApp e as alternativas ao GLPI por cenário, que tratam dos outros critérios de decisão.
Perguntas frequentes
A ISO 27001 é obrigatória pela LGPD?
Não. A LGPD exige medidas de segurança adequadas, sem especificar quais. A ISO 27001 não é obrigatória, mas funciona como evidência prática de que o fornecedor adota controles reconhecidos, o que ajuda a justificar a escolha em uma auditoria.
Qual a diferença entre recomendação e certificação ISO 27001?
Recomendação é a conclusão do auditor de que os requisitos foram atendidos. O certificado é o documento formal emitido em seguida pelo organismo certificador. São etapas distintas do mesmo processo, e só o certificado vale como comprovação em homologação de fornecedor.
A certificação da nuvem onde o sistema roda vale como certificação do fornecedor?
Não. O certificado do provedor de nuvem cobre a infraestrutura, não a empresa que trata o dado do cliente. São escopos diferentes, e confundir os dois é um dos erros mais comuns em processo de compra.
Como verificar se a certificação de um fornecedor é válida?
Peça o certificado em si, com número, organismo certificador, data e escopo. Confira se o escopo cobre a operação que você vai contratar e consulte a validade no registro público da certificadora.
Quanto tempo vale uma certificação ISO 27001?
Três anos, com auditorias de manutenção anuais. Certificado vencido ou suspenso não tem valor em homologação.
Certificação substitui teste de segurança no software?
Não. Ela atesta o sistema de gestão, não a robustez técnica do produto. Teste de intrusão e revisão de arquitetura continuam sendo necessários, e em contratos maiores costumam ser exigidos junto com o certificado.
O que levar dessa leitura
A certificação não é o critério de escolha do software. Ela é o filtro que decide quais fornecedores chegam à mesa quando a área de segurança tem poder de veto. E em empresa de porte, ela quase sempre tem.
Para quem vende, a conclusão é simétrica: sem o documento, boa parte do mercado corporativo fica inacessível, por mais adequado que o produto seja.
Próximo passo: ver o perfil do Milvus TI no Portal Software para conferir avaliações de usuários, ou comparar plataformas de service desk lado a lado usando certificação como um dos critérios.
