Leia a linha de scope, como verificar as alegações ISO de um fornecedor

Quase todos os fornecedores de hosting mostram algures no seu website uma fila de logótipos de certificações. O seu auditor não aceita um logótipo, e a sua empresa também não deveria. Um certificado é um documento preciso, e os detalhes decidem se cobre o serviço que está realmente a comprar. É isto que se lê, por esta ordem, e é isto que se pergunta quando falta alguma coisa.

Comece pela declaração de scope

Um certificado de sistema de gestão ISO certifica um scope definido, e esse scope está impresso no certificado. Pode cobrir toda a empresa, um site ou um serviço. Um fornecedor certificado para «desenvolvimento de software» na sua sede não lhe disse nada sobre o datacenter onde os seus servidores correm.

Leia primeiro a linha de scope e compare-a com o contrato que vai assinar. A pergunta é simples: o serviço que compro, no local que utilizo, cabe dentro destas palavras? Se a resposta não for clara, peça ao fornecedor que o confirme por escrito.

Os nossos quatro certificados têm um só scope: «Managed datacenter hosting service». É esse o serviço que os nossos clientes compram.

Verifique quem o emitiu, e quem o acreditou

Um certificado vale tanto quanto a entidade que o emitiu. Os organismos de certificação são, por sua vez, acreditados por um organismo nacional de acreditação, e esses são membros do International Accreditation Forum. Verifique os dois elos da cadeia:

• O certificado nomeia o organismo de certificação. Esse organismo está acreditado para esta norma?
• O organismo de acreditação é nomeado, normalmente com a sua marca no certificado. É um organismo nacional de acreditação reconhecido?

Muitos certificados acreditados podem ser verificados de forma independente no IAF CertSearch, a base de dados internacional de certificações acreditadas. Um fornecedor deve também estar disposto a enviar-lhe, a pedido, o próprio certificado de acreditação do organismo de certificação. Os nossos foram emitidos pela RIGCERT, acreditada pelo ESYD, o Sistema Helénico de Acreditação, e incluímos os certificados de acreditação em todos os pacotes de evidências.

Veja as datas

Os certificados são emitidos por um ciclo, normalmente três anos, com auditorias de acompanhamento todos os anos pelo meio. Verifique a data de emissão, a data de validade e, se conseguir, a data da última auditoria de acompanhamento.

Saiba o que cada norma cobre

Os números importam, porque certificam coisas diferentes:

• ISO/IEC 27001 é a gestão da segurança da informação, o núcleo do que a maioria dos auditores pergunta.
• ISO/IEC 27017 acrescenta controlos de segurança específicos para serviços cloud.
• ISO/IEC 27018 acrescenta controlos para a proteção de dados pessoais em serviços cloud, diretamente relevante para conversas sobre o RGPD.
• ISO 9001 é a gestão da qualidade: processos documentados e repetíveis.
• ISO 14001 é a gestão ambiental.
• ISO 37001 é a gestão antissuborno.

Para a ISO/IEC 27001 há mais um documento que vale a pena pedir: a Declaração de Aplicabilidade. Lista os controlos do anexo da norma e indica quais são aplicados e quais são excluídos, com justificação. As exclusões são normais, mas uma exclusão que toque o seu caso de utilização é algo a discutir.

Onde estamos nós

A EuroVPS detém a ISO/IEC 27001 com a ISO/IEC 27017 e 27018, a ISO 9001, a ISO 14001 e a ISO 37001, emitidas em setembro de 2026. Os operadores dos nossos datacenters detêm os seus próprios relatórios de auditoria e atestações independentes, disponíveis sob NDA.

Quando o auditor ou a equipa de concurso de um cliente precisa de provas, montamos um pacote: um índice, uma declaração assinada de serviços, localizações, certificações, scope e controlos principais, os nossos certificados com os certificados de acreditação por trás deles, os documentos de garantia do operador do datacenter e uma nota de apresentação. O nosso objetivo é entregá-lo no prazo de um dia.

Perguntas a fazer ao seu fornecedor

• O que diz exatamente o scope do certificado, e o meu serviço cabe dentro dele?
• Que organismo o emitiu, e quem acreditou esse organismo?
• Quando foi a última auditoria de acompanhamento?
• Posso ver a Declaração de Aplicabilidade?

Se o seu auditor pediu provas e as quer num só pacote, teremos todo o gosto em ajudar. Fale com um engenheiro

Related

• /what-we-do/operations/certifications/
• /what-we-do/operations/gdpr/
• /what-we-do/operations/hardening-baseline/