Prompts para preparação de auditoria ISO 27001

Visão geral

Você encontrará prompts comprovados para se preparar para a certificação ISO 27001 e auditorias de vigilância usando o ISMS Copilot, desde a realização de análises de lacunas e coleta de evidências até a geração de documentação pronta para auditoria e o tratamento de perguntas dos auditores com confiança.

Para quem é este conteúdo

Estes prompts são projetados para:

• Organizações que se preparam para sua primeira auditoria de certificação ISO 27001
• Equipes de segurança que realizam avaliações de prontidão pré-auditoria
• Gestores de conformidade que se preparam para auditorias de vigilância ou recertificação
• Consultores que apoiam clientes durante o processo de auditoria

Antes de começar

Prompts de análise de lacunas

Realizar análise de lacunas abrangente da ISO 27001

"Realize uma análise de lacunas abrangente do nosso programa atual de segurança da informação em relação aos requisitos da ISO 27001:2022. Para cada cláusula (4-10) e cada um dos 93 controles do Anexo A: avalie nosso estado atual (Totalmente Implementado, Parcialmente Implementado, Não Implementado, Não Aplicável), identifique lacunas ou fraquezas específicas, avalie a disponibilidade de evidências para auditoria, classifique a gravidade da lacuna (Crítica, Alta, Média, Baixa), estime o esforço para fechar a lacuna (horas/dias), recomende ações de remediação e atribua prioridade. Apresente como um relatório de análise de lacunas com resumo executivo."

Analisar a completude da documentação

"Revise nossa documentação da ISO 27001 quanto à completude e prontidão para auditoria. Verifique: Temos todas as informações documentadas obrigatórias exigidas pelas Cláusulas 4-10? Nossa avaliação de riscos atende aos requisitos da Cláusula 6.1.2? Nossa Declaração de Aplicabilidade está completa e justificada? As políticas fazem referência às cláusulas ISO apropriadas? Os procedimentos são detalhados o suficiente para demonstrar implementação? O controle de versão e a aprovação estão documentados? Há lacunas em nosso inventário de documentos? Crie uma lista de verificação de documentação com status e lacunas."

Avaliar evidências de implementação de controles

"Para cada controle do Anexo A marcado como 'Implementado' em nossa Declaração de Aplicabilidade, identifique quais evidências os auditores solicitarão para verificar a implementação. Para o controle [número e nome do controle]: liste os tipos de evidências necessários (políticas, procedimentos, logs, capturas de tela, relatórios, registros), indique onde a evidência existe (sistema, localização, responsável), sinalize lacunas de evidências que requerem criação, avalie a qualidade da evidência (completa, parcial, fraca) e recomende evidências adicionais para fortalecer a demonstração de conformidade."

Avaliar o nível de maturidade do ISMS

"Avalie a maturidade do nosso ISMS em relação aos requisitos da ISO 27001 usando um modelo de maturidade de 5 níveis: Nível 1 (Inicial/Ad-hoc), Nível 2 (Gerenciado), Nível 3 (Definido), Nível 4 (Gerenciado Quantitativamente), Nível 5 (Otimizado). Para cada área principal (gestão de riscos, controle de acesso, resposta a incidentes, gestão de mudanças, continuidade de negócios, gestão de fornecedores): classifique a maturidade atual com justificativa, identifique oportunidades de melhoria para alcançar o próximo nível e recomende ações prioritárias para prontidão de auditoria."

Prompts de coleta de evidências

Criar lista de verificação de coleta de evidências

"Gere uma lista de verificação abrangente de coleta de evidências para a auditoria de certificação ISO 27001:2022. Organize pelo número do controle do Anexo A e, para cada controle, inclua: tipo de evidência (documento, log, captura de tela, configuração, relatório), descrição da evidência, responsável pela coleta, localização da evidência (sistema/pasta), prazo de coleta (semanas antes da auditoria) e status de verificação. Priorize evidências para controles de alto risco e áreas comumente auditadas (controle de acesso, resposta a incidentes, backups)."

Documentar implementação de controles

"Crie um pacote de evidências de implementação para o controle do Anexo A [número e nome do controle]. Inclua: descrição escrita de como implementamos o controle, referências a políticas e procedimentos, detalhes técnicos de implementação (configurações, ferramentas, fluxos de trabalho), artefatos de evidência (amostras de logs, capturas de tela, relatórios), resultados de testes do controle, responsável pelo controle e suas responsabilidades, cronograma de implementação e limitações ou exceções conhecidas com controles compensatórios."

Exemplo: "Crie um pacote de evidências de implementação para o controle do Anexo A A.8.5 Autenticação segura. Documente nossa implementação do Azure AD com MFA, políticas de senha, gestão de acesso privilegiado e rotação de contas de serviço."

Preparar evidências de controle de acesso

"Compile evidências que demonstrem a implementação do nosso programa de controle de acesso para os controles ISO 27001 A.5.15-A.5.18. Inclua: procedimentos de provisionamento de acesso de usuários e registros de aprovação de amostra, evidências de revisão de acesso (últimas 3 revisões com resultados), inventário de acesso privilegiado e processo de gestão, política de autenticação e estatísticas de inscrição no MFA, capturas de tela da configuração da política de senha, registros de desprovisionamento de contas das últimas 10 rescisões, incidentes de violação de acesso e remediação, e matriz de controle de acesso baseado em funções."

Documentar capacidade de resposta a incidentes

"Prepare um pacote de evidências para os controles de resposta a incidentes A.5.24-A.5.28. Inclua: plano e procedimentos de resposta a incidentes, estrutura da equipe de resposta a incidentes e informações de contato, log de incidentes dos últimos 12 meses (anonimizado, se necessário), registros de incidentes de amostra mostrando o fluxo de trabalho de resposta, definições de categorização e gravidade de incidentes, evidências de testes ou exercícios de mesa de resposta a incidentes, relatórios de revisão pós-incidente e métricas de incidentes de segurança reportadas à gestão."

Coletar evidências de backup e recuperação

"Compile evidências de backup e recuperação para o controle A.8.13. Inclua: política e procedimentos de backup, cronograma e escopo de backup (quais sistemas/dados), logs de sucesso/fracasso de backup dos últimos 30 dias, locais de armazenamento de backup e medidas de segurança, resultados de testes de restauração de backup (teste mais recente), objetivos de tempo de recuperação e ponto de recuperação por sistema, verificação de criptografia de backup e configurações de monitoramento e alerta de backup."

Prompts de auditoria interna

Desenvolver plano de auditoria interna

"Crie um plano de auditoria interna para conformidade com a ISO 27001:2022, cobrindo todas as cláusulas e controles aplicáveis do Anexo A. Inclua: objetivos e escopo da auditoria, cronograma de auditoria ao longo de 12 meses (quais controles/áreas a cada trimestre), critérios de auditoria (requisitos da ISO 27001:2022), atribuições de auditores garantindo independência, metodologia de auditoria (entrevistas, revisão de documentos, testes técnicos), tempo estimado por área de auditoria e revisão da gestão do plano de auditoria. Priorize áreas de alto risco e controles com evidências fracas."

Gerar lista de verificação de auditoria interna

"Crie uma lista de verificação detalhada de auditoria interna para [área específica, por exemplo, 'controle de acesso' ou 'gestão de incidentes']. Para cada requisito relevante da ISO 27001:2022: liste o requisito específico, crie perguntas de auditoria para avaliar a conformidade, identifique documentos a serem revisados, especifique evidências a serem examinadas, inclua procedimentos de teste de amostra (por exemplo, 'selecione 10 contas de usuário e verifique a aprovação de acesso'), defina critérios de aprovação/reprovação e forneça espaço para constatações e observações."

Exemplo: "Crie uma lista de verificação detalhada de auditoria interna para controle de acesso cobrindo os controles ISO 27001:2022 A.5.15-A.5.18. Inclua perguntas sobre provisionamento de usuários, revisões de acesso, MFA, acesso privilegiado e desprovisionamento."

Documentar constatações e ações corretivas da auditoria

"Documente esta constatação de auditoria interna: [descreva a constatação]. Crie um relatório de não conformidade incluindo: descrição da constatação e evidências, qual requisito da ISO 27001 não foi atendido, impacto e risco da não conformidade, classificação de gravidade (maior, menor, observação), análise de causa raiz, plano de ação corretiva proposto com etapas específicas, responsável pela remediação, data-alvo de conclusão e método de verificação. Formate para apresentação à gestão e auditores externos."

Realizar preparação para auditoria simulada

"Projete um cenário de auditoria simulada para preparar nossa equipe para a auditoria de certificação. Inclua: agenda da auditoria simulada (dia 1: reunião de abertura, revisão de documentos, entrevistas; dia 2: verificação técnica, inspeção no local, reunião de encerramento), perguntas de amostra do auditor para cada área principal do ISMS, documentos que os auditores solicitarão para revisão, sistemas que eles desejarão ver, pessoal que será entrevistado (funções e preparação necessária) e critérios de avaliação para avaliar nossa prontidão com base nos resultados da auditoria simulada."

Prompts de preparação para respostas à auditoria

Preparar-se para perguntas comuns dos auditores

"Gere uma lista de perguntas comuns que os auditores da ISO 27001 fazem sobre [área específica, por exemplo, 'metodologia de avaliação de riscos' ou 'resposta a incidentes']. Para cada pergunta, forneça: a pergunta que os auditores normalmente fazem, o que eles realmente estão avaliando (preocupação subjacente), estrutura de resposta recomendada, evidências a serem referenciadas na resposta e sinais de alerta a serem evitados nas respostas. Cubra tanto perguntas de revisão de gestão quanto de implementação técnica."

Criar guia de preparação para entrevistas com auditores

"Crie um guia de preparação para entrevistas para o pessoal que será entrevistado durante a auditoria ISO 27001. Para funções incluindo [listar funções: CISO, gerente de TI, desenvolvedores, RH, etc.], forneça: visão geral do que os auditores perguntarão a eles, suas responsabilidades no ISMS, controles que possuem ou operam, evidências com as quais devem estar familiarizados, perguntas de amostra que podem receber, o que fazer e o que não fazer durante as entrevistas, processo de escalonamento se não souberem uma resposta e dicas de gerenciamento de estresse."

Desenvolver apresentação para reunião de abertura

"Crie uma apresentação para a reunião de abertura da auditoria ISO 27001. Inclua slides cobrindo: visão geral da empresa e contexto de negócios, escopo e limites do ISMS, estrutura organizacional e governança de segurança, visão geral da abordagem de avaliação de riscos e principais constatações, destaques e conquistas da implementação de controles, mudanças significativas desde a última auditoria (se for de vigilância), logística da auditoria (cronograma, participantes, instalações) e perguntas/esclarecimentos. Objetivo: apresentação de 20 minutos."

Preparar estratégia de resposta para reunião de encerramento

"Desenvolva uma estratégia de resposta para a reunião de encerramento da auditoria, onde as constatações serão apresentadas. Inclua: como receber e documentar as constatações profissionalmente, perguntas a fazer para esclarecer as constatações, como contestar constatações com as quais discordamos (de forma respeitosa), processo inicial de planejamento de ações corretivas, estratégias de negociação de prazos para remediação, declarações de compromisso da gestão a serem fornecidas, modelo de plano de ação pós-auditoria e protocolo de comunicação de acompanhamento com os auditores."

Prompts de preparação de evidências técnicas

Preparar evidências de configuração de sistemas

"Crie um pacote de evidências técnicas demonstrando configuração segura para [nome do sistema]. Inclua: padrão de endurecimento aplicado, capturas de tela de configuração das definições de segurança (autenticação, criptografia, registro, controle de acesso), desvios da linha de base com justificativa, resultados de varredura de vulnerabilidades mostrando ausência de achados críticos/altos, relatório de conformidade de patches, cobertura de monitoramento de segurança e registros de controle de mudanças para alterações relevantes à segurança."

Documentar evidências de registro e monitoramento

"Compile evidências de registro e monitoramento para os controles ISO 27001 A.8.15-A.8.16. Inclua: inventário de sistemas com registro habilitado, tipos de logs coletados (autenticação, acesso, mudanças, eventos de segurança), períodos de retenção de logs por tipo, medidas de proteção de logs (integridade, controle de acesso), configurações de ferramentas de SIEM ou análise de logs, procedimentos e frequência de revisão de logs, relatórios de amostra de revisão de logs, regras de alerta de eventos de segurança e exemplos de investigação de incidentes usando logs."

Preparar evidências de gestão de vulnerabilidades

"Reúna evidências de gestão de vulnerabilidades para o controle A.8.8. Inclua: cronograma e cobertura de varredura de vulnerabilidades (quais sistemas, com que frequência), resultados da varredura de vulnerabilidades mais recente com distribuição de severidade, prazos de remediação para vulnerabilidades críticas e altas, procedimentos de gestão de patches e SLAs, painel ou relatório de conformidade de patches, exceções de vulnerabilidades com controles compensatórios, processo de divulgação de vulnerabilidades por terceiros e tendência de métricas de vulnerabilidades nos últimos 6 meses."

Documentar implementação de criptografia

"Crie um pacote de evidências para os controles criptográficos A.8.24. Documente: criptografia de dados em repouso (quais sistemas, métodos de criptografia, gestão de chaves), criptografia de dados em trânsito (configurações de TLS, conjuntos de cifras, gestão de certificados), criptografia para backups e arquivos, status de criptografia de dispositivos móveis e laptops, procedimentos de gestão de chaves criptográficas, padrões de algoritmos criptográficos, exceções de criptografia com aceitação de risco e resultados de testes de verificação de criptografia."

Prompts de evidências do sistema de gestão

Preparar evidências de revisão pela gestão

"Compile evidências para reuniões de revisão pela gestão conforme a Cláusula 9.3 da ISO 27001. Inclua: atas de reuniões de revisão pela gestão dos últimos 12 meses, pauta cobrindo todas as entradas obrigatórias (resultados de auditorias, mudanças de risco, incidentes, métricas de desempenho, oportunidades de melhoria), relatórios de métricas e KPIs de segurança apresentados, decisões e ações tomadas pela gestão, decisões de alocação de recursos, avaliação da eficácia do ISMS, iniciativas estratégicas de segurança aprovadas e evidências de compromisso e liderança da gestão."

Documentar métricas de desempenho do ISMS

"Crie um painel de monitoramento de desempenho para a eficácia do ISMS conforme a Cláusula 9.1. Inclua métricas para: tendências de incidentes de segurança (volume, severidade, tempo de resolução), gestão de vulnerabilidades (frequência de varredura, tempo de remediação, backlog), controle de acesso (tempo de provisionamento, conclusão de revisões, violações), conscientização de segurança (conclusão de treinamentos, resultados de testes de phishing), taxas de sucesso de backups, taxas de conformidade com políticas, taxas de fechamento de constatações de auditoria e progresso do tratamento de riscos. Mostre dados dos últimos 12 meses com análise de tendências."

Preparar evidências de melhoria contínua

"Documente atividades de melhoria contínua conforme a Cláusula 10. Inclua: ações corretivas de auditorias anteriores (constatações e resolução), ações preventivas tomadas para abordar possíveis problemas, iniciativas de melhoria do ISMS implementadas, lições aprendidas com incidentes de segurança, mudanças na metodologia ou escopo de avaliação de riscos, atualizações de políticas e procedimentos e sua justificativa, feedback dos funcionários sobre a eficácia do ISMS e oportunidades de melhoria identificadas para o próximo período."

Compilar evidências de treinamento e conscientização

"Reúna evidências de conscientização de segurança para o controle A.6.3. Inclua: descrição do programa de treinamento de conscientização de segurança, currículo e materiais de treinamento, registros e estatísticas de conclusão de treinamentos, processo de orientação de segurança para novos contratados, treinamento baseado em funções (usuários privilegiados, desenvolvedores, gestores), resultados de simulações de phishing e tendências de melhoria, comunicações de segurança enviadas aos funcionários, materiais de campanhas de conscientização de segurança, medição de eficácia do treinamento e treinamento corretivo para funcionários não conformes."

Prompts de evidências de fornecedores e terceiros

Preparar evidências de gestão de fornecedores

"Compile evidências de gestão de terceiros para os controles A.5.19-A.5.23. Inclua: inventário de fornecedores e categorização de risco, processo de avaliação de segurança de fornecedores e questionário, requisitos de segurança em contratos com fornecedores (contratos de amostra), evidências de due diligence de fornecedores (relatórios SOC 2, certificados ISO, avaliações), controles e monitoramento de acesso de fornecedores, revisões de desempenho de fornecedores e verificação de conformidade, procedimentos de resposta a incidentes com fornecedores e lista de verificação de desativação de fornecedores."

Documentar requisitos de segurança de fornecedores

"Crie um modelo mostrando como incorporamos requisitos de segurança da informação em contratos com fornecedores conforme o controle A.5.20. Inclua: cláusulas padrão de segurança (proteção de dados, controle de acesso, notificação de incidentes, direitos de auditoria, conformidade, confidencialidade), acordos de nível de serviço para segurança (tempos de resposta, disponibilidade, prazos de notificação de violação), termos de acordo de processamento de dados (conformidade com GDPR), requisitos de aprovação de subcontratados, disposições de rescisão e devolução de dados e responsabilidade e indenização por falhas de segurança."

Cenários de auditoria especializados

Preparar-se para considerações de auditoria remota/nuvem

"Prepare-se para a auditoria ISO 27001 da nossa infraestrutura baseada em nuvem no [provedor de nuvem]. Aborde: como demonstrar controles de segurança em nuvem (modelo de responsabilidade compartilhada), evidências do provedor de nuvem (SOC 2, ISO 27001, documentação de recursos de segurança), nossa configuração e gestão da segurança em nuvem (IAM, criptografia, registro, monitoramento), demonstração de localização e soberania de dados, controles de acesso e gestão de acesso privilegiado em nuvem, resposta a incidentes específica para nuvem, backup e recuperação de desastres em nuvem e compartilhamento de tela ou acesso remoto para revisão de consoles em nuvem pelos auditores."

Preparar-se para auditoria de ambiente de trabalho remoto

"Prepare evidências para a auditoria ISO 27001 considerando nossa força de trabalho remota em [porcentagem]. Aborde: segurança de acesso remoto (VPN, zero trust, MFA), proteção de endpoints para dispositivos remotos (EDR, criptografia, gestão de patches), ferramentas seguras de colaboração e compartilhamento de dados, orientações de segurança de rede doméstica, segurança física de locais de trabalho remoto, treinamento e conscientização de funcionários remotos, monitoramento de acesso remoto e atividades, resposta a incidentes para trabalhadores remotos e provisionamento/desprovisionamento de equipamentos para funcionários remotos."

Preparar-se para certificação multi-site

"Prepare-se para a auditoria ISO 27001 cobrindo múltiplos sites/localizações: [listar locais]. Aborde: como o escopo do ISMS cobre todas as localizações, riscos e controles específicos de cada site, implementação consistente de políticas em todos os sites, considerações de conformidade regulatória local, responsabilidades de gestão centralizada vs. local, evidências de cada localização, logística de auditoria de sites remotos, comunicação e coordenação entre sites e demonstração de integração do ISMS em toda a organização."

Prompts pós-auditoria

Desenvolver plano de ação corretiva

"Crie um plano de ação corretiva para as constatações da auditoria. Para a constatação: [descrever a constatação], inclua: detalhes da constatação e referência de não conformidade, análise de causa raiz (por que essa lacuna existia?), ação corretiva imediata (corrigir o problema específico), ação corretiva sistemática (evitar recorrência), etapas de implementação com cronograma, responsável e recursos necessários, método de verificação (como provaremos que está corrigido?), data-alvo de conclusão, acompanhamento de status e evidências a serem submetidas aos auditores para fechamento."

Preparar evidências de fechamento de constatação

"Prepare um pacote de evidências para fechar a constatação da auditoria [número da constatação]. Inclua: descrição original da constatação e requisito, plano de ação corretiva que foi aprovado, evidências da implementação da ação corretiva (comparação antes/depois, documentos atualizados, mudanças no sistema), resultados de testes de verificação mostrando que o problema foi resolvido, medidas preventivas implementadas para evitar recorrência, comunicação das mudanças ao pessoal relevante e solicitação de verificação e fechamento da constatação pelo auditor."

Realizar lições aprendidas pós-auditoria

"Facilite uma sessão de lições aprendidas pós-auditoria. Crie um guia de discussão cobrindo: o que correu bem durante a auditoria, quais desafios enfrentamos, quão eficaz foi nossa preparação, quais evidências foram fortes vs. fracas, quão bem a equipe lidou com as perguntas dos auditores, surpresas ou constatações inesperadas, feedback do auditor sobre nosso ISMS, melhorias para o próximo ciclo de auditoria, lacunas de habilidades ou conhecimento identificadas e itens de ação para fortalecer o ISMS antes da próxima auditoria de vigilância."

Prompts de autoavaliação de prontidão para auditoria

Realizar verificação de prontidão pré-auditoria

"Realize uma verificação final de prontidão 2 semanas antes da nossa auditoria de certificação ISO 27001. Avalie: Toda a documentação obrigatória está completa e aprovada? As evidências estão organizadas e acessíveis? As auditorias internas foram concluídas com as constatações fechadas? A equipe está treinada e preparada para as entrevistas? Os sistemas técnicos estão configurados corretamente para demonstração? As instalações estão prontas para inspeção no local? O cronograma da auditoria está confirmado com os participantes? Há planos de contingência para a semana da auditoria? Classifique a prontidão como Vermelho/Amarelo/Verde com justificativa e identifique quaisquer ações de última hora necessárias."

Avaliar prontidão para auditoria por função

"Avalie a prontidão para auditoria de cada função participante da auditoria. Para as funções [listar funções: gestão executiva, equipe de TI, equipe de segurança, RH, operações, etc.]: avalie seu entendimento do ISMS, conhecimento de suas responsabilidades, familiaridade com os controles relevantes, disponibilidade durante a auditoria, prontidão para responder perguntas, acesso às evidências necessárias, cobertura de backup se indisponível e necessidades de treinamento antes da auditoria. Identifique quaisquer lacunas que requeiram atenção imediata."

Revisar logística e coordenação da auditoria

"Crie um plano e lista de verificação de logística para a semana da auditoria. Inclua: cronograma da auditoria com horários e participantes, reservas e configuração de salas de conferência (projetor, quadro branco, WiFi para convidados), arranjos para almoço e intervalos, estacionamento e acesso ao prédio para auditores, pacote de boas-vindas e materiais de orientação, acesso ao repositório de documentos para auditores, acesso a sistemas técnicos ou ambientes de demonstração, instalações de impressão e cópia, espaço privado para deliberação dos auditores, contato de suporte de TI para problemas técnicos e planos de contingência para interrupções comuns."

Dicas para usar esses prompts de forma eficaz

Bibliotecas de prompts relacionadas

Complete sua implementação da ISO 27001 com estas coleções de prompts relacionadas:

• [Prompts de avaliação de riscos da ISO 27001](/ISO 27001 prompt library)
• [Prompts de políticas e procedimentos da ISO 27001](/ISO 27001 prompt library)
• [Prompts de análise de lacunas da ISO 27001](/ISO 27001 prompt library) (em breve)
• [Biblioteca de prompts SOC 2](/SOC 2 prompt library)

Obtendo ajuda

Para suporte com a preparação para auditoria:

• Aprenda o processo de auditoria: Revise Como se preparar para auditorias internas ISO 27001 usando IA
• Prepare-se para a certificação: Veja Como se preparar para a auditoria de certificação ISO 27001 usando IA
• Use a IA de forma responsável: Leia Como usar o ISMS Copilot de forma responsável para preparação de auditoria