O controle 6.1 do Anexo A da ISO/IEC 27001:2022 pede verificar candidatos antes da admissão e de forma contínua, com proporcionalidade. No Brasil, onde os certificados quase dobraram em 2025, esse requisito convive com a LGPD.


Escrito por Guido Schenone


O que pede o controle de screening da ISO 27001:2022?

O controle 6.1 do Anexo A da ISO/IEC 27001:2022 trata do screening de pessoal. Não conseguimos ler o texto na fonte oficial da ISO, por isso seguimos a consultoria HighTable, que reproduz o controle: as verificações de antecedentes de todos os candidatos "devem ser realizadas antes de sua entrada na organização" e de forma contínua, "levando em consideração as leis, regulamentações e ética aplicáveis", e devem ser "proporcionais aos requisitos do negócio, à classificação das informações a serem acessadas e aos riscos percebidos" (tradução nossa do inglês). É uma citação de fonte secundária e deve ser conferida com a norma. No Brasil, a referência é a ABNT NBR ISO/IEC 27001, cuja nova edição foi publicada em novembro de 2022, com errata em 2023 e uma emenda sobre mudanças climáticas em junho de 2024.


O que aconteceu com a transição para a versão 2022?

O prazo de transição de três anos terminou em 31 de outubro de 2025, segundo a SGS: a partir daí, os certificados emitidos com base na versão de 2013 expiraram ou deveriam ser retirados, e as organizações certificadas precisam estar auditadas contra a versão de 2022. A adoção cresce. Segundo análises do ISO Survey 2025, divulgado em outubro de 2026, havia 125.622 certificados ISO/IEC 27001 no mundo, contra 96.709 no levantamento anterior. Para o Brasil, as mesmas análises apontam 664 certificados válidos em 31 de dezembro de 2025, contra 373 no ano anterior, alta de 78%, com o país na 28ª posição e 1.028 sites certificados. Os números foram obtidos em fontes secundárias e devem ser confrontados com a base oficial da ISO antes de citações mais precisas.


Como isso se relaciona com a regulação brasileira?

Nenhuma das normas brasileiras consultadas obriga, de forma geral, a certificação ISO 27001, mas várias apontam na mesma direção. A Resolução CMN nº 4.893/2021 exige das instituições financeiras uma política de segurança cibernética e a avaliação prévia dos prestadores de serviços de processamento e armazenamento de dados. A Resolução Normativa ANEEL nº 964/2021 obriga os agentes do setor elétrico a manter política de segurança cibernética. E, no setor financeiro, a Circular BCB nº 3.978/2020 exige procedimentos para conhecer funcionários, parceiros e prestadores. A LGPD, por sua vez, impõe medidas de segurança técnicas e administrativas (art. 46) e limita o tratamento ao "mínimo necessário" (art. 6º, III). A ligação entre as "leis aplicáveis" mencionadas no controle 6.1 e a LGPD é um raciocínio nosso, não uma declaração da norma: no Brasil, ela inclui também a jurisprudência trabalhista, como a tese do TST que limita a exigência de certidão criminal a cargos que a justifiquem.


O que significam "proporcional" e "contínuo" para uma empresa?

Proporcionalidade significa que nem todos os cargos recebem a mesma verificação: um administrador de sistemas com acesso privilegiado justifica mais controles do que um cargo sem acesso a informações críticas. O termo "contínuo" abre uma pergunta que a norma não responde sozinha: quanto e com que frequência voltar a verificar, e com qual base legal no Brasil. Uma leitura prudente é documentar na política do sistema de gestão o que se verifica por categoria de cargo, com que frequência e com qual base legal, e revisar com assessoria jurídica qualquer verificação posterior à admissão, que deve ser informada ao colaborador e ligada a um evento ou risco concreto, como uma mudança de função. "O controle da ISO pede proporcionalidade e legalidade: a melhor evidência para uma auditoria é uma política clara, transparência com o candidato e registro de cada verificação", afirma Guido Schenone, Comercial & Growth Manager da Validato.


O que uma empresa deveria exigir de seu fornecedor de screening?

Se uma organização certificada terceiriza a verificação, o fornecedor entra no escopo dos seus controles de fornecedores e de proteção de dados, e atua como operador na LGPD, obrigado a seguir as instruções do controlador (art. 39). Faz sentido pedir o certificado do próprio fornecedor, com organismo certificador, escopo e validade, e não apenas a menção em seu site ou apresentação. A Validato declara em seus materiais institucionais ter certificação ISO 27001; como para qualquer fornecedor, a recomendação é solicitar o certificado como evidência. Também é boa prática pedir a política de retenção e de eliminação de dados ao fim do serviço, prevista no artigo 16 da LGPD, e a política de acesso do pessoal do fornecedor aos relatórios. Este texto não substitui a norma nem uma auditoria.


Referências

  1. HighTable, "ISO 27001:2022 Annex A 6.1 Screening". https://hightable.io/iso-27001-annex-a-6-1-screening. Fonte secundária.
  2. ISO, ISO/IEC 27002:2022. https://www.iso.org/standard/75652.html
  3. Normas.com.br (Target), histórico da ABNT NBR ISO/IEC 27001. https://www.normas.com.br/visualizar/abnt-nbr-nm/25074/abnt-nbriso-iec27001-seguranca-da-informacao-seguranca-cibernetica-e-protecao-a-privacidade-sistemas-de-gestao-da-seguranca-da-informacao-requisitos
  4. SGS, "ISO/IEC 27001 transition: what you should know" (2024). https://www.sgs.com/en/news/2024/05/iso-iec-27001-transition-what-you-should-know
  5. HEIC, ISO Survey 2025 results. https://heic.eu/insights/iso-survey-2025-results-iso-27001/. Fonte secundária.
  6. Certificação ISO, ISO Survey 2025. https://certificacaoiso.com.br/iso-survey-2025/. Fonte secundária.
  7. Resolução CMN nº 4.893/2021 (texto consolidado). https://okai.com.br/documento/2021-02-26/resolucao-cmn-n-4-893
  8. Mattos Filho, REN ANEEL nº 964/2021. https://www.mattosfilho.com.br/unico/aneel-politica-seguranca-cibernetica/
  9. Banco Central, Circular nº 3.978/2020, art. 56. https://normativos.bcb.gov.br/Lists/Normativos/Attachments/50905/Circ_3978_v6_P.pdf
  10. Lei nº 13.709/2018 (LGPD), arts. 6º, 16, 39 e 46. Planalto.