ISO 27001: o Controle A.5.9 — Inventário de Ativos na Prática e o que o Auditor Vai Pedir

A ISO/IEC 27001 é a norma internacional de sistemas de gestão de segurança da informação (SGSI). Quem busca o certificado — por exigência de clientes, editais ou estratégia de mercado — precisa implementar os controles aplicáveis do Anexo A e provar, com evidência objetiva, que eles operam. E há um controle que sustenta quase todos os outros: o A.5.9, inventário de informações e outros ativos associados. A lógica do auditor é simples e implacável: não dá para proteger, classificar, controlar acesso, aplicar patch ou descartar com segurança aquilo que a organização nem sabe que possui. Por isso a preparação séria para a ISO 27001 começa por um inventário de ativos de TI completo e auditável.

Um esclarecimento importante antes de começar: quem certifica na ISO 27001 é o organismo de certificação acreditado, após auditoria independente. A CPCON não emite certificados nem audita SGSI — o nosso papel, há 30 anos e em mais de 4.500 projetos, é executar o inventário físico e a conciliação que geram a evidência de campo que o seu auditor vai pedir. Este artigo descreve exatamente o que essa evidência precisa conter.

O que o controle A.5.9 exige (texto e contexto da norma)

Na revisão 2022 da ISO/IEC 27001, o Anexo A foi reorganizado em 93 controles distribuídos em 4 temas (organizacionais, pessoas, físicos e tecnológicos). O A.5.9 é um controle organizacional e consolidou dois controles da versão 2013 — o antigo A.8.1.1 (inventário de ativos) e o A.8.1.2 (proprietário dos ativos). O enunciado é direto: um inventário de informações e outros ativos associados, incluindo os respectivos proprietários (owners), deve ser desenvolvido e mantido. A orientação de implementação detalhada está na norma companheira ISO/IEC 27002:2022.

Três verbos do enunciado definem o que o auditor testa. "Desenvolver" significa que o inventário existe e cobre o escopo do SGSI — não só servidores, mas notebooks, desktops, equipamentos de rede, mídias removíveis, softwares, serviços em nuvem e as informações em si. "Manter" significa que existe um processo vivo de atualização: aquisição, transferência, devolução e baixa alimentam o inventário, e contagens periódicas validam que ele continua refletindo a realidade. "Incluindo owners" significa que cada ativo (ou grupo de ativos) tem um responsável formalmente designado, que responde pela classificação, pelo uso aceitável e pelo ciclo de vida daquele item.

• O A.5.9 não trabalha sozinho — ele alimenta diretamente o A.5.10 (uso aceitável de informações e ativos), o A.5.11 (devolução de ativos no desligamento), o A.5.12/A.5.13 (classificação e rotulagem da informação), o A.7.9 (segurança de ativos fora das instalações), o A.7.10 (mídias de armazenamento) e o A.7.14 (descarte ou reutilização segura de equipamentos).
• A profundidade é proporcional ao risco: a norma não impõe um formato único de inventário, mas exige consistência com o escopo do SGSI e com a avaliação de riscos.
• Desde a transição obrigatória concluída em outubro de 2025, todos os certificados vigentes referenciam o Anexo A de 2022 — auditorias atuais cobram o A.5.9, não mais o A.8.1.1/A.8.1.2.

O que o auditor de certificação pede de evidência

A auditoria de certificação ocorre em dois estágios (análise de documentação e auditoria de implementação), seguidos de auditorias de manutenção anuais e recertificação a cada três anos. Para o A.5.9, o auditor tipicamente solicita:

• O inventário em si — planilha, CMDB ou sistema de gestão de ativos, com data da última atualização e histórico de mudanças (quem alterou, quando, por quê).
• Owner por ativo ou grupo de ativos — nome ou papel formalmente designado, e evidência de que o owner sabe que é owner (aceite, política comunicada, treinamento).
• Classificação da informação associada — qual o nível de sensibilidade do que cada ativo armazena ou processa, coerente com a política de classificação.
• Processo de atualização — procedimento documentado de inclusão (aquisição), movimentação (transferência entre áreas), devolução (desligamento de colaborador) e baixa (descarte com sanitização).
• Evidência de verificação periódica — relatório do último inventário físico ou contagem cíclica, com divergências encontradas e tratadas.
• Teste de amostragem dupla ao vivo — o auditor aponta itens da lista e pede para vê-los ("cadê este notebook?") e aponta equipamentos do ambiente e pede para encontrá-los na lista ("este switch está inventariado? Quem é o owner?").

É no teste de amostragem que inventários "de papel" caem. Uma lista exportada do ERP ou do Active Directory na véspera da auditoria não sustenta as perguntas de rastreabilidade: etiqueta inexistente, ativo que mudou de andar há oito meses, notebook de ex-colaborador ainda atribuído a ele, servidor desativado que continua na lista como ativo em produção.

Como montar e manter o inventário: owners, classificação e ciclo

Um inventário que passa em auditoria tem três componentes: um registro com campos mínimos consistentes, uma cadeia de responsabilidade clara e um ciclo de manutenção com frequência definida. A tabela abaixo resume os campos mínimos recomendados por classe de ativo.

Quanto ao ciclo: a prática que sustenta certificação combina inventário físico completo (anual ou na implantação do SGSI, como linha de base) com contagens cíclicas por amostra ou por área ao longo do ano, além de gatilhos por evento (compra, desligamento, mudança de site). Os métodos e a frequência de cada tipo de contagem estão detalhados no nosso guia de tipos de inventário.

Por que o discovery lógico sozinho não basta

A objeção mais comum é: "já temos ferramenta de discovery/agente de rede, o inventário sai dali". O discovery lógico é necessário — e insuficiente. Ele enxerga o que está ligado, conectado e com agente instalado no momento da varredura. Fica cego para o notebook desligado na gaveta, o servidor em estoque aguardando ativação, o equipamento sem IP (monitores, mídias, periféricos), a impressora com disco rígido cheio de documentos digitalizados e tudo o que entrou na empresa sem passar pela TI — o shadow IT e os dispositivos BYOD, que estimativas da Gartner situam em 30% a 40% do gasto de TI de grandes empresas.

O auditor sabe disso. Por isso o teste é físico: ele anda pelo ambiente e aponta equipamentos. A resposta que sustenta o controle é a conciliação de três bases — o que a rede enxerga (discovery), o que existe de verdade (inventário físico in loco, item a item, com etiqueta) e o que está registrado (CMDB e imobilizado contábil). É exatamente esse triângulo que um serviço profissional de auditoria de ativos de TI fecha: descoberta física, etiquetagem (barcode ou RFID) e conciliação física × lógica × contábil, com relatório de divergências. A mesma base conciliada serve, sem retrabalho, a quem também enfrenta um exame SOC 2 — cujos critérios CC6 pedem evidências equivalentes sobre os ativos — e revela, de quebra, os ativos fantasmas e bens não registrados que distorcem o imobilizado.

Checklist de preparação para a auditoria (controle A.5.9)