ISO 27001: Valor jurídico da certificação em incidentes cibernéticos

A crescente ocorrência de incidentes cibernéticos trouxe para o centro do debate jurídico a responsabilidade empresarial pela segurança da informação. Nesse cenário, a certificação ISO/IEC 27001 passou a representar importante instrumento de governança, gestão de riscos e demonstração de maturidade organizacional. Surge, entretanto, uma questão relevante: qual é o valor jurídico dessa certificação quando, apesar dela, ocorre um incidente cibernético?

Certificação não é sinônimo de invulnerabilidade

A ISO/IEC 27001 estabelece requisitos para estabelecer, implementar, manter e melhorar continuamente um SGSI - Sistema de Gestão de Segurança da Informação, estruturado a partir da gestão de riscos.¹ A certificação, contudo, não representa garantia de inexistência de incidentes nem exclui, por si só, eventual responsabilidade empresarial.

Seu valor jurídico está na possibilidade de demonstrar que a organização adotou uma estrutura sistemática para identificar, avaliar e tratar riscos de segurança da informação. Assim, a ocorrência de um incidente não necessariamente desqualifica a certificação; pode, ao contrário, transformar o evento em verdadeiro teste da efetividade do sistema implementado.

Implementação e certificação não se confundem

É igualmente necessário distinguir implementação de certificação. A própria ISO reconhece que uma organização pode implementar os requisitos da ISO/IEC 27001 sem necessariamente obter a certificação.²

Por isso, em eventual investigação, processo administrativo ou judicial, a simples apresentação do certificado será insuficiente para demonstrar diligência. Será necessário verificar se os controles estavam efetivamente implementados, se os riscos eram periodicamente avaliados e se existiam mecanismos de monitoramento, auditoria e melhoria contínua.

A certificação como elemento de prova da diligência empresarial

Nesse contexto, a certificação pode assumir relevante valor probatório. Não constitui salvo-conduto, mas pode integrar o conjunto de elementos capazes de demonstrar que a empresa adotava medidas estruturadas de prevenção, detecção e tratamento de riscos.

A própria lógica do compliance reforça essa compreensão: sua relevância não decorre apenas da existência formal de políticas e procedimentos, mas da capacidade de produzir efeitos concretos na organização e na gestão dos riscos empresariais.³

Assim, quanto mais a certificação estiver acompanhada de evidências de efetividade, maior será sua capacidade de contribuir para a demonstração da diligência empresarial.

O incidente como teste da efetividade do sistema

Diante de um incidente, a análise jurídica não deve se limitar à pergunta sobre a existência do certificado. É necessário investigar o que havia sido feito antes, durante e depois do evento.

A empresa havia identificado os riscos? Os controles eram proporcionais ao cenário de ameaça? Havia treinamento dos colaboradores? Os controles eram monitorados? Existia plano de resposta? O incidente foi investigado e documentado? Foram adotadas medidas de contenção e mitigação?

O incidente, portanto, pode funcionar como uma espécie de teste retrospectivo do SGSI: revela se a estrutura de segurança existia apenas documentalmente ou se efetivamente integrava a gestão empresarial.

A jurisprudência e a responsabilidade proativa

A jurisprudência recente do STJ oferece elementos importantes para essa análise. No REsp 2.147.374/SP, a terceira turma reconheceu a relevância das medidas de segurança adotadas pelos agentes de tratamento e relacionou a matéria à expectativa legítima de proteção, ao compliance e à regulação do risco da atividade. O Tribunal também afastou, no caso concreto, a demonstração de responsabilidade exclusiva de terceiro pelo ataque hacker.⁴

Em sentido complementar, no AREsp 2.130.619/SP, a segunda turma assentou que o vazamento de dados pessoais, por si só, não gera automaticamente dano moral indenizável, sendo necessária a demonstração do dano.⁵

Os precedentes permitem uma distinção importante: incidente, responsabilidade e dano são categorias juridicamente distintas. A ocorrência de um ataque não gera responsabilidade automática, mas também não permite à empresa presumir que o evento será sempre atribuído exclusivamente ao terceiro atacante.

O problema da conformidade meramente documental

É justamente nesse ponto que surge o risco do compliance meramente documental. Políticas que não são aplicadas, treinamentos sem evidências, controles que não são monitorados e auditorias realizadas apenas para manutenção do certificado podem enfraquecer significativamente seu valor probatório.

A certificação terá maior relevância jurídica quando acompanhada de registros capazes de demonstrar que o SGSI funcionava de maneira contínua e compatível com os riscos efetivamente enfrentados pela organização.

ISO 27001, LGPD e o dever de demonstrar diligência

ISO/IEC 27001 e LGPD não se confundem. A primeira estabelece requisitos para um sistema de gestão de segurança da informação; a segunda impõe obrigações jurídicas relacionadas ao tratamento de dados pessoais.

A LGPD determina a adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais e exige que os sistemas sejam estruturados segundo requisitos de segurança, boas práticas e governança.⁶ A ISO 27001 pode, portanto, contribuir para demonstrar diligência, mas não substitui o cumprimento da legislação aplicável.

Quem precisa demonstrar o quê?

A dimensão probatória merece atenção especial. Em uma investigação ou litígio, a empresa não deveria limitar sua defesa à apresentação do certificado. Deve ser capaz de demonstrar os riscos identificados, os controles implementados, os treinamentos realizados, os registros de monitoramento, as auditorias e as providências adotadas após o incidente.

A regulamentação da ANPD reforça essa necessidade ao exigir informações sobre as medidas técnicas e de segurança adotadas antes e depois do incidente e ao determinar a manutenção de registros relacionados ao evento.⁷

Um critério para a análise da diligência empresarial

O valor jurídico da certificação pode, portanto, ser analisado a partir de quatro elementos: (i) existência de SGSI efetivo; (ii) adequação dos controles aos riscos identificados; (iii) monitoramento, auditoria e melhoria contínua; e (iv) capacidade de resposta, contenção, investigação e mitigação do incidente.

Quanto mais esses elementos puderem ser demonstrados por evidências contemporâneas, verificáveis e coerentes com a realidade operacional da empresa, maior será a força probatória da certificação.

Conclusão

A pergunta juridicamente relevante, portanto, não é simplesmente saber se a empresa possuía ISO 27001 quando sofreu o incidente. É saber se consegue demonstrar que, antes, durante e depois do evento, efetivamente gerenciava o risco que afirmava gerenciar.

A certificação não deve ser compreendida como promessa de invulnerabilidade, mas como possível elemento de prova da diligência empresarial. Seu verdadeiro valor jurídico estará menos no certificado em si e mais na efetividade do sistema que ele representa.

_____

1. INTERNATIONAL ORGANIZATION FOR STANDARDIZATION; INTERNATIONAL ELECTROTECHNICAL COMMISSION. ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection - Information security management systems - Requirements. Geneva: ISO, 2022.

2. INTERNATIONAL ORGANIZATION FOR STANDARDIZATION; INTERNATIONAL ELECTROTECHNICAL COMMISSION. ISO/IEC 27001:2022, cit.

3. SILVEIRA, Renato de Mello Jorge; SAAD-DINIZ, Eduardo. Compliance, direito penal e Lei Anticorrupção. São Paulo: Saraiva, 2015.

4. BRASIL. Superior Tribunal de Justiça. Recurso Especial nº 2.147.374/SP. Rel. Min. Ricardo Villas Bôas Cueva. Terceira Turma. Julgado em 3 dez. 2024. DJEN, 6 dez. 2024. O acórdão aborda expressamente incidente de segurança, ataque hacker, responsabilidade proativa, expectativa de legítima proteção, compliance e regulação do risco da atividade.

5. BRASIL. Superior Tribunal de Justiça. Agravo em Recurso Especial nº 2.130.619/SP. Rel. Min. Francisco Falcão. Segunda Turma. Julgado em 7 mar. 2023. DJe, 10 mar. 2023.

6. BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Arts. 46, 49 e 50. Brasília, DF: Presidência da República, 2018.

7. AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Brasília, DF: ANPD, 2024. Arts. 6º, 8º, 9º e 10.