{"id":206875,"date":"2026-11-10T17:29:22","date_gmt":"2026-11-10T15:29:22","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206875"},"modified":"2026-11-10T17:29:22","modified_gmt":"2026-11-10T15:29:22","slug":"evidencias-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/","title":{"rendered":"Evid\u00eancias ISO 27001: o que pede o auditor e como prepar\u00e1-las"},"content":{"rendered":"<p>As evid\u00eancias s\u00e3o o que<strong> transforma o teu sistema de gest\u00e3o de seguran\u00e7a em algo que um auditor consegue verificar<\/strong>. Sem elas, uma pol\u00edtica aprovada ou um controlo bem desenhado n\u00e3o contam para a certifica\u00e7\u00e3o.<\/p>\n<p>O problema \u00e9 que costumam estar espalhadas por ferramentas, pastas e e-mails, e reuni-las \u00e0 \u00faltima hora \u00e9 uma das tarefas que mais tempo consome em qualquer<a href=\"https:\/\/factorialhr.pt\/blog\/auditoria-iso-27001\/\"> auditoria ISO 27001<\/a>.<\/p>\n<p>Neste artigo vais ver <strong>que evid\u00eancias pede o auditor<\/strong>, como distingue uma evid\u00eancia v\u00e1lida de uma que n\u00e3o o \u00e9, a lista completa por cl\u00e1usula e por controlo do Anexo A e os passos para as teres prontas a tempo.<\/p>\n<h2>O que s\u00e3o as evid\u00eancias na ISO 27001?<\/h2>\n<p>Uma evid\u00eancia \u00e9<strong> qualquer informa\u00e7\u00e3o verific\u00e1vel que demonstra que o teu sistema de gest\u00e3o de seguran\u00e7a da informa\u00e7\u00e3o (SGSI) funciona<\/strong> tal como o descreveste. Se a tua pol\u00edtica diz que os port\u00e1teis est\u00e3o encriptados, a evid\u00eancia \u00e9 o relat\u00f3rio que mostra que equipamentos est\u00e3o encriptados e desde quando.<\/p>\n<p>A norma fala em <strong>informa\u00e7\u00e3o documentada<\/strong> e distingue dois tipos.<\/p>\n<ul>\n<li><strong>Informa\u00e7\u00e3o a manter.<\/strong> S\u00e3o os documentos que descrevem como funciona o sistema, como <a href=\"https:\/\/factorialhr.pt\/blog\/politica-seguranca-informacao\/\">a pol\u00edtica de seguran\u00e7a<\/a>, o \u00e2mbito ou os procedimentos. Atualizam-se sempre que alguma coisa muda.<\/li>\n<li><strong>Informa\u00e7\u00e3o a conservar.<\/strong> S\u00e3o os registos que provam o que aconteceu, como um relat\u00f3rio de auditoria interna, um ticket de sa\u00edda de um colaborador ou um log de acessos. N\u00e3o se alteram, guardam-se.<\/li>\n<\/ul>\n<p>Com os documentos demonstras que desenhaste o sistema. Com os registos demonstras que o aplicas. <strong>O auditor precisa das duas coisas<\/strong>, e \u00e9 nos registos que costumam aparecer as falhas.<\/p>\n<p>Se chegaste aqui \u00e0 procura do controlo 5.28 do Anexo A, conv\u00e9m esclarecer j\u00e1 a diferen\u00e7a. Esse controlo chama-se \u00abRecolha de evid\u00eancias\u00bb e trata de algo mais espec\u00edfico. Exige um procedimento para identificar, recolher e preservar provas ap\u00f3s um incidente de seguran\u00e7a, de forma a que tenham validade num processo disciplinar ou judicial. \u00c9 um requisito da gest\u00e3o de incidentes, que nada tem que ver com as evid\u00eancias que o auditor analisa para te certificar.<\/p>\n<h2>Que tipos de evid\u00eancias analisa o auditor?<\/h2>\n<p>A auditoria de certifica\u00e7\u00e3o decorre em duas etapas. Na <strong>etapa 1<\/strong> o auditor analisa a documenta\u00e7\u00e3o do <a href=\"https:\/\/factorialhr.pt\/blog\/sistema-gestao-seguranca-informacao\/\">SGSI<\/a> e confirma que est\u00e1s preparado. Na <strong>etapa 2<\/strong> verifica se o que est\u00e1 documentado \u00e9 aplicado no dia a dia. Para isso, combina quatro tipos de evid\u00eancia.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Tipo de evid\u00eancia<\/th>\n<th style=\"text-align: center;\">Em que consiste<\/th>\n<th style=\"text-align: center;\">Exemplo<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">Documental<\/td>\n<td style=\"text-align: center;\">Pol\u00edticas, procedimentos, atas e planos aprovados<\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de controlo de acessos assinada pela dire\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Registos t\u00e9cnicos<\/td>\n<td style=\"text-align: center;\">Exporta\u00e7\u00f5es, logs e relat\u00f3rios gerados pelos sistemas<\/td>\n<td style=\"text-align: center;\">Relat\u00f3rio de patches pendentes por dispositivo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Entrevistas<\/td>\n<td style=\"text-align: center;\">Perguntas aos respons\u00e1veis de cada processo<\/td>\n<td style=\"text-align: center;\">Perguntar \u00e0 equipa de IT o que faz quando algu\u00e9m sai da empresa<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Observa\u00e7\u00e3o<\/td>\n<td style=\"text-align: center;\">Verifica\u00e7\u00e3o direta de como um controlo \u00e9 executado<\/td>\n<td style=\"text-align: center;\">Pedir que mostrem no ecr\u00e3 a configura\u00e7\u00e3o de bloqueio de um equipamento<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>O auditor n\u00e3o verifica tudo, trabalha por amostragem. Escolhe tr\u00eas sa\u00eddas do \u00faltimo trimestre, cinco port\u00e1teis ao acaso ou um incidente concreto, e segue o rasto do princ\u00edpio ao fim. Basta que uma \u00fanica amostra n\u00e3o bata certo com o que diz a pol\u00edtica para teres uma constata\u00e7\u00e3o.<\/p>\n<p>Por isso, n\u00e3o chega que a evid\u00eancia exista. Para que o auditor a aceite, tem de cumprir v\u00e1rias condi\u00e7\u00f5es.<\/p>\n<ul>\n<li><strong>Datada.<\/strong> Uma captura de ecr\u00e3 sem data n\u00e3o demonstra que o controlo funcionava durante o per\u00edodo auditado.<\/li>\n<li><strong>Dentro do \u00e2mbito.<\/strong> Tem de corresponder aos sistemas, instala\u00e7\u00f5es e processos inclu\u00eddos no SGSI.<\/li>\n<li><strong>Rastre\u00e1vel.<\/strong> Tem de ficar claro quem a gerou, quem aprovou a a\u00e7\u00e3o e a que controlo responde.<\/li>\n<li><strong>Coerente com a pol\u00edtica.<\/strong> Se a pol\u00edtica diz que as revis\u00f5es de acessos s\u00e3o trimestrais, o auditor vai esperar encontrar quatro revis\u00f5es por ano.<\/li>\n<li><strong>Aut\u00eantica.<\/strong> Gerada no momento certo e sem altera\u00e7\u00f5es. Um registo criado a posteriori \u00e9 pior do que n\u00e3o ter registo nenhum.<\/li>\n<\/ul>\n<h2>Lista de evid\u00eancias ISO 27001<\/h2>\n<p>A lista divide-se em dois blocos. As evid\u00eancias do SGSI respondem \u00e0s<strong> <a href=\"https:\/\/factorialhr.pt\/blog\/estrutura-iso-27001\/\">cl\u00e1usulas 4 a 10<\/a> <\/strong>e s\u00e3o obrigat\u00f3rias para qualquer empresa. As evid\u00eancias dos<strong> controlos do Anexo A<\/strong> dependem dos controlos que declaraste aplic\u00e1veis na tua <a href=\"https:\/\/factorialhr.pt\/blog\/declaracao-aplicabilidade-iso-27001-html-listo-para-wordpress-html-a-norma-iso-27001-e-a-referencia-internacional-para-a-gestao-da-seguranca-da-informacao-dentro-do-seu-sistema-de-gestao-a-declar\/\">declara\u00e7\u00e3o de aplicabilidade<\/a>.<\/p>\n<h3>1. Evid\u00eancias do SGSI<\/h3>\n<p>S\u00e3o as que demonstram que o sistema de gest\u00e3o existe, tem um respons\u00e1vel e \u00e9 revisto. Nenhuma ferramenta t\u00e9cnica as gera por ti, por isso conv\u00e9m saber desde o in\u00edcio onde est\u00e3o.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Cl\u00e1usula<\/th>\n<th style=\"text-align: center;\">O que demonstra<\/th>\n<th style=\"text-align: center;\">Evid\u00eancia habitual<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>4.3 \u00c2mbito<\/strong><\/td>\n<td style=\"text-align: center;\">O que o SGSI cobre e o que fica de fora<\/td>\n<td style=\"text-align: center;\">Documento de \u00e2mbito aprovado, com instala\u00e7\u00f5es, processos, sistemas e interfaces<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.2 Pol\u00edtica<\/strong><\/td>\n<td style=\"text-align: center;\">O compromisso da dire\u00e7\u00e3o<\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de seguran\u00e7a da informa\u00e7\u00e3o assinada e comunicada aos colaboradores<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.3 Fun\u00e7\u00f5es<\/strong><\/td>\n<td style=\"text-align: center;\">Quem \u00e9 respons\u00e1vel por qu\u00ea<\/td>\n<td style=\"text-align: center;\">Organograma de seguran\u00e7a ou matriz de responsabilidades<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.2 Avalia\u00e7\u00e3o de riscos<\/strong><\/td>\n<td style=\"text-align: center;\">Como identificas e avalias os riscos<\/td>\n<td style=\"text-align: center;\">Metodologia documentada e resultados da \u00faltima <a href=\"https:\/\/factorialhr.pt\/blog\/avaliacao-de-riscos-iso-27001\/\">avalia\u00e7\u00e3o de riscos<\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.3 Tratamento de riscos<\/strong><\/td>\n<td style=\"text-align: center;\">O que decides fazer com cada risco<\/td>\n<td style=\"text-align: center;\">Plano de tratamento, declara\u00e7\u00e3o de aplicabilidade e aceita\u00e7\u00e3o do risco residual pelos respetivos propriet\u00e1rios<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Objetivos<\/strong><\/td>\n<td style=\"text-align: center;\">O que queres alcan\u00e7ar e como o medes<\/td>\n<td style=\"text-align: center;\">Objetivos de seguran\u00e7a com respons\u00e1vel, prazo e indicador<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.2 Compet\u00eancia<\/strong><\/td>\n<td style=\"text-align: center;\">Que as pessoas-chave est\u00e3o preparadas<\/td>\n<td style=\"text-align: center;\">Certificados, registos de forma\u00e7\u00e3o e descri\u00e7\u00f5es de fun\u00e7\u00f5es<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.3 Sensibiliza\u00e7\u00e3o<\/strong><\/td>\n<td style=\"text-align: center;\">Que os colaboradores conhecem a pol\u00edtica<\/td>\n<td style=\"text-align: center;\">Registos de presen\u00e7a e resultados das a\u00e7\u00f5es de forma\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Controlo operacional<\/strong><\/td>\n<td style=\"text-align: center;\">Que os processos s\u00e3o executados como foram planeados<\/td>\n<td style=\"text-align: center;\">Registos de altera\u00e7\u00f5es, tickets e planos de a\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.1 Monitoriza\u00e7\u00e3o e medi\u00e7\u00e3o<\/strong><\/td>\n<td style=\"text-align: center;\">Que medes o desempenho do SGSI<\/td>\n<td style=\"text-align: center;\">Painel de indicadores com resultados por per\u00edodo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.2 Auditoria interna<\/strong><\/td>\n<td style=\"text-align: center;\">Que rev\u00eas o sistema antes de qualquer outra pessoa<\/td>\n<td style=\"text-align: center;\">Programa de auditoria, relat\u00f3rio da \u00faltima auditoria interna e constata\u00e7\u00f5es<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.3 Revis\u00e3o pela dire\u00e7\u00e3o<\/strong><\/td>\n<td style=\"text-align: center;\">Que a dire\u00e7\u00e3o supervisiona o sistema<\/td>\n<td style=\"text-align: center;\">Ata da \u00faltima revis\u00e3o com as decis\u00f5es e a\u00e7\u00f5es acordadas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>10.2 N\u00e3o conformidades<\/strong><\/td>\n<td style=\"text-align: center;\">Que corriges o que falha<\/td>\n<td style=\"text-align: center;\">Registo de n\u00e3o conformidades com an\u00e1lise de causas, a\u00e7\u00e3o corretiva e verifica\u00e7\u00e3o da efic\u00e1cia<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>A revis\u00e3o pela dire\u00e7\u00e3o e a auditoria interna s\u00e3o as duas evid\u00eancias que mais ficam esquecidas numa primeira certifica\u00e7\u00e3o. Ambas t\u00eam de estar feitas antes da etapa 2, com tempo suficiente para fechar as constata\u00e7\u00f5es.<\/p>\n<h3>2. Evid\u00eancias dos controlos do Anexo A<\/h3>\n<p>O Anexo A da ISO\/IEC 27001:2022 re\u00fane <strong>93 controlos <\/strong>repartidos por quatro blocos. Nem todos se aplicam a todas as empresas, mas cada controlo que declares aplic\u00e1vel precisa de pelo menos uma evid\u00eancia de que funciona. Estas s\u00e3o as mais habituais numa auditoria.<\/p>\n<h4><strong>Controlos organizacionais<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controlo<\/th>\n<th style=\"text-align: center;\">Evid\u00eancia que o auditor costuma pedir<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>5.9 Invent\u00e1rio de ativos<\/strong><\/td>\n<td style=\"text-align: center;\">Invent\u00e1rio atualizado com propriet\u00e1rio atribu\u00eddo a cada ativo e data da \u00faltima revis\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.10 Utiliza\u00e7\u00e3o aceit\u00e1vel<\/strong><\/td>\n<td style=\"text-align: center;\">Regras de utiliza\u00e7\u00e3o aceit\u00e1vel e registo da sua aceita\u00e7\u00e3o pelos colaboradores<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.11 Devolu\u00e7\u00e3o de ativos<\/strong><\/td>\n<td style=\"text-align: center;\">Registo de devolu\u00e7\u00e3o de equipamentos nas \u00faltimas sa\u00eddas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.15 a 5.18 Controlo de acessos<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de acessos, pedidos aprovados, revis\u00f5es peri\u00f3dicas de permiss\u00f5es e remo\u00e7\u00e3o de acessos nas sa\u00eddas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.19 a 5.22 Fornecedores<\/strong><\/td>\n<td style=\"text-align: center;\">Registo de fornecedores cr\u00edticos, cl\u00e1usulas de seguran\u00e7a nos contratos e avalia\u00e7\u00f5es peri\u00f3dicas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.23 Servi\u00e7os na cloud<\/strong><\/td>\n<td style=\"text-align: center;\">Lista dos servi\u00e7os cloud em uso, respons\u00e1vel por cada um e crit\u00e9rios de sele\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.24 a 5.27 Incidentes<\/strong><\/td>\n<td style=\"text-align: center;\">Procedimento de gest\u00e3o de incidentes, registo de incidentes com cronologia e li\u00e7\u00f5es aprendidas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.29 e 5.30 Continuidade<\/strong><\/td>\n<td style=\"text-align: center;\">Plano de continuidade e registo do \u00faltimo teste realizado<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controlos de pessoas<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controlo<\/th>\n<th style=\"text-align: center;\">Evid\u00eancia que o auditor costuma pedir<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1 Verifica\u00e7\u00e3o de antecedentes<\/strong><\/td>\n<td style=\"text-align: center;\">Procedimento de verifica\u00e7\u00e3o no recrutamento e registos da sua aplica\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Termos e condi\u00e7\u00f5es de emprego<\/strong><\/td>\n<td style=\"text-align: center;\">Contratos ou adendas assinados com obriga\u00e7\u00f5es de seguran\u00e7a e confidencialidade<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.3 Forma\u00e7\u00e3o e sensibiliza\u00e7\u00e3o<\/strong><\/td>\n<td style=\"text-align: center;\">Plano de forma\u00e7\u00e3o, presen\u00e7as e resultados por colaborador<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.5 Responsabilidades ap\u00f3s a sa\u00edda<\/strong><\/td>\n<td style=\"text-align: center;\">Checklist de offboarding preenchida nas sa\u00eddas recentes<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.7 Teletrabalho<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de teletrabalho e configura\u00e7\u00e3o de seguran\u00e7a dos equipamentos remotos<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controlos f\u00edsicos<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controlo<\/th>\n<th style=\"text-align: center;\">Evid\u00eancia que o auditor costuma pedir<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>7.1 e 7.2 Per\u00edmetro e acesso f\u00edsico<\/strong><\/td>\n<td style=\"text-align: center;\">Registo de entradas nos escrit\u00f3rios ou nas \u00e1reas de acesso restrito<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.9 Ativos fora das instala\u00e7\u00f5es<\/strong><\/td>\n<td style=\"text-align: center;\">Lista dos equipamentos atribu\u00eddos fora do escrit\u00f3rio e medidas aplicadas, como a encripta\u00e7\u00e3o ou o bloqueio remoto<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.10 Suportes de armazenamento<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de utiliza\u00e7\u00e3o de suportes amov\u00edveis e a sua aplica\u00e7\u00e3o t\u00e9cnica<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.14 Elimina\u00e7\u00e3o ou reutiliza\u00e7\u00e3o de equipamento<\/strong><\/td>\n<td style=\"text-align: center;\">Registo de apagamento seguro ou certificado de destrui\u00e7\u00e3o dos equipamentos retirados<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controlos tecnol\u00f3gicos<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controlo<\/th>\n<th style=\"text-align: center;\">Evid\u00eancia que o auditor costuma pedir<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Dispositivos do utilizador final<\/strong><\/td>\n<td style=\"text-align: center;\">Estado de conformidade de cada dispositivo com as pol\u00edticas de seguran\u00e7a, como o bloqueio de ecr\u00e3, a palavra-passe ou a vers\u00e3o do sistema operativo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.2 Acessos privilegiados<\/strong><\/td>\n<td style=\"text-align: center;\">Lista de contas com privil\u00e9gios de administrador e respetiva justifica\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.5 Autentica\u00e7\u00e3o segura<\/strong><\/td>\n<td style=\"text-align: center;\">Configura\u00e7\u00e3o da autentica\u00e7\u00e3o multifator e sistemas onde est\u00e1 ativa<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.7 Prote\u00e7\u00e3o contra malware<\/strong><\/td>\n<td style=\"text-align: center;\">Cobertura da solu\u00e7\u00e3o antimalware ou EDR por dispositivo e registo de alertas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.8 Vulnerabilidades t\u00e9cnicas<\/strong><\/td>\n<td style=\"text-align: center;\">Relat\u00f3rio de patches aplicados e pendentes, com datas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.9 Gest\u00e3o da configura\u00e7\u00e3o<\/strong><\/td>\n<td style=\"text-align: center;\">Configura\u00e7\u00f5es de base aprovadas e verifica\u00e7\u00e3o de que os equipamentos as cumprem<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.10 Elimina\u00e7\u00e3o de informa\u00e7\u00e3o<\/strong><\/td>\n<td style=\"text-align: center;\">Registos de apagamento de dados nos equipamentos retirados ou reatribu\u00eddos<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.13 C\u00f3pias de seguran\u00e7a<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de backups, registo de execu\u00e7\u00e3o e teste de reposi\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.15 Registo de eventos<\/strong><\/td>\n<td style=\"text-align: center;\">Logs dos sistemas cr\u00edticos e per\u00edodo de reten\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.24 Utiliza\u00e7\u00e3o de criptografia<\/strong><\/td>\n<td style=\"text-align: center;\">Estado da encripta\u00e7\u00e3o dos discos por dispositivo e gest\u00e3o das chaves de recupera\u00e7\u00e3o<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.32 Gest\u00e3o de altera\u00e7\u00f5es<\/strong><\/td>\n<td style=\"text-align: center;\">Registo de altera\u00e7\u00f5es com avalia\u00e7\u00e3o, aprova\u00e7\u00e3o e testes<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Se quiseres rever o conte\u00fado de cada bloco antes de montares a tua pr\u00f3pria lista, no artigo sobre os <a href=\"https:\/\/factorialhr.pt\/blog\/dominios-iso-27001\/\">dom\u00ednios da ISO 27001<\/a> tens o detalhe de cada um.<\/p>\n<h2>Como reunir as evid\u00eancias para a auditoria?<\/h2>\n<p>As empresas que passam a auditoria sem sobressaltos t\u00eam algo em comum. <strong>Decidem que evid\u00eancia corresponde a cada controlo muito antes de o auditor a pedir<\/strong>. Estes s\u00e3o os passos para o conseguir.<\/p>\n<h3>1. Parte da declara\u00e7\u00e3o de aplicabilidade<\/h3>\n<p>A declara\u00e7\u00e3o de aplicabilidade (SoA) re\u00fane os controlos do Anexo A que decidiste aplicar e a justifica\u00e7\u00e3o de cada decis\u00e3o. \u00c9 o melhor ponto de partida, porque te diz exatamente o que vais ter de demonstrar.<\/p>\n<p><strong>Percorre a SoA controlo a controlo e anota ao lado que evid\u00eancia prova que funciona<\/strong>. Se um controlo aplic\u00e1vel n\u00e3o tiver nenhuma evid\u00eancia associada, j\u00e1 sabes onde est\u00e1 a tua primeira falha. E se declarares um controlo como implementado mas n\u00e3o conseguires mostrar nada que o sustente, o auditor vai detet\u00e1-lo na etapa 2.<\/p>\n<h3>2. Atribui um respons\u00e1vel e uma frequ\u00eancia a cada evid\u00eancia<\/h3>\n<p>Uma evid\u00eancia sem dono acaba por deixar de ser atualizada. <strong>Cada evid\u00eancia precisa de uma pessoa que a gere e de outra que a reveja<\/strong>, e de uma frequ\u00eancia de acordo com o que diz a tua pol\u00edtica.<\/p>\n<p>Algumas evid\u00eancias produzem-se uma vez por ano, como a revis\u00e3o pela dire\u00e7\u00e3o. Outras mudam todas as semanas, como o estado dos patches. Reunir toda esta informa\u00e7\u00e3o num mapa de evid\u00eancias d\u00e1-te uma vis\u00e3o r\u00e1pida do que est\u00e1 coberto e do que n\u00e3o est\u00e1. Pode ser t\u00e3o simples como este.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Controlo<\/th>\n<th>Evid\u00eancia<\/th>\n<th>Fonte<\/th>\n<th>Respons\u00e1vel<\/th>\n<th>Frequ\u00eancia<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">5.9<\/td>\n<td>Invent\u00e1rio de ativos com propriet\u00e1rio<\/td>\n<td>Ferramenta de gest\u00e3o de ativos<\/td>\n<td>Respons\u00e1vel de IT<\/td>\n<td>Cont\u00ednua, revis\u00e3o trimestral<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">5.18<\/td>\n<td>Revis\u00e3o de permiss\u00f5es<\/td>\n<td>Diret\u00f3rio e aplica\u00e7\u00f5es SaaS<\/td>\n<td>Respons\u00e1veis de \u00e1rea<\/td>\n<td>Trimestral<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">8.8<\/td>\n<td>Relat\u00f3rio de patches<\/td>\n<td>MDM<\/td>\n<td>Respons\u00e1vel de IT<\/td>\n<td>Mensal<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">9.3<\/td>\n<td>Ata da revis\u00e3o pela dire\u00e7\u00e3o<\/td>\n<td>Documento interno<\/td>\n<td>CISO<\/td>\n<td>Anual<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>3. Centraliza e automatiza as evid\u00eancias<\/h3>\n<p>Quando as evid\u00eancias est\u00e3o espalhadas entre o e-mail, pastas pessoais e v\u00e1rias ferramentas, encontr\u00e1-las demora horas. E se a \u00fanica pessoa que sabe onde est\u00e1 tudo n\u00e3o estiver dispon\u00edvel no dia da auditoria, o problema complica-se.<\/p>\n<p>Guarda-as num <strong>reposit\u00f3rio \u00fanico<\/strong>, com uma pasta por cl\u00e1usula ou por controlo e a data no nome de cada ficheiro. Limita o acesso a quem precisa, porque muitas cont\u00eam informa\u00e7\u00e3o sens\u00edvel.<\/p>\n<p>Nas evid\u00eancias t\u00e9cnicas, como o invent\u00e1rio de ativos, a encripta\u00e7\u00e3o dos equipamentos ou os patches, o ideal \u00e9 que saiam diretamente das<strong> tuas ferramentas de gest\u00e3o de dispositivos<\/strong>. Uma exporta\u00e7\u00e3o manual fica desatualizada em poucas semanas, enquanto um relat\u00f3rio autom\u00e1tico reflete sempre a situa\u00e7\u00e3o real e traz a sua data. Se ainda est\u00e1s a escolher a solu\u00e7\u00e3o certa, o nosso comparativo dos <a href=\"https:\/\/factorialhr.pt\/blog\/melhores-softwares-iso-27001\/\">melhores softwares para cumprir a ISO 27001<\/a> pode ajudar-te a decidir.<\/p>\n<h3>4. Faz um simulacro com casos reais<\/h3>\n<p>Antes da etapa 2, p\u00f5e-te no lugar do auditor. Escolhe uma entrada recente, uma sa\u00edda do \u00faltimo trimestre e um port\u00e1til ao acaso, e<strong> confirma que consegues reconstruir toda a cadeia<\/strong> de cada caso.<\/p>\n<p>Numa sa\u00edda, por exemplo, terias de conseguir mostrar a comunica\u00e7\u00e3o dos RH, <a href=\"https:\/\/factorialhr.pt\/blog\/controlo-de-acessos-iso-27001\/\">a remo\u00e7\u00e3o dos acessos<\/a>, a devolu\u00e7\u00e3o do equipamento e o apagamento dos dados, tudo com as respetivas datas. Se algum destes passos faltar ou n\u00e3o bater certo com o que diz a pol\u00edtica, mais vale descobri-lo agora. O que tu n\u00e3o encontrares, o auditor tamb\u00e9m n\u00e3o vai encontrar.<\/p>\n<h3>5. Mant\u00e9m as evid\u00eancias entre auditorias<\/h3>\n<p>A <a href=\"https:\/\/factorialhr.pt\/blog\/como-obter-iso-27001\/\">certifica\u00e7\u00e3o<\/a> tem <strong>uma validade de tr\u00eas anos<\/strong>, com uma auditoria de acompanhamento todos os anos e uma recertifica\u00e7\u00e3o no fim do ciclo. O auditor vai analisar evid\u00eancias de todo o per\u00edodo decorrido desde a \u00faltima visita, e n\u00e3o apenas do m\u00eas anterior.<\/p>\n<p>Se as evid\u00eancias s\u00f3 forem geradas quando a auditoria se aproxima, cada acompanhamento volta a ser uma corrida contra o tempo. <strong>As que se produzem de forma cont\u00ednua<\/strong>, com respons\u00e1veis e frequ\u00eancias bem definidos, eliminam esse problema e fazem com que o sistema funcione tamb\u00e9m no resto do ano.<\/p>\n<h2>Erros habituais com as evid\u00eancias<\/h2>\n<p>A maioria das n\u00e3o conformidades que surgem numa auditoria tem pouco que ver com controlos que n\u00e3o existem. Costumam resultar de controlos que existem mas que n\u00e3o se conseguem demonstrar. Estes s\u00e3o os erros mais frequentes.<\/p>\n<ul>\n<li><strong>Capturas de ecr\u00e3 sem contexto.<\/strong> Uma imagem que mostra \u00abencripta\u00e7\u00e3o ativada\u00bb n\u00e3o diz em que equipamento, em que data nem se se aplica ao resto do parque. As capturas podem complementar, mas raramente chegam por si s\u00f3.<\/li>\n<li><strong>Evid\u00eancias criadas \u00e0 \u00faltima hora.<\/strong> Uma ata de revis\u00e3o redigida na semana anterior \u00e0 auditoria ou um registo preenchido com datas passadas detetam-se com facilidade. E ainda comprometem a credibilidade do resto do sistema.<\/li>\n<li><strong>A pol\u00edtica diz uma coisa e a pr\u00e1tica outra.<\/strong> Se a pol\u00edtica define revis\u00f5es de acessos trimestrais e s\u00f3 existe uma por ano, o auditor vai levantar uma n\u00e3o conformidade, mesmo que a revis\u00e3o esteja bem feita. Mais vale ajustar a pol\u00edtica a uma frequ\u00eancia realista do que n\u00e3o a cumprir.<\/li>\n<li><strong>Evid\u00eancias dispersas.<\/strong> Aprova\u00e7\u00f5es no e-mail, exporta\u00e7\u00f5es no port\u00e1til de uma pessoa e tickets em tr\u00eas ferramentas diferentes. Quando a pessoa que sabia onde estava tudo vai de f\u00e9rias ou sai da empresa, a evid\u00eancia desaparece com ela.<\/li>\n<li><strong>Ativos que n\u00e3o constam do invent\u00e1rio.<\/strong> Um port\u00e1til que ningu\u00e9m registou ou uma aplica\u00e7\u00e3o SaaS contratada por um departamento sem passar pelo IT. Se o ativo n\u00e3o estiver no <a href=\"https:\/\/factorialhr.pt\/blog\/inventario-de-ativos-iso-27001\/\">invent\u00e1rio de ativos<\/a>, nenhum controlo se lhe aplica, e o auditor costuma dar com ele ao cruzar dados.<\/li>\n<li><strong>Sa\u00eddas mal fechadas.<\/strong> A conta principal \u00e9 desativada, mas o acesso a uma ferramenta SaaS continua ativo ou o port\u00e1til n\u00e3o foi devolvido. As sa\u00eddas est\u00e3o entre as primeiras amostras que o auditor pede, porque revelam rapidamente se os processos de RH e de IT est\u00e3o ligados.<\/li>\n<\/ul>\n<h2>Como \u00e9 que o Factorial IT te ajuda com as evid\u00eancias ISO 27001?<\/h2>\n<p>Boa parte das evid\u00eancias do Anexo A s\u00e3o t\u00e9cnicas. Descrevem o estado dos dispositivos, dos acessos e dos ativos da empresa num momento concreto. Recolh\u00ea-las \u00e0 m\u00e3o obriga a exportar dados de v\u00e1rias ferramentas, cruz\u00e1-los e repetir o processo antes de cada auditoria.<\/p>\n<p>O <a href=\"https:\/\/factorialhr.pt\/factorial-it\">Factorial IT<\/a> gera essas evid\u00eancias de forma cont\u00ednua a partir da gest\u00e3o di\u00e1ria do parque de dispositivos, e cada relat\u00f3rio traz a sua data.<\/p>\n<ul>\n<li><strong>Invent\u00e1rio de ativos sempre atualizado (5.9).<\/strong> Os dispositivos ficam registados automaticamente com o respetivo propriet\u00e1rio, em parques mistos macOS, Windows, Linux, iOS e Android. O invent\u00e1rio pode ser descarregado com data e percentagem de cobertura.<\/li>\n<li><strong>Estado de seguran\u00e7a de cada dispositivo (8.1, 8.9 e 8.24).<\/strong> As pol\u00edticas de seguran\u00e7a s\u00e3o aplicadas a partir do MDM, e o estado de conformidade de cada equipamento, incluindo a encripta\u00e7\u00e3o do disco, fica registado.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201960 aligncenter\" src=\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png\" alt=\"invent\u00e1rio Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png 1024w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-300x146.png 300w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-768x373.png 768w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Patches e vulnerabilidades (8.8).<\/strong> Visibilidade sobre as atualiza\u00e7\u00f5es aplicadas e pendentes por dispositivo, com o respetivo hist\u00f3rico.<\/li>\n<li><strong>Prote\u00e7\u00e3o contra malware (8.7).<\/strong> O EDR integrado mostra a cobertura por equipamento e o registo de alertas e respostas.<\/li>\n<li><strong>Sa\u00eddas ligadas aos RH (5.11, 6.5 e 7.14).<\/strong> Como o Factorial IT est\u00e1 sincronizado com as entradas e sa\u00eddas registadas na Factorial, cada sa\u00edda despoleta a remo\u00e7\u00e3o de acessos, a devolu\u00e7\u00e3o do equipamento e o apagamento remoto. Fica registado o tempo entre a sa\u00edda nos RH e o corte do \u00faltimo acesso, que \u00e9 precisamente a amostra que o auditor costuma pedir.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201970 aligncenter\" src=\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png\" alt=\"evid\u00eancias Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png 1024w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-300x146.png 300w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-768x372.png 768w, https:\/\/factorialhr.pt\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Aplica\u00e7\u00f5es SaaS e acessos (5.15 e 5.23).<\/strong> Visibilidade sobre as aplica\u00e7\u00f5es em uso, quem tem acesso a cada uma e dete\u00e7\u00e3o de ferramentas usadas sem passar pelo IT.<\/li>\n<li><strong>M\u00f3dulo de Compliance.<\/strong> Re\u00fane o estado destes controlos num \u00fanico s\u00edtio, para que preparar a auditoria passe a ser rever e descarregar em vez de procurar.<\/li>\n<\/ul>\n<p>Conv\u00e9m ser claro quanto ao limite. O Factorial IT trabalha na camada t\u00e9cnica da conformidade. As evid\u00eancias do SGSI, como a avalia\u00e7\u00e3o de riscos, a declara\u00e7\u00e3o de aplicabilidade, a auditoria interna ou a revis\u00e3o pela dire\u00e7\u00e3o, dependem da tua equipa e do teu processo de gest\u00e3o. Nenhuma ferramenta as substitui.<\/p>\n<p>Para cobrir essa parte, a Factorial disponibiliza um <a href=\"https:\/\/factorialhr.pt\/consultoria-iso-27001\">servi\u00e7o de certifica\u00e7\u00e3o ISO 27001 de princ\u00edpio a fim<\/a> com parceiros especializados, que acompanha a empresa desde o diagn\u00f3stico at\u00e9 \u00e0 auditoria. E se quiseres ver controlo a controlo que evid\u00eancia a plataforma gera, tens tudo em detalhe no artigo sobre <a href=\"https:\/\/factorialhr.pt\/blog\/como-e-que-o-factorial-it-ajuda-a-cumprir-a-iso-27001\/\">como \u00e9 que o Factorial IT ajuda a cumprir a ISO 27001<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>As evid\u00eancias s\u00e3o o que transforma o teu sistema de gest\u00e3o de seguran\u00e7a em algo que um auditor consegue verificar. Sem elas, uma pol\u00edtica aprovada ou um controlo bem desenhado n\u00e3o contam para a certifica\u00e7\u00e3o. O problema \u00e9 que costumam estar espalhadas por ferramentas, pastas e e-mails, e reuni-las \u00e0 \u00faltima hora \u00e9 uma das<a href=\"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":206878,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1094],"tags":[],"class_list":["post-206875","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-iso-27001-pt-pt"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Evid\u00eancias ISO 27001: o que pede o auditor | Factorial<\/title>\n<meta name=\"description\" content=\"Tens d\u00favidas sobre as evid\u00eancias ISO 27001? Explicamos-te tudo o que precisas de saber para preparar a auditoria. Descobre aqui!\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorialhr.pt\/blog\/evidencias-iso-27001\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Evid\u00eancias ISO 27001: o que pede o auditor e como prepar\u00e1-las\" \/>\n<meta property=\"og:description\" content=\"Tens d\u00favidas sobre as evid\u00eancias ISO 27001? Explicamos-te tudo o que precisas de saber para preparar a auditoria. Descobre aqui!\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorialhr.pt\/blog\/evidencias-iso-27001\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-10T15:29:22+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/10171231\/evidencias-iso-27001-1.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"14 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"Evid\u00eancias ISO 27001: o que pede o auditor e como prepar\u00e1-las\",\"datePublished\":\"2026-11-10T15:29:22+00:00\",\"dateModified\":\"2026-11-10T15:29:22+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/\"},\"wordCount\":3244,\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"articleSection\":[\"ISO 27001\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/\",\"url\":\"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/\",\"name\":\"Evid\u00eancias ISO 27001: o que pede o auditor | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/#website\"},\"datePublished\":\"2026-11-10T15:29:22+00:00\",\"dateModified\":\"2026-11-10T15:29:22+00:00\",\"description\":\"Tens d\u00favidas sobre as evid\u00eancias ISO 27001? Explicamos-te tudo o que precisas de saber para preparar a auditoria. Descobre aqui!\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorial.com\/blog\/#website\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorial.com\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorial.com\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Evid\u00eancias ISO 27001: o que pede o auditor | Factorial","description":"Tens d\u00favidas sobre as evid\u00eancias ISO 27001? Explicamos-te tudo o que precisas de saber para preparar a auditoria. Descobre aqui!","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorialhr.pt\/blog\/evidencias-iso-27001\/","og_locale":"en_US","og_type":"article","og_title":"Evid\u00eancias ISO 27001: o que pede o auditor e como prepar\u00e1-las","og_description":"Tens d\u00favidas sobre as evid\u00eancias ISO 27001? Explicamos-te tudo o que precisas de saber para preparar a auditoria. Descobre aqui!","og_url":"https:\/\/factorialhr.pt\/blog\/evidencias-iso-27001\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-11-10T15:29:22+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/10171231\/evidencias-iso-27001-1.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"14 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/#article","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"Evid\u00eancias ISO 27001: o que pede o auditor e como prepar\u00e1-las","datePublished":"2026-11-10T15:29:22+00:00","dateModified":"2026-11-10T15:29:22+00:00","mainEntityOfPage":{"@id":"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/"},"wordCount":3244,"publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"articleSection":["ISO 27001"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/","url":"https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/","name":"Evid\u00eancias ISO 27001: o que pede o auditor | Factorial","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/#website"},"datePublished":"2026-11-10T15:29:22+00:00","dateModified":"2026-11-10T15:29:22+00:00","description":"Tens d\u00favidas sobre as evid\u00eancias ISO 27001? Explicamos-te tudo o que precisas de saber para preparar a auditoria. Descobre aqui!","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorial.com\/blog\/pt-pt\/evidencias-iso-27001\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorial.com\/blog\/#website","url":"https:\/\/factorial.com\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorial.com\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/factorial.com\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorial.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206875"}],"collection":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/comments?post=206875"}],"version-history":[{"count":2,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206875\/revisions"}],"predecessor-version":[{"id":206877,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206875\/revisions\/206877"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media\/206878"}],"wp:attachment":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media?parent=206875"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/categories?post=206875"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/tags?post=206875"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}