Conformidade em Cibersegurança

Conformidade em cibersegurança significa que as medidas de segurança de uma organização correspondem a um conjunto de requisitos externos e que ela consegue demonstrar isso quando solicitada. Os requisitos podem vir de uma lei, de uma regulamentação do setor, de um contrato com um cliente ou de uma norma publicada. A pergunta é sempre a mesma: a organização faz o que a regra determina e consegue comprovar?

O tema está ligado à proteção de dados, porque a maioria das regras existe para proteger informações pessoais, financeiras ou de saúde. É também uma tarefa de gestão: as obrigações precisam ser acompanhadas, atribuídas e revisadas, e disso trata a gestão de conformidade.

A palavra mais importante é evidência. Um controle que funciona, mas não deixa registro, é difícil de defender em uma auditoria, e uma política que ninguém segue é um risco, não uma proteção.

Poucas organizações respondem a um único conjunto de regras. As fontes diferem em quem as faz cumprir e no que acontece quando são descumpridas, por isso um bom primeiro passo é separá-las por origem. Muitos programas se organizam em torno de um modelo de gestão, como um ISMS, e os clientes costumam pedir um relatório independente, como o SOC 2.

Seja qual for o conjunto de regras, o trabalho segue um ciclo. Ele não termina com um certificado nem com uma auditoria aprovada, porque requisitos, sistemas e ameaças mudam o tempo todo. O ciclo se repete por meio do monitoramento de conformidade.

1. 1

   Definir o escopo

   Liste as leis, normas e contratos aplicáveis e os sistemas e dados que eles abrangem.

2. 2

   Ligar requisitos a controles

   Transforme cada requisito em um controle concreto com um responsável, como revisão de acessos ou retenção de logs.

3. 3

   Implementar e documentar

   Coloque os controles em prática e registre políticas e procedimentos que as pessoas consigam seguir.

4. 4

   Reunir evidências

   Guarde logs, relatórios e registros que mostrem cada controle funcionando ao longo do tempo.

5. 5

   Revisar e melhorar

   Teste os controles, corrija as falhas e repita o ciclo quando regras ou sistemas mudarem.

As evidências costumam vir das ferramentas que observam dados e usuários. No console do Anexet, as regras de segurança registram incidentes com um nível de risco, os relatórios de incidentes podem ser montados por regra e enviados em agenda, e os relatórios de segurança dão aos revisores um registro para trabalhar, em vez de telas reunidas na semana anterior à auditoria.

1 / 3

• 
• 
• 

A conformidade falha com mais frequência na passagem de responsabilidades do que na tecnologia. Um mapa curto de responsáveis liga cada requisito a alguém que pode agir.

Ser aprovado em uma auditoria mostra que os controles exigidos existiam e funcionavam quando foram testados. Isso não prova que a organização não pode ser invadida. As regras definem um piso, e os atacantes não leem esse piso, então uma empresa em conformidade ainda pode sofrer uma violação de dados.

O inverso também vale: uma segurança forte, mas sem documentação, pode ser reprovada em uma auditoria. O objetivo prático é tratar as regras como base e construir a segurança por cima, usando o risco de conformidade para decidir onde as falhas custariam mais.

A maioria dos programas tropeça nos mesmos pontos:

• Tratar a conformidade como um projeto anual, e não como um processo contínuo
• Reunir evidências apenas nas semanas anteriores à auditoria
• Comprar uma ferramenta e presumir que ela torna a organização conforme
• Escrever políticas que ninguém leu ou consegue seguir
• Ignorar terceiros, embora o acesso deles aos seus dados seja responsabilidade sua

Comece pequeno e de forma concreta. Anote quais regras se aplicam a você, escolha os dados que mais prejudicariam se fossem expostos e verifique se os controles básicos sobre eles existem e deixam registro. Amplie a partir daí, em vez de montar um modelo que ninguém usa.