Estruturas de Conformidade

Conformidade significa atender aos requisitos de segurança definidos por leis, regulamentações ou normas do setor. As estruturas fornecem às organizações um conjunto estruturado e reconhecido de controles para implementar e comprovar.

Conformidade não é o mesmo que segurança, mas uma boa estrutura promove melhorias reais.

ISO/IEC 27001 é uma norma internacional para um ISMS (Sistema de Gestão da Segurança da Informação). Ela é baseada em riscos: você identifica os riscos, seleciona controles (do Anexo A) e melhora continuamente.

• A certificação é emitida por auditores credenciados.
• O foco está no processo de gestão, não apenas na tecnologia.

SOC 2 (Controles de Sistemas e Organizações) é um relatório de atestação, comum para provedores de software como serviço, baseado nos Critérios de Serviços de Confiança da AICPA: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade.

• Tipo I: controles projetados em um determinado momento.
• Tipo II: controles que operam de forma eficaz durante um período.

PCI DSS (Norma de Segurança de Dados do Setor de Cartões de Pagamento) aplica-se a qualquer organização que armazene, processe ou transmita dados de titulares de cartões. É uma norma prescritiva, com requisitos concretos.

• Criptografe os dados dos titulares de cartões e use segmentação de rede.
• Restrinja o access com base na necessidade de saber.
• Teste e monitore regularmente.

Você também encontrará:

• GDPR: proteção de dados e privacidade na EU.
• HIPAA: dados de saúde nos US.
• NIST CSF / 800-53: estrutura e catálogo de controles dos US.

Muitos se sobrepõem, portanto os controles podem ser mapeados entre as estruturas.

As estruturas ficam em um espectro:

• Baseada em riscos (ISO 27001): você escolhe controles proporcionais aos seus riscos.
• Prescritiva (PCI DSS): requisitos obrigatórios específicos, independentemente do contexto.

Saber qual é o tipo informa quanto espaço você tem para adaptar os controles.

Definir o escopo é o primeiro passo prático. O escopo determina a quais sistemas, dados e processos a estrutura se aplica.

Para PCI DSS, a segmentação pode reduzir o escopo e o custo ao isolar os sistemas de titulares de cartões do restante da rede.

As estruturas organizam os requisitos em controles, geralmente agrupados em famílias como controle de access, criptografia, registro de eventos e resposta a incidentes.

Cada controle precisa de um responsável, uma implementação e evidências de que funciona.

Os resultados variam de acordo com a estrutura:

• Certificação (ISO 27001): um certificado de aprovação ou reprovação emitido por uma entidade credenciada.
• Atestação (SOC 2): um relatório com a opinião do auditor, compartilhado sob NDA.
• Validação (PCI DSS): um AOC e/ou ROC emitido por um QSA.

Conformidade não é um evento único. As normas esperam operação contínua, reavaliação periódica e melhoria.

• A ISO 27001 exige auditorias de acompanhamento.
• O SOC 2 Tipo II abrange um período de vários meses.
• O PCI DSS exige varreduras trimestrais e avaliação anual.

A maioria das organizações enfrenta várias estruturas ao mesmo tempo. Crie um mapeamento de controles para que um único controle bem implementado, como MFA, atenda simultaneamente ao requisito correspondente da ISO 27001, do SOC 2 e do PCI DSS, evitando trabalho duplicado.

Associe a estrutura à sua natureza.

As estruturas de conformidade organizam e comprovam a segurança:

• ISO 27001 = certificação de ISMS baseada em riscos.
• SOC 2 = atestação dos Critérios de Serviços de Confiança para provedores de serviços.
• PCI DSS = norma prescritiva para dados de titulares de cartões.
• Defina o escopo, atribua responsáveis pelos controles e mapeie controles sobrepostos para obter eficiência.