Controles, auditorias e certificação

Escolher uma estrutura é a parte fácil. O trabalho difícil é implementar os controles e depois demonstrar que funcionam por meio de auditorias e, quando necessário, obter a certificação.

Esta lição aborda a jornada prática: como os controles são implementados de fato, quais tipos de evidência os auditores esperam, como funciona o processo de auditoria e o que um certificado significa e não significa.

Os controles se dividem em três categorias clássicas, de acordo com a forma como reduzem os riscos:

• Preventivos — impedem que um incidente aconteça (MFA, barreiras de proteção, menor privilégio).
• De detecção — revelam um incidente em andamento ou após o ocorrido (registro de eventos, alertas do SIEM, monitoramento da integridade de arquivos).
• Corretivos — restauram a situação e limitam os danos após um incidente (cópias de segurança, aplicação de correções, resposta a incidentes).

Um programa sólido combina os três tipos em camadas; depender apenas da prevenção deixa a organização sem visibilidade quando ela falha.

Os controles também são classificados pela sua natureza:

• Administrativos — políticas, procedimentos, treinamentos e revisões de acesso.
• Técnicos — implementados por meio da tecnologia: criptografia, controle de acesso e registro de eventos.
• Físicos — fechaduras, leitores de crachás e instalações seguras.

Os auditores procuram cobertura nas três categorias. Um controle técnico perfeito, enfraquecido por uma política que ninguém segue, não é um controle de verdade.

Os auditores avaliam os controles em duas dimensões:

• Eficácia do desenho — o controle, se funcionar conforme planejado, é capaz de tratar o risco?
• Eficácia operacional — ele realmente funciona de maneira consistente ao longo de um período?

Um controle pode ser bem projetado no papel, mas falhar na operação (por exemplo, uma análise de registros que ninguém realiza de fato). As evidências devem comprovar as duas dimensões.

As auditorias são baseadas em evidências. Para cada controle, é necessário demonstrar que ele funciona. Artefatos comuns:

• Registros de revisões de acesso que comprovem a recertificação trimestral.
• Registros e chamados que comprovem que os alertas foram investigados.
• Exportações de configuração que mostrem a criptografia ou a MFA aplicadas.
• Registros de conclusão de treinamentos.

Os auditores selecionam uma amostra. Eles escolhem um controle, solicitam provas referentes a um período e o acompanham de ponta a ponta.

Há duas camadas de auditoria:

• Auditoria interna — a organização (ou um auditor interno contratado) analisa o próprio ISMS para identificar lacunas antes da auditoria externa. É exigida pela ISO 27001.
• Auditoria externa / de certificação — um organismo acreditado e independente avalia a organização para conceder o certificado.

As auditorias internas são um ensaio. Descobrir primeiro as próprias não conformidades é muito mais barato do que deixar que o organismo de certificação as encontre.

A certificação ISO 27001 ocorre em duas etapas:

• Etapa 1 — análise da documentação. O auditor verifica se os documentos do ISMS, o escopo, a política, a avaliação de riscos e a DA existem e são coerentes.
• Etapa 2 — auditoria da implementação. O auditor verifica se os controles realmente funcionam por meio de entrevistas, amostragem de evidências e observação.

Se você for aprovado nas duas etapas, receberá o certificado, geralmente válido por três anos, com acompanhamento contínuo.

As auditorias produzem constatações, classificadas de acordo com a gravidade:

• Não conformidade maior — um controle está ausente ou falha fundamentalmente; impede a certificação até ser corrigido.
• Não conformidade menor — uma falha que não compromete todo o sistema; exige um plano de ação corretiva.
• Observação / oportunidade de melhoria — orientação que não representa uma falha.

A organização responde com um plano de ação corretiva: causa raiz, correção e prevenção de recorrência.

A certificação não é permanente. Os certificados ISO 27001 seguem um ciclo:

• Auditorias de acompanhamento — geralmente anuais, são verificações mais simples para confirmar que o ISMS continua funcionando.
• Auditoria de recertificação — uma reavaliação completa, geralmente realizada a cada três anos.

Isso garante que o ISMS continue funcionando. Se os controles falharem entre as auditorias, você corre o risco de perder o certificado na próxima visita de acompanhamento.

Equipes maduras evitam a correria da auditoria buscando a conformidade contínua: coletam evidências automaticamente e mantêm os controles sempre prontos para auditoria.

• Automatize a coleta de evidências (revisões de acesso, instantâneos de configuração) em uma agenda.
• Monitore o desvio dos controles, por exemplo, um contêiner do S3 que se tornou público, em tempo real.
• Trate a conformidade como um estado contínuo, não como um projeto anual.

É também aqui que as ferramentas SOAR e de automação de conformidade fazem a diferença, transformando auditorias pontuais em garantia contínua.

Às vezes, um controle exigido realmente não pode ser implementado conforme especificado; por exemplo, um sistema legado pode não oferecer suporte a MFA. As estruturas de referência permitem controles compensatórios: uma alternativa que atende ao mesmo objetivo de risco.

• Documente por que o controle original é inviável.
• Descreva a alternativa (por exemplo, isolamento rigoroso da rede combinado com monitoramento reforçado do sistema legado).
• Demonstre que ela reduz o risco a um nível equivalente.

Os auditores aceitam controles compensatórios quando a justificativa e a redução equivalente do risco são comprovadas com clareza, e não apenas declaradas.

Controles, auditorias e certificação:

• Os controles são preventivos, detectivos ou corretivos por função, e administrativos, técnicos ou físicos por natureza; aplique todos em camadas.
• Os auditores avaliam tanto a eficácia do desenho quanto a eficácia operacional, e a operação exige evidências ao longo de um período.
• As auditorias internas identificam lacunas antes da auditoria externa de certificação, que ocorre na Etapa 1 (documentação) e na Etapa 2 (implementação).
• As constatações variam de não conformidades maiores e menores a observações; responda com planos de ação corretiva.
• Os certificados exigem auditorias de acompanhamento e recertificação; busque a conformidade contínua para permanecer sempre pronto para auditoria.