Seleção de Controles de Segurança e Análise de Lacunas

Os controles preventivos bloqueiam ameaças antes que sejam bem-sucedidas (firewalls, controle de acesso e criptografia). Os controles detectivos identificam ameaças que já ocorreram (IDS, registros de eventos e auditorias). Os controles corretivos reduzem o impacto após um incidente (cópias de segurança, planos de IR e atualizações). Uma defesa em camadas exige os três tipos.

Os controles abrangem várias dimensões: Física (fechaduras e câmeras), Técnica (firewalls e MFA) e Administrativa (políticas e treinamento). Para um determinado risco, selecione controles complementares entre as categorias — um controle técnico apoiado por uma política administrativa e pela segurança física cria uma verdadeira defesa em profundidade.

Selecione controles proporcionais ao risco. Calcule o risco residual: risco inerente menos a eficácia dos controles. Riscos de alta probabilidade e alto impacto justificam controles dispendiosos. Riscos de baixa probabilidade e baixo impacto podem ser aceitos sem controles. Documente a justificativa do tratamento de riscos.

A Revisão 5 do NIST 800-53 contém mais de 1.000 controles organizados em 20 famílias (AC, AU, CA, CM etc.). Agências federais e contratados devem implementar as linhas de base especificadas (Baixa/Média/Alta). O catálogo é a referência mais abrangente de controles técnicos disponível.

A análise de lacunas compara o estado atual da sua segurança com a linha de base de uma estrutura de destino. Etapas: (1) Documentar os controles atuais implementados, (2) Mapeá-los para os controles da estrutura, (3) Identificar controles não implementados ou parcialmente implementados, (4) Priorizar as lacunas por risco, (5) Criar um roteiro de correção.

Quando um controle ideal não é viável (por custo, restrições operacionais ou sistemas legados), implemente controles compensatórios que obtenham uma redução de risco equivalente por meios alternativos. Documente a justificativa do controle compensatório para os auditores e para a aceitação do risco.

Os controles devem ser testados — não se deve presumir que funcionam. Teste os controles preventivos tentando executar a ação bloqueada. Teste os controles detectivos simulando o evento e verificando sua detecção. Teste os controles corretivos realizando exercícios de simulação e simulações de recuperação.

Os Controles Críticos de Segurança da CIS (18 controles) são medidas de proteção práticas e priorizadas. Os Grupos de Implementação (IG1/IG2/IG3) variam da higiene básica para pequenas organizações a controles sofisticados para empresas. O IG1 oferece as proteções básicas de maior impacto para uma segurança mínima viável.

Os resultados da análise de lacunas tornam-se um roteiro de maturidade: priorize pela redução de risco por unidade monetária investida, agrupe os controles em ciclos de trabalho trimestrais, acompanhe o progresso em relação aos marcos de maturidade e informe o progresso às partes interessadas executivas usando a linguagem de riscos empresariais, em vez de jargão técnico.

A gestão de riscos de terceiros exige a avaliação dos controles da sua cadeia de fornecimento. Questionários de segurança, relatórios SOC 2, certificados ISO 27001 e resumos de testes de penetração fornecem evidências da eficácia dos controles dos fornecedores. Fornecedores de alto risco podem exigir avaliações no local.

Os controles se deterioram com o tempo — os níveis de atualização ficam defasados, as configurações se desviam e os direitos de acesso se acumulam. O monitoramento contínuo de controles por meio de ferramentas automatizadas de conformidade (AWS Config, Azure Policy e SCC) mantém um estado dos controles em tempo real, em vez de um instantâneo pontual obtido em auditorias anuais.

Qual é a diferença entre controles de segurança preventivos e detectivos?

A seleção de controles relaciona os riscos identificados aos controles preventivos, detectivos e corretivos apropriados nas categorias física, técnica e administrativa. A análise de lacunas identifica controles ausentes em relação às linhas de base dos frameworks, e um roteiro priorizado por risco promove melhorias sistemáticas rumo a uma maturidade de segurança mensurável.