Capítulo 24 — Governança, riscos e compliance de segurança: controles

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Selecionar controles"]
  N1["24.2 Declaração de aplicabilidade"]
  N2["24.3 Responsáveis"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Selecionar controles"]
  N1["24.2 Declaração de aplicabilidade"]
  N2["24.3 Responsáveis"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX070"]

[24.1 Selecionar controles]
    |
    v
[24.2 Declaração de aplicabilidade]
    |
    v
[24.3 Responsáveis]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) selecionar controles para os principais riscos da Elmfield; (2) escrever uma declaração de aplicabilidade; (3) atribuir responsáveis aos controles.

24.1 Selecionar controles

Para cada risco principal, Sofia seleciona controles da ISO/IEC 27002:2022. Para os dados mal endereçados: links de compartilhamento seguros, conferência de destinatários e treinamento. Para os notebooks perdidos: criptografia e apagamento remoto. Para o ransomware: backups offline, autenticação multifator e direitos de administrador limitados. Para o mau uso pelo prestador: contas nominais e revisões de acesso. Ela aprende que selecionar de um catálogo reconhecido torna as escolhas mais fáceis de explicar e ajuda a garantir que nada óbvio fique de fora. Ligar cada controle a um risco nomeado também permite mostrar aos auditores por que cada um foi escolhido.

24.2 Declaração de aplicabilidade

A ISO/IEC 27001:2022, adotada no Brasil como ABNT NBR ISO/IEC 27001:2022, exige uma declaração de aplicabilidade que liste os controles de referência, se cada um está incluído e por quê. Sofia redige uma para a Elmfield. A maioria dos controles é incluída. Alguns são excluídos com motivos: os controles de desenvolvimento seguro ficam de fora porque a Elmfield não desenvolve software, embora os controles de fornecedores cubram seu sistema habitacional. Ela aprende que as exclusões precisam ser justificadas pelo escopo e pelo risco, e não pela conveniência, e que a declaração se torna um documento-chave para os auditores.

24.3 Responsáveis

Cada controle precisa de um responsável que garanta sua operação. Sofia atribui os responsáveis: o líder de TI para backups e criptografia, os gestores para as revisões de acesso, a encarregada de proteção de dados para as regras de compartilhamento e a gerente financeira para os contratos com fornecedores. Ela escreve uma descrição de uma linha da operação de cada controle. Aprende que os responsáveis precisam de autoridade e de tempo; atribuir tudo ao líder de TI sobrecarregaria uma pessoa e deixaria controles sem execução quando ela estivesse ausente. Dividir a responsabilidade distribui a carga entre papéis com o conhecimento certo.

Exemplo resolvido

Sofia seleciona controles para quatro riscos, redige uma declaração de aplicabilidade com exclusões justificadas e distribui a responsabilidade.

Caso sintético. Os controles da Elmfield são sintéticos; a ISO/IEC 27001:2022 (ABNT NBR ISO/IEC 27001:2022) e a 27002:2022 são reais.

Erros e limites

Os controles de catálogo precisam ser adaptados. Os responsáveis mudam de função.

Exercícios

• EX070 — Controles dos notebooks. Que controles tratam os notebooks perdidos?
  Mostrar critérios de avaliação

  Rubrica: 3 = criptografia e apagamento remoto;; 2 = dois;; 1 = vago;; 0 = nenhuma.
• EX071 — Exclusão justificada. Por que os controles de desenvolvimento seguro foram excluídos?
  Mostrar critérios de avaliação

  Rubrica: 3 = a Elmfield não desenvolve software;; 2 = sem desenvolvimento;; 1 = vago;; 0 = nenhuma.
• EX072 — Distribuição dos responsáveis. Por que não atribuir todos os controles ao líder de TI?
  Mostrar critérios de avaliação

  Rubrica: 3 = sobrecarregaria uma pessoa;; 2 = sobrecarga;; 1 = vago;; 0 = nenhuma.

Síntese

A seleção baseada em catálogos, uma declaração de aplicabilidade justificada e a responsabilidade distribuída tornam os controles reais.