Capítulo 18 — Governança, riscos e compliance de segurança: controles
Mapa da aula
Aula 18 publicada. Mapa, exemplo, EX052.
flowchart TD
N0["18.1 Documentar os controles"]
N1["18.2 Mapear para as obrigações"]
N2["18.3 Declaração de aplicabilidade"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX052"]
Desenho lógico
flowchart LR
N0["18.1 Documentar os controles"]
N1["18.2 Mapear para as obrigações"]
N2["18.3 Declaração de aplicabilidade"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX052"]
[18.1 Documentar os controles]
|
v
[18.2 Mapear para as obrigações]
|
v
[18.3 Declaração de aplicabilidade]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX052]
Objetivos de aprendizagem
Você vai (1) documentar os controles com donos e frequências; (2) mapear os controles para as obrigações; (3) preparar uma declaração de aplicabilidade simples.
18.1 Documentar os controles
Priya documenta os controles-chave da Riverton num registro de controles: nome, objetivo, dono, frequência, como opera e a evidência produzida. Por exemplo, o teste mensal de backup tem como dono o líder de TI, restaura cinco arquivos de amostra do arquivo de imagens e produz um registro de teste datado. Ela aprende que uma documentação clara permite que qualquer pessoa teste um controle e que os donos saibam exatamente o que se espera deles, o que reduz as divergências nas auditorias. Cinco arquivos de amostra do arquivo de imagens dão um teste concreto e repetível, que qualquer técnico consegue fazer.
18.2 Mapear para as obrigações
Priya mapeia cada controle para as obrigações que ele apoia. A criptografia apoia a lei de proteção de dados. A segmentação das maquininhas de cartão apoia o PCI DSS v4.0. As revisões de acesso apoiam tanto a proteção de dados quanto os compromissos contratuais com o provedor do sistema do consultório. O mapeamento mostra quais obrigações dependem de quais controles, para que o impacto de um controle que falhou possa ser avaliado em termos de compliance. Ela aprende que um controle muitas vezes apoia várias obrigações, o que aumenta sua importância. As revisões de acesso, que apoiam a lei e o contrato com o provedor, ficam por isso entre os controles mais importantes da Riverton.
18.3 Declaração de aplicabilidade
A Riverton estuda obter a certificação ISO/IEC 27001:2022 em dois anos. Priya prepara um rascunho de declaração de aplicabilidade (SoA) que lista os controles de referência da ISO/IEC 27002:2022 e se cada um se aplica, com os motivos. Os controles de desenvolvimento seguro de software são marcados como não aplicáveis, porque a Riverton não desenvolve software, embora os controles de fornecedores cubram seus provedores. Ela aprende que preparar a declaração cedo esclarece o escopo e evidencia as lacunas muito antes de uma auditoria. Marcar os controles de fornecedores como aplicáveis deixa claro como a Riverton cobre o provedor do sistema do consultório.
Exemplo resolvido
Priya monta um registro de controles, mapeia os controles para as obrigações e redige uma declaração de aplicabilidade com exclusões justificadas.
Caso sintético. Os controles são sintéticos; a ISO/IEC 27001:2022, a 27002:2022 e o PCI DSS v4.0 são reais.
Erros e limites
Os registros envelhecem. Os mapeamentos podem exagerar a cobertura.
Exercícios
- EX052 — Controle de backup. Como opera o teste mensal de backup? Rubrica: 3 = o líder de TI restaura cinco arquivos de amostra e registra o resultado;; 2 = teste de restauração;; 1 = vago;; 0 = nenhuma.
- EX053 — Várias obrigações. Por que um controle que apoia várias obrigações importa mais? Rubrica: 3 = sua falha afeta várias obrigações;; 2 = importância;; 1 = vago;; 0 = nenhuma.
- EX054 — Não aplicável. Por que os controles de desenvolvimento seguro não se aplicam? Rubrica: 3 = a Riverton não desenvolve software;; 2 = sem desenvolvimento;; 1 = vago;; 0 = nenhuma.
Síntese
Controles documentados e mapeados para as obrigações mostram para que serve cada controle e o que significa a sua falha.
Continue estudando — aula 18 (capítulo 18 de 30)
← Capítulo 17 · Índice das aulas · Capítulo 19 →
Continue para a próxima aula já escrita.