Compliance não é Segurança, mas as Correspondências Ajudam as Duas

Todo profissional de segurança já encontrou a organização certificada que sofreu uma violação mesmo assim. A lição não é ignorar a compliance; é impedir que ela consuma todo o orçamento de segurança.

É uma das observações mais antigas da profissão: compliance não é segurança. Relatórios de violações frequentemente mostram organizações que possuíam os certificados corretos e passaram em suas auditorias. A observação é verdadeira, mas a conclusão habitual, de que compliance é teatro, está errada. Compliance e segurança se sobrepõem em grande medida. O problema está no que acontece nas bordas e no tempo que a compliance consome.

Onde se alinham

Os frameworks concordam quanto aos fundamentos porque os fundamentos funcionam. Cada um dos onze frameworks que mapeamos exige gestão de ativos, gestão de vulnerabilidades, backup e recuperação, resposta a incidentes e notificação de incidentes (o núcleo comum). A maioria exige MFA, registro de logs, revisões de acesso e segurança de fornecedores. Uma organização que realmente executa essas práticas é muito mais difícil de invadir do que uma que não o faz, com ou sem certificado.

Onde divergem

Escopo. Uma auditoria cobre um sistema definido. Atacantes não respeitam escopo: a violação entra pelo notebook corporativo, pelo servidor de testes esquecido ou pelo fornecedor fora do perímetro.
Ponto no tempo. Controles que funcionam na amostra da auditoria podem não funcionar em todos os lugares, todos os dias.
Desenho versus eficácia. Um controle pode existir, estar documentado e ter sido testado e, ainda assim, não impedir o ataque para o qual foi criado: um MFA que pode ser contornado por phishing, um scanner que não enxerga metade do parque.
O que os frameworks deixam de fora. Vários dos caminhos de ataque mais explorados (APIs, aplicações web, DNS) são exigidos por poucos frameworks, como mostra nossa análise de os tópicos que os frameworks deixam de lado.

Fotografia de um portão de jardim de madeira com um cadeado robusto ao lado de uma cerca com uma tábua faltando — Controles fortes nos pontos auditados não ajudam se o ataque acontecer em outro lugar.

O custo real: tempo

O problema maior não é que a compliance esteja errada; é que ela é cara. Uma organização com três ou quatro frameworks pode gastar a maior parte do esforço de segurança com mapeamento, evidências e auditorias, grande parte delas duplicada. Cada hora gasta produzindo a mesma revisão de acesso em três formatos é uma hora que não vai para a caça a ameaças, o endurecimento de sistemas ou a superfície de ataque que nenhum auditor analisa.

Como as correspondências ajudam nas duas

É aqui que o mapeamento se paga. Se você sabe que um controle atende ao ISO 27001, SOC 2, PCI DSS e NIS2 ao mesmo tempo, você o implementa uma vez, o comprova uma vez e deixa de pagar o custo de compliance três vezes. O tempo economizado é o tempo que a segurança precisa. Uma boa correspondência também mostra onde os frameworks se calam, e é exatamente aí que sua própria avaliação de riscos deve chegar.

Direção	Mapeado	Vagamente relacionado	Sem mapeamento
Tem ISO 27001 → precisa de SOC 2	41 de 61 (67%)	0	20	relatório →
Tem SOC 2 → precisa de ISO 27001	98 de 123 (80%)	21	4	relatório →

Sinais de que um programa virou apenas compliance

O trabalho de segurança é agendado em torno das datas de auditoria, não das ameaças.
Os controles existem apenas dentro do escopo da auditoria; o restante do parque fica intocado.
As métricas medem documentos e taxas de conclusão, não resultados como tempo para aplicar correções ou tempo para detectar.
A equipe consegue dizer qual requisito de framework um controle atende, mas não qual ataque ele impede.
Os achados são encerrados alterando documentos em vez de alterar sistemas.

Se vários desses sinais soarem familiares, a solução não é abandonar a compliance; é automatizá-la e redirecionar o tempo economizado.

Principais conclusões

Compliance e segurança compartilham os fundamentos, mas divergem nas bordas.
O maior custo da compliance é o esforço duplicado.
Mapeie uma vez, automatize as evidências e invista o tempo economizado em segurança.

O que fazer

Construa um único conjunto de controles mapeado para cada framework ao qual você responde, em vez de um programa para cada framework.
Automatize as evidências sempre que o sistema puder produzi-las.
Invista o tempo economizado no que as auditorias não veem: gestão da superfície de ataque, engenharia de detecção, testes.
Meça a segurança separadamente da compliance: incidentes, tempo para aplicar correções, resiliência a phishing, tempo de recuperação.

Compliance é o piso, não o teto. Use correspondências para chegar ao piso com o menor custo possível e depois avance. A análise de lacunas e a matriz de cobertura são o ponto de partida.

Perguntas

Uma organização em conformidade é segura?

Não necessariamente. A compliance mostra que controles específicos existem e funcionam dentro de um escopo definido; atacantes miram o que estiver mais fraco, dentro do escopo ou não.

A compliance melhora a segurança de alguma forma?

Sim: frameworks impõem o básico que muitas organizações deixariam de lado, como inventários de ativos, aplicação de patches, revisões de acesso e planos de resposta a incidentes. O problema surge quando a compliance se torna todo o programa.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

Compliance não é segurança, mas as correspondências ajudam nas duas