Do relatório de lacunas ao plano: responsáveis, evidências e prazos

Executar uma análise de lacunas é a parte fácil. Nosso guia passo a passo leva você a uma planilha de acompanhamento com todos os requisitos não atendidos listados. O que acontece depois determina se o programa dá certo: muitas planilhas acabam como listas longas de linhas marcadas como "não atendido" que ninguém assume.

Passo 1: agrupe as linhas em frentes de trabalho

Os requisitos são numerados pela lógica do framework, não pela sua. Reagrupe as linhas não atendidas pelo que vai corrigi-las:

• Governança e política (escopo, papéis, políticas, aprovação da gestão)
• Identidade e acesso
• Gestão de vulnerabilidades e de patches
• Logs e monitoramento
• Resposta e notificação de incidentes
• Gestão de fornecedores
• Continuidade de negócios e backup
• Desenvolvimento seguro
• Segurança física

Uma frente de trabalho costuma fechar dez ou vinte linhas. Incluir requisitos de segurança nos contratos com fornecedores, por exemplo, pode atender simultaneamente requisitos da ISO 27001, PCI DSS, RGPD (GDPR) e NIS2.

Passo 2: sequencie por dependência e risco

1. Desbloqueadores primeiro: escopo, governança, política e avaliação de riscos. Trabalho técnico feito sem eles será refeito.
2. Lacunas de alto risco em seguida: sistemas expostos sem MFA, serviços voltados à internet sem patch, backups não testados.
3. Depois o restante, com a documentação e a coleta de evidências acontecendo em paralelo, e não no final.

Passo 3: estime com honestidade

Para cada frente: o trabalho, quem o executa, quanto tempo leva e quanto custa (pessoas, ferramentas, apoio externo). Os custos ocultos normalmente estão na operação do controle depois (uma revisão trimestral são quatro reuniões por ano, para sempre), e não na implantação.

Passo 4: atribua responsáveis que vão operar o controle

O responsável por uma tarefa de correção deve ser a pessoa que vai operar o controle depois: o gerente de TI para patches, o setor de compras para contratos com fornecedores, o RH para triagem de candidatos. O líder de conformidade coordena, verifica evidências e reporta o progresso, mas não pode ser dono de tudo.

Passo 5: defina "concluído" como evidência

Uma tarefa está concluída quando o controle funciona e gera evidência: a primeira revisão de acessos aprovada, o primeiro teste de restauração registrado, a política aprovada e comunicada. Registre a referência da evidência na planilha à medida que avança; na hora da auditoria, a planilha é o seu índice de evidências.

Um exemplo prático

Suponha que uma empresa certificada na ISO 27001 precise atender à NIS2. O relatório de lacunas ISO 27001 → NIS2 mapeia cada ponto da NIS2 a algo na ISO, mas a validação com a realidade encontra uma dúzia de pontos atendidos apenas parcialmente. Agrupados por correção, eles se reduzem a quatro frentes de trabalho:

• Governança: aprovação da gestão sobre as medidas e treinamento da alta direção (uma sessão do conselho e um curso, registrados).
• Notificação: procedimento de incidente significativo com prazos de 24 e 72 horas, modelos e um exercício.
• Fornecedores: critérios de seleção, cláusulas contratuais e revisão dos vinte principais fornecedores.
• Profundidade técnica: divulgação de vulnerabilidades, política de criptografia e métricas de eficácia.

Quatro responsáveis, quatro planos, cada um com data e lista de evidências, em vez de uma dúzia de linhas desconexas. Governança e notificação vêm primeiro porque as autoridades supervisoras perguntarão sobre elas antes; a profundidade técnica segue no trimestre seguinte.

Principais conclusões

• Reagrupe os requisitos não atendidos pelo que vai corrigi-los, e não pelo número do requisito.
• Faça governança, escopo e política primeiro; eles desbloqueiam todo o restante.
• Dê a cada frente de trabalho um responsável que vai operar o controle depois.
• Defina "concluído" como um controle que funciona e gera evidência.

Passo 6: reporte o progresso de forma simples

A liderança quer três números: requisitos atendidos, em andamento e não iniciados, por frente de trabalho, além dos riscos com atraso. Refaça a análise de lacunas periodicamente; quando ela é calculada a partir de dados atuais, como a nossa, os índices de cobertura mudam conforme você fecha lacunas e conforme os frameworks mudam.

Como ponto de partida, execute a análise de lacunas entre o framework que você tem e o que precisa, e exporte o resultado. As comparações mostram os pares mais comuns nos dois sentidos.

Perguntas

Como as lacunas de conformidade devem ser priorizadas?

Por risco e dependência: primeiro as lacunas que bloqueiam outras (governança, escopo, política), depois as lacunas técnicas de alto risco e, por fim, documentação e evidências. A numeração dos requisitos é um guia ruim para a ordem.

Quem deve ser responsável pelas tarefas de correção de conformidade?

As pessoas que vão operar o controle depois, e não a equipe de conformidade. A conformidade coordena e verifica as evidências; os responsáveis pelos controles entregam.

Quão detalhado deve ser um plano de projeto de conformidade?

Detalhado o suficiente para que cada frente de trabalho tenha um responsável, uma entrega, uma data e uma lista de evidências. O detalhe no nível do requisito pertence à planilha de acompanhamento; o plano deve caber em uma ou duas páginas.