Uma avaliação de riscos para ISO 27001, SOC 2 e HIPAA

A avaliação de riscos é o ponto de partida de três dos frameworks mais comuns. A ISO 27001 constrói tudo sobre ela (cláusula 6.1.2). O SOC 2 dedica uma seção de seus critérios comuns a ela (CC3.1 a CC3.4). A Regra de Segurança da HIPAA torna a análise de riscos sua primeira especificação de implementação obrigatória (§164.308(a)(1)(ii)(A)), sendo também o primeiro documento que os investigadores do HHS solicitam. Muitas organizações conduzem três. Uma é suficiente.

O que cada framework verifica

• ISO 27001 exige um método definido e repetível, com critérios de aceitação; riscos identificados para confidencialidade, integridade e disponibilidade; proprietários; análise de probabilidade e consequência; e vínculo com o tratamento de riscos e a Declaração de Aplicabilidade.
• SOC 2 exige objetivos especificados com clareza suficiente para identificar riscos (CC3.1), riscos identificados e analisados em toda a entidade (CC3.2), risco de fraude considerado (CC3.3) e mudanças avaliadas (CC3.4).
• HIPAA exige uma avaliação precisa e completa dos riscos e vulnerabilidades para ePHI, onde quer que seja criada, recebida, mantida ou transmitida, mantida atualizada e seguida de gestão de riscos (§164.308(a)(1)(ii)(B)).

Em nossos dados, esses requisitos se vinculam diretamente:

Framework	Avaliação de riscos	Vínculo
NIST CSF 2.0	ID.RA-03ID.RA-04ID.RA-05ID.RA-06	Definição do tópico
ISO 27001	Clause 6.1.2Clause 6.1.3	Correspondência
CIS v8.1	—	Sem mapeamento em nossos dados
SOC 2	CC3.2CC3.4CC3.3	Editorial
PCI DSS	12.3.1	Correspondência
CMMC	RA.L2-3.11.1	Correspondência
800-53	RA-3RA-7	Correspondência
HIPAA	§164.308(a)(1)(ii)(A)	Correspondência
GDPR	Art.35(1)Art.35(7)	Editorial
NIS2	2.1	Correspondência
Essential Eight	—	Sem mapeamento em nossos dados

Detalhe completo e o motivo de cada ligação: Avaliação de riscos em todos os frameworks →

Desenhando uma avaliação para os três

1. Defina um escopo que abranja tudo: o escopo do SGSI, o sistema do SOC 2 e todos os locais de ePHI. Registre quais ativos se enquadram em cada framework.
2. Use um único método: baseado em ativos ou cenários, com escala de probabilidade e impacto, critérios de aceitação e proprietários. Os requisitos da ISO para um método documentado e repetível são os mais rigorosos, então atenda-os.
3. Acrescente os questionamentos específicos de cada framework: risco de fraude (SOC 2 CC3.3), ameaças e vulnerabilidades específicas de ePHI (HIPAA) e riscos legais e contratuais.
4. Vincule cada risco ao tratamento: controles escolhidos, risco residual, aceitação pelo proprietário. Essa única tabela alimenta a Declaração de Aplicabilidade da ISO, as atividades de controle do SOC 2 e a gestão de riscos da HIPAA.

Entregáveis que atendem aos três auditores

• O método, aprovado.
• Um registro de riscos com proprietários, pontuações e decisões de tratamento.
• Um plano de tratamento de riscos com datas.
• Aceitação do risco residual pelos proprietários.
• Evidências de revisão pelo menos anualmente e após mudança significativa.

Um formato simples de registro de riscos

Uma linha por risco funciona para os três frameworks:

Campo	Exemplo
Risco	Ransomware criptografa o banco de dados de produção
Ativos	Banco de dados de produção, backups, repositório de ePHI
Frameworks	ISO 27001, SOC 2, HIPAA
Probabilidade e impacto	Possível, severo
Controles existentes	MFA, EDR, backups noturnos
Tratamento	Isolar backups; testar restaurações trimestralmente
Proprietário	Chefe de infraestrutura
Risco residual e aceitação	Médio, aceito pelo CTO
Data de revisão	Próximo trimestre

A coluna de frameworks é o truque: ela permite que um único registro responda a três auditores sem três planilhas.

Principais conclusões

• Um método e um registro podem atender à ISO 27001, ao SOC 2 e à HIPAA.
• Acrescente os questionamentos específicos de cada framework: risco de fraude e locais de ePHI.
• Revise pelo menos anualmente e após mudança significativa.

Achados comuns

• Riscos genéricos ("hackers", "vazamento de dados") sem vínculo com ativos ou controles específicos.
• Sem proprietários, ou a equipe de segurança sendo dona de todos os riscos.
• Locais de ePHI esquecidos: exportações, backups, e-mail, sistemas de teste.
• Desatualizada: avaliada uma vez para a primeira auditoria e nunca mais.

Para saber mais sobre como esses frameworks se relacionam, veja a comparação ISO 27001 vs HIPAA e o tópico Avaliação de Riscos. A análise de lacunas mostra todo mapeamento entre quaisquer dois.

Perguntas

A análise de riscos da HIPAA é igual a uma avaliação de riscos da ISO 27001?

Elas se sobrepõem muito. A HIPAA exige uma avaliação precisa e completa dos riscos à confidencialidade, integridade e disponibilidade do ePHI; uma avaliação de riscos da ISO 27001 que inclua o ePHI no escopo e registre os elementos específicos da HIPAA pode atender a ambas.

Com que frequência uma avaliação de riscos deve ser feita?

A ISO 27001 exige avaliações de riscos em intervalos planejados e após mudanças significativas. Auditores do SOC 2 normalmente esperam uma avaliação de riscos pelo menos anualmente. A HIPAA exige que a análise de riscos seja mantida atualizada.

A avaliação de riscos deve ser qualitativa ou quantitativa?

Qualquer uma funciona para os três frameworks, desde que o método seja definido, aplicado de forma consistente e produza resultados comparáveis. A maioria das organizações começa qualitativa e acrescenta números onde as decisões precisam deles.