Segurança física em frameworks: o que empresas cloud-first esquecem
A maioria das equipes de segurança já roda tudo na nuvem e raramente pensa em fechaduras e câmeras. A maioria dos frameworks ainda os exige, e auditores continuam perguntando.
Esta publicação abrange as 11 normas que a ControlMapping tinha mapeado quando foi escrita. Desde então, foram acrescentadas DORA, CPS 234, Cyber Essentials em 2026-10-27; as respetivas páginas e a matriz de cobertura já as incluem.
A segurança física tornou-se o tópico esquecido dos programas de segurança modernos. As cargas de trabalho rodam no data center de outra empresa, a equipe trabalha de casa e o escritório é quase só mesas e café. Ainda assim, a maioria dos frameworks exige controles físicos, e quando auditamos nossos próprios mapeamentos, constatamos que esse tema estava subcoberto, por isso lhe demos um tópico próprio.
Quem exige o quê
| Framework | Segurança Física | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.AA-06DE.CM-02PR.IR-02 | Definição do tópico |
| ISO 27001 | A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12 | Correspondência |
| CIS v8.1 | — | Sem mapeamento em nossos dados |
| SOC 2 | CC6.4 | Editorial |
| PCI DSS | 9.2.19.2.39.3.19.2.1.19.3.1.19.3.2 | Correspondência |
| CMMC | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6 | Correspondência |
| 800-53 | PE-2PE-3PE-6PE-8PE-13PE-14 | Correspondência |
| HIPAA | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c) | Correspondência |
| GDPR | — | Sem mapeamento em nossos dados |
| NIS2 | 13.113.213.3 | Correspondência |
| Essential Eight | — | Sem mapeamento em nossos dados |
Detalhe completo e o motivo de cada ligação: Segurança Física em todos os frameworks →
Os frameworks mais exigentes
PCI DSS é o mais detalhado: controles de entrada em instalações com sistemas de dados de titulares de cartão, monitoramento de áreas sensíveis com câmeras ou sistemas de controle de acesso, autorização e registros de visitantes, tomadas e hardware de rede restritos, armazenamento seguro e destruição de mídias, e inspeção de dispositivos leitores de cartão quanto a adulterações (Requisito 9). CMMC Level 2 possui uma família inteira: limitar e monitorar o acesso físico, acompanhar visitantes, manter registros de acesso, gerenciar dispositivos de acesso e proteger o CUI em locais de trabalho alternativos (PE.L2-3.10.1 a 3.10.6). A ISO 27001 tem quatorze controles físicos no tema A.7, desde perímetros e controles de entrada até mesa limpa, manutenção de equipamentos e descarte seguro. A HIPAA traz um conjunto completo de salvaguardas físicas em §164.310.
Os que não exigem
Os CIS Controls deixaram a segurança física de fora na versão 8. O RGPD (GDPR) e o Essential Eight não tratam do tema. O SOC 2 o cobre em um único critério (CC6.4), e auditores de empresas exclusivamente em nuvem frequentemente aceitam, para esse ponto, o próprio relatório do provedor de nuvem.
O que auditores perguntam a uma empresa cloud-first
Espere uma lista curta de perguntas mesmo que você não possua nenhum servidor:
- Quais provedores de nuvem e de colocation hospedam seus sistemas, e onde está o relatório de garantia deles?
- Como você controla o acesso aos seus escritórios, e quem tem chaves ou crachás?
- Os visitantes são registrados e acompanhados onde há informações sensíveis visíveis?
- Como os notebooks são protegidos em caso de perda ou roubo (criptografia, apagamento remoto, um processo de comunicação)?
- Como são descartados unidades de disco, notebooks e papel?
Respostas claras, com alguma evidência (exportação do sistema de crachás, registro de visitantes, relatório de MDM, certificados de descarte), geralmente encerram o tema rapidamente.
Principais conclusões
- A maioria dos frameworks ainda exige controles físicos.
- Empresas cloud-first herdam a garantia do data center e precisam proteger escritórios, notebooks e mídias.
- Pagamentos presenciais com cartão trazem de volta os requisitos físicos do PCI para o escopo.
- O PCI DSS é o mais detalhado, chegando a registros de visitantes e à inspeção de leitores de cartão quanto a adulterações.
Como atender sem um data center
Para uma empresa sem servidores próprios, a segurança física se resume a quatro pontos:
- Herde o data center. O relatório SOC 2 ou o certificado ISO do seu provedor de nuvem cobre as instalações dele. Leia o escopo e registre na sua própria documentação que você depende dessa garantia.
- Proteja seu escritório de forma proporcional. Acesso por crachá, registro de visitantes, armazenamento trancado para qualquer informação sensível e uma política de mesa limpa (ISO A.7.7).
- Trate os notebooks como o perímetro. Criptografia de disco completo, bloqueio de tela, apagamento remoto e um processo para dispositivos perdidos cobrem a maior parte do que os controles físicos cobriam antes.
- Cuide das mídias e do descarte. Apague ou destrua unidades e dispositivos antes de reutilizá-los ou descartá-los (ISO A.7.14, PCI 9.4.7, HIPAA §164.310(d)).
Se você aceita pagamentos presenciais com cartão, leia com atenção o Requisito 9 do PCI DSS: dispositivos leitores de cartão no ponto de venda trazem os controles físicos de volta ao escopo, por mais nativa da nuvem que sua empresa seja.
A página do tópico Segurança Física lista todos os requisitos com suas fontes, e a análise de lacunas mostra o que um novo framework acrescenta ao que você já tem.
Perguntas
Os CIS Controls cobrem a segurança física?
Não. O CIS Controls v8 removeu a segurança física, por isso não há mapeamento para este tópico.
Como empresas exclusivamente em nuvem atendem aos requisitos de segurança física?
Confiando na garantia do provedor de nuvem para os data centers (por exemplo, o relatório SOC 2 ou o certificado ISO dele) e cuidando de seus próprios escritórios, dispositivos, mídias e visitantes.
Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.
Publicações relacionadas
Análise · 2026-10-27APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescentaUm ISMS ISO 27001 cobre quase todos os parágrafos da CPS 234 da APRA, mas a APRA acrescenta deveres do Conselho, garantia de terceiros e prazos rigorosos de notificação.
Análise · 2026-10-27Cyber Essentials vs Essential Eight: duas bases nacionaisO Cyber Essentials do Reino Unido e o Essential Eight da Austrália visam ataques comuns, mas cobrem terrenos diferentes. O que se sobrepõe, o que não se sobrepõe e por quê.
Análise · 2026-10-27DORA vs NIS2: o que um programa NIS2 já cobreDORA e NIS2 compartilham a maior parte do seu conteúdo de segurança, mas o DORA acrescenta um registro, cláusulas contratuais e testes orientados por ameaças. Artigo por artigo, veja o que se aproveita.