Os tópicos de segurança que menos frameworks exigem, e por que isso importa

Um programa de segurança construído apenas a partir de requisitos de conformidade tende a ser mais forte onde os frameworks concordam e mais fraco onde eles silenciam. Classificamos todos os cinquenta tópicos do ControlMapping pelo número de frameworks, entre os onze, que mapeiam um requisito para cada um deles. O fim dessa lista é onde um programa orientado por frameworks tem mais probabilidade de apresentar pontos cegos.

Os tópicos menos exigidos

Tópico	Mapeado em	Sem mapeamento em
Segurança de DNS	4 de 11	SOC 2, PCI DSS, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Ambiente de Negócios	5 de 11	CIS v8.1, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Inteligência de Ameaças	5 de 11	CIS v8.1, SOC 2, HIPAA, GDPR, NIS2, Essential Eight
Segurança de APIs	5 de 11	SOC 2, CMMC, HIPAA, GDPR, NIS2, Essential Eight
WAF	6 de 11	CMMC, HIPAA, GDPR, NIS2, Essential Eight
Comunicação	7 de 11	PCI DSS, HIPAA, GDPR, Essential Eight
Perícia forense	7 de 11	CIS v8.1, HIPAA, GDPR, Essential Eight
Segurança Móvel	7 de 11	PCI DSS, GDPR, NIS2, Essential Eight
Segurança Web	7 de 11	HIPAA, GDPR, NIS2, Essential Eight
Ameaça interna	8 de 11	CIS v8.1, SOC 2, Essential Eight

Por que esses tópicos estão ausentes

Os frameworks são escritos em um nível acima da tecnologia. ISO 27001, SOC 2 e GDPR descrevem resultados (“proteger a informação em redes”, “desenvolvimento seguro”) que se aplicam a qualquer tecnologia, por isso raramente citam DNS, APIs ou web application firewalls. Esses tópicos são cobertos de forma implícita, por meio de controles amplos, se sua avaliação de riscos os incluir.

Os frameworks ficam defasados em relação ao cenário de ameaças. Muitos foram redigidos quando o perímetro era um firewall e as aplicações eram softwares instalados. APIs, aplicações web hospedadas na nuvem e abuso de DNS tornaram-se caminhos de ataque comuns mais rapidamente do que as normas foram revisadas. A ISO 27001:2022 incluiu inteligência de ameaças e filtragem web como novos controles; o CSF 2.0 reforçou a segurança da cadeia de suprimentos e de plataformas. Outros ainda não acompanharam.

Alguns tópicos são contexto, não controles. “Ambiente de negócios” (entender sua missão, partes interessadas e dependências) é a base da governança. Os frameworks presumem essa base em vez de exigi-la.

Por que isso importa

Atacantes não leem frameworks. Alguns dos tópicos menos exigidos estão entre os mais explorados na prática: APIs expostas, aplicações web vulneráveis e manipulação de DNS. Um programa que implementa apenas o que os auditores solicitam pode ser aprovado em todas as auditorias e, ainda assim, deixar essas brechas abertas.

Os tópicos no fim da lista são onde sua própria avaliação de riscos precisa fazer o trabalho que os frameworks não fazem.

Principais conclusões

• Segurança de DNS, inteligência de ameaças, segurança de APIs e proteção de aplicações web são exigidas pelos menos frameworks que mapeamos.
• Isso se deve principalmente ao fato de os frameworks serem escritos acima da tecnologia e revisados lentamente, não porque esses tópicos importam menos.
• Vários dos tópicos menos exigidos estão entre os caminhos de ataque mais explorados na prática.
• Sua própria avaliação de riscos precisa cobrir o que os frameworks deixam de fora, e uma decisão fundamentada deve ser registrada em qualquer dos casos.

O que fazer

• Verifique o fim da lista em relação à sua própria superfície de ataque. Se você mantém APIs ou aplicações web públicas, segurança de APIs e segurança web importam independentemente do que seus frameworks dizem.
• Use como padrão o framework mais específico que cobre um tópico, mesmo que você não seja certificado nele. Os CIS Controls e o PCI DSS costumam ser mais específicos que a ISO 27001 em tópicos técnicos; as páginas de tópicos mostram quem exige o quê.
• Registre a decisão. Se sua avaliação de riscos concluir que um tópico não se aplica, anote o motivo. Auditores aceitam uma exclusão fundamentada; atacantes não se importam de qualquer forma.

A matriz de cobertura mostra todos os cinquenta tópicos contra os onze frameworks de forma resumida. Para o extremo oposto da lista, veja os tópicos que todos os frameworks compartilham.

Perguntas

Quais tópicos de segurança são exigidos por menos frameworks?

Nos dados do ControlMapping, segurança de DNS, inteligência de ameaças, segurança de APIs, ambiente de negócios e web application firewalls são mapeados em menos dos 11 frameworks.

Se um framework não exige um controle, posso deixá-lo de lado?

Do ponto de vista de conformidade, talvez; do ponto de vista de segurança, raramente. A maioria dos frameworks é baseada em riscos, então um tópico ausente geralmente significa ‘coberto pela sua avaliação de riscos’, não ‘desnecessário’.

Qual framework cobre melhor a segurança de APIs?

Nenhum a cobre de forma abrangente. O controle de segurança de software de aplicação dos CIS Controls e os requisitos de desenvolvimento seguro e de aplicações web voltadas ao público do PCI DSS estão entre os mais específicos; o OWASP API Security Top 10 é a referência técnica usual.