Antes das políticas, não compre ferramentas de compliance

Uma sequência conhecida: a empresa precisa de SOC 2 ou ISO 27001, alguém pesquisa, e a primeira compra é uma ferramenta: uma plataforma de compliance, um conjunto de proteção de endpoints, um SIEM, um gerador de políticas. Meses depois a ferramenta está meio configurada, seus alertas são ignorados e o auditor faz perguntas que ela não responde. A ferramenta não era o problema. A ordem era.

Ferramentas implementam decisões

Cada controle precisa de algumas decisões antes que qualquer ferramenta ajude: o que está no escopo, quem é o responsável, com que frequência roda, o que significa “bom” e o que acontece quando falha. Essas decisões são sua política e seu procedimento. Comprar um scanner de vulnerabilidades sem elas significa receber milhares de achados sem responsável; comprar um SIEM sem elas significa coletar logs que ninguém lê.

Os frameworks concordam

Nenhum framework relevante exige um produto específico. A ISO 27001 pede políticas, tratamento de riscos e controles em operação. O SOC 2 avalia se os controles são desenhados e operam de forma eficaz. A PCI DSS começa cada um de seus doze requisitos com políticas e procedimentos documentados e papéis atribuídos. Todos pressupõem que o raciocínio vem primeiro.

Uma ordem melhor

1. Escopo e risco: o que estamos protegendo, contra quê, e quais frameworks se aplicam? Uma análise de lacunas mostra o que o próximo framework acrescenta ao que você já tem.
2. Defina cada controle: responsável, frequência, padrão e evidência. Escreva de forma breve; esse é o seu conjunto de políticas (veja um conjunto de políticas para vários frameworks).
3. Execute manualmente primeiro, quando possível. Uma revisão trimestral de acessos em uma planilha ensina o que a ferramenta precisa fazer.
4. Depois compre ferramentas que automatizem decisões que você já tomou, e avalie-as com base nessas decisões.

Quando a ferramenta vem primeiro, e o trabalho depois

Há exceções. Proteção de endpoints, MFA e backups valem a implantação imediata, porque seu valor não depende de ajustes finos. E plataformas de compliance que ajudam a escrever políticas e acompanhar controles podem acelerar a etapa dois, desde que você trate seus modelos e mapeamentos como rascunhos, não como respostas (já escrevemos sobre correspondências que você não consegue verificar).

Como é decidir primeiro

Tome o gerenciamento de vulnerabilidades, o controle mais comprado como produto. Antes de escolher um scanner, decida:

• Escopo: quais ativos são analisados (internos, externos, nuvem, contêineres) e como você saberá que a lista de ativos está completa.
• Frequência: a PCI DSS exige varreduras internas a cada três meses e após mudanças significativas; os CIS Controls pedem varreduras automatizadas de ativos internos e externos; seu próprio risco pode exigir mais.
• Severidade e prazos: como os achados são classificados e com que rapidez cada severidade deve ser corrigida.
• Responsabilidade: quem faz a triagem dos achados, quem os corrige e quem aceita o risco quando algo não pode ser corrigido.
• Evidência: qual relatório comprova que o controle rodou e que os achados foram tratados.

Com essas cinco respostas escritas, a avaliação de uma ferramenta fica simples: ela cobre o escopo, roda na frequência certa, classifica a severidade do seu jeito e gera a evidência? Sem elas, toda demonstração parece impressionante e nenhuma responde à sua auditoria. O mesmo exercício vale para registro de logs, proteção de endpoints e gestão de acessos. Nossas páginas de tópicos mostram o que cada framework exige para cada controle, o que é um bom checklist para as decisões, e o tópico de gerenciamento de vulnerabilidades é um bom ponto de partida.

Principais conclusões

• Ferramentas implementam decisões; compre-as depois de definir escopo, responsáveis, frequência e evidências.
• Nenhum framework relevante exige um produto específico.
• Execute um controle manualmente primeiro, se puder, e depois automatize.

O teste

Antes de comprar, pergunte: qual controle isto implementa, quem é o responsável por esse controle e que evidência ele vai produzir? Se ninguém souber responder, a compra está adiantada.

Perguntas

O que deve vir primeiro, as políticas ou as ferramentas?

Primeiro as decisões: escopo, riscos e como a organização vai operar cada controle (quem, com que frequência, em qual padrão). Por escrito, essas decisões são suas políticas e procedimentos; as ferramentas então as implementam.

Os auditores exigem ferramentas específicas?

Nenhum framework relevante exige um produto específico. Os auditores verificam se os controles operam e produzem evidências, independentemente de como foram implementados.

Vale a pena ter uma plataforma de automação de compliance?

Pode valer, depois que você souber quais controles executa e quem é responsável por eles. As plataformas são boas em lembretes, coleta de evidências e acompanhamento; elas não podem definir o escopo ou o apetite de risco por você.