O que 20 anos em cibersegurança me ensinaram sobre auditorias

Passei vinte anos em cibersegurança, e uma boa parte desse tempo foi dedicada a auditorias: preparando-me para elas, participando delas, discutindo achados e corrigindo o que revelaram. Os frameworks mudaram muitas vezes. Estas lições não mudaram.

1. Evidência vence narrativa

O achado de auditoria mais comum não é um controle ausente. É um controle que foi executado, mas não pode ser comprovado. A revisão de acessos aconteceu, mas ninguém guardou a lista. A mudança foi aprovada num chat que já foi apagado. Os auditores só podem se apoiar no que conseguem ver. Crie controles que deixem evidências como efeito colateral de sua execução, e a maioria dos achados desaparece.

2. O escopo define tudo

A maior parte dos problemas em auditorias remonta ao escopo: definido amplo demais, de modo que todo sistema precisa atender a todo controle; definido estreito demais, de modo que a certificação não responde à pergunta do cliente; ou definido de forma vaga, de modo que ninguém sabe quais sistemas contam. Defina-o de propósito, documente e sustente essa decisão. Nossa publicação sobre definição de escopo para um primeiro relatório SOC 2 se aplica a quase qualquer auditoria.

3. Os controles que falham são aqueles que ninguém possui

Quando um controle tem um responsável nomeado que o executa como parte de sua função, ele funciona. Quando pertence a “TI” ou à “equipe de segurança” em termos gerais, ele vai se degradando até a semana anterior à auditoria. A definição de responsabilidades é a melhoria de controle mais barata que existe.

4. Os documentos precisam descrever a realidade

Políticas-modelo que descrevem uma empresa que você não é são piores do que políticas curtas que descrevem a empresa que você é. Os auditores testam o que você escreveu. Cada diferença entre documento e prática vira um achado e, muitas vezes, um problema de credibilidade para tudo o mais que você apresentar a eles.

5. Auditores são mais úteis como aliados do que como adversários

As auditorias que correm melhor são aquelas em que a equipe trata o auditor como um segundo par de olhos, e não como um oponente. Pergunte cedo como eles vão testar um controle. Divulgue fraquezas conhecidas com um plano. Um achado que você mesmo levantou, com uma correção em andamento, é percebido de forma muito diferente de um que eles tiveram de desenterrar.

6. O segundo framework deveria ser barato

Organizações que mantêm um programa por framework pagam integralmente por cada auditoria. Aquelas que constroem um único conjunto de controles, mapeado para todos os frameworks aos quais respondem, pagam quase tudo uma única vez. O trabalho de mapeamento é monótono, mas se acumula. É uma das principais razões pelas quais criei o ControlMapping.

7. Frameworks diferentes, as mesmas perguntas

Depois de auditorias suficientes, os frameworks começam a se confundir. Auditores ISO, auditores SOC 2, avaliadores PCI e reguladores usam palavras diferentes, mas fazem o mesmo punhado de perguntas: o que está no escopo, quem é responsável, como você sabe que funciona e o que acontece quando não funciona? Uma organização que consegue responder com clareza a essas quatro perguntas, com evidências, se sai bem em quase qualquer auditoria. A matriz de cobertura é um bom exemplo: em onze frameworks, os mesmos tópicos centrais reaparecem várias vezes.

Principais conclusões

• Crie controles que deixem evidências como efeito colateral.
• Defina o escopo de propósito e atribua a cada controle um responsável nomeado.
• Trate as auditorias como um subproduto de uma boa execução da segurança.

8. Passar não é o objetivo

Uma auditoria sem achados significa que os controles no escopo funcionaram nas amostras testadas. Não significa que a organização esteja segura; conformidade não é segurança. As melhores equipes que vi tratam as auditorias como um subproduto de uma boa execução da segurança, e não como sua finalidade.

Se você levar apenas uma coisa disto: decida o que faz, faça de forma consistente e deixe as evidências se acumularem naturalmente. A análise de lacunas é um bom lugar para ver até que ponto seus controles atuais já chegam.

Perguntas

Qual é a razão mais comum para os achados de auditoria?

Na minha experiência, evidências ausentes ou incompletas para controles que de fato foram executados: revisões feitas, mas não registradas; mudanças aprovadas verbalmente; populações que não correspondem.

Como devo me preparar para uma auditoria de segurança?

Execute os controles continuamente e registre suas evidências à medida que avança, verifique se os documentos correspondem à prática e percorra você mesmo uma amostra antes que o auditor o faça.

Devemos contar ao auditor sobre fraquezas que já conhecemos?

Geralmente, sim. Uma fraqueza que você identificou, com um responsável e um plano de correção, transmite a imagem de um ambiente de controles em funcionamento. Uma que o auditor descobre transmite a imagem de uma lacuna de supervisão.