A semana antes da auditoria
É um clássico: a auditoria é dentro de dez dias e a equipa põe-se a procurar provas. Capturas de ecrã de configurações, listagens de utilizadores, atas de revisões que talvez nunca se tenham feito. Encontra-se algo para quase tudo, e o que não aparece «regulariza-se» a correr.
O problema não é a auditoria. É que os controlos foram desenhados sem pensar em como iam ser demonstrados.
A ficha de um controlo
Cada controlo do catálogo escreve-se com seis campos:
- O que exige, numa frase verificável.
- Responsável: a pessoa responsável por que funcione (mais um entregável do mapa de responsabilidades).
- Como se verifica: automaticamente, por amostragem ou por revisão manual.
- Com que frequência: contínua, mensal, trimestral.
- Que evidência produz: um relatório, um registo, uma ata, sempre com data.
- Resultado da última verificação, e o que se fez se falhou.
Três tipos de verificação
Automática e contínua. A melhor opção sempre que se possa: uma regra verifica a configuração real e registra o resultado (cifra ativada, segundo fator exigido, portas fechadas). É a ideia das políticas que se herdam, vista como evidência.
Por amostragem. Para o que não se pode verificar totalmente de forma automática: revê-se uma amostra representativa com certa frequência (por exemplo, dez mudanças ao acaso do último mês para ver se passaram por revisão).
Revisão manual com ata. Para o que exige critério: a revisão trimestral de acessos, a análise de riscos anual. A ata, assinada e datada, é a evidência.
Quando um controlo falha
Uma verificação que falha não se esconde: registra-se, tem uma ação corretiva com responsável e data, e a verificação seguinte diz se foi resolvida. Um histórico com algumas falhas corrigidas é muito mais credível diante de um auditor do que um perfeito.
Levar tudo isto à mão continua a ser muito trabalho. A pergunta natural é quanta desta evidência se pode recolher sozinha.
Como o aplicamos: Cibersegurança.