A fotografia e o filme
Uma auditoria anual é uma fotografia: diz como estava tudo num dia concreto. O que acontece nos outros 364 dias não aparece. Uma configuração que se quebrou em março e se corrigiu em novembro, justo antes da auditoria, não deixa rasto.
A conformidade contínua é o filme: os controlos verificam-se sozinhos, com frequência, e cada resultado guarda-se com a sua data.
Da busca manual ao painel
Um sistema de evidência contínua tem três peças:
- Verificações automáticas para cada controlo que o permita: leem a configuração real das clouds, dos sistemas de identidade, dos repositórios e da plataforma de implementação.
- Um repositório de evidências onde cada resultado fica guardado, datado e protegido contra modificações.
- Um painel que mostra o estado de cada controlo e de cada referencial, e avisa o responsável quando algo deixa de se cumprir.
O que se pode automatizar
Muito mais do que parece. Quase tudo o que vive em configuração se pode verificar sozinho: cifra, segundo fator, exposição de rede, registos ativados, etiquetas, versões de sistema, resultados das linhas de base de cada servidor e das regras como código.
O que exige critério humano (análise de riscos, revisão de acessos, simulacros) não se automatiza, mas sim o seu lembrete, o seu registo e a sua evidência: o sistema avisa quando é hora, guarda a ata e marca o controlo como cumprido ou vencido.
O que muda
- A auditoria deixa de ser um projeto: o auditor revê o repositório de evidências.
- Os problemas vêem-se quando aparecem, não meses depois.
- O estado de segurança é um dado, consultável a qualquer momento pela direção ou por um cliente.
Com controlos que se demonstram sozinhos, é hora de revisar as camadas de proteção que mais falham na prática. A primeira é a mais antiga e a mais incumprida: o privilégio mínimo.
Como o aplicamos: Cibersegurança.