Cinco referenciais, uma só organização
Uma empresa média pode ter de responder ao mesmo tempo a uma certificação (por exemplo, ISO/IEC 27001), a um referencial (como o NIST Cybersecurity Framework), a uma lista de controlos técnicos (como os CIS Controls), aos questionários de segurança dos seus clientes e à regulação do seu setor.
Se cada um for tratado como um projeto à parte, acaba-se com cinco folhas de cálculo, cinco auditorias e os mesmos controlos descritos de cinco maneiras.
O catálogo próprio ao centro
A alternativa é um catálogo próprio de controlos, escrito na linguagem da organização, e uma tabela que relaciona cada controlo com os requisitos de cada referencial:
- Um controlo («todo o acesso administrativo exige segundo fator») pode satisfazer requisitos de três ou quatro referenciais ao mesmo tempo.
- Um referencial novo não obriga a começar do zero: mapeia-se face ao catálogo existente e só aparecem as lacunas.
- A evidência recolhe-se uma vez por controlo e serve para todos os referenciais que o exigem.
Como se constrói
- Partir de um referencial amplo como esqueleto: costuma ser o que exige a certificação mais importante para o negócio.
- Escrever cada controlo em linguagem própria, concreta e verificável (com os mesmos critérios de uma norma que se possa cumprir).
- Mapear os restantes referenciais face a esse catálogo.
- Revisar o mapa cada vez que um referencial muda de versão.
O que o referencial não decide
Nenhum referencial diz quanto risco uma organização está disposta a aceitar nem o que proteger primeiro. Isso decide-se no nível estratégico (como vimos em o que se decide em cada nível) e reflete-se no catálogo: que controlos são obrigatórios para tudo e quais apenas para os sistemas mais críticos.
Um catálogo de controlos bem mapeado é necessário, mas não suficiente: cada controlo tem de poder demonstrar-se.
Como o aplicamos: Cibersegurança.