Imagine receber uma solicitação de auditoria agora: a empresa precisa apresentar o inventário atualizado dos dispositivos, comprovar quando os acessos aos sistemas críticos foram revisados e mostrar como tratou os últimos incidentes de segurança.
Quanto tempo sua equipe levaria para reunir tudo isso?
Algumas horas? Alguns dias? Ou seria necessário procurar planilhas, consultar diferentes ferramentas e recuperar e-mails antigos?
O problema nem sempre é a ausência de controles. Muitas empresas já monitoram dispositivos, gerenciam permissões e respondem a incidentes. A dificuldade aparece quando precisam transformar essas atividades em evidências verificáveis.
Como mostramos em nosso artigo sobre auditoria e compliance em cibersegurança, a preparação envolve mais do que implementar controles: é preciso manter registros que permitam demonstrar sua aplicação.
Para descobrir se sua operação está preparada, vale fazer um teste simples com três registros que podem ser solicitados em auditorias de segurança da informação.
Nesta matéria
1. Inventário: você consegue comprovar o que existe na sua rede?
Abra o inventário de TI da empresa e escolha um dispositivo aleatório.
Você consegue identificar quem é o responsável, qual sistema operacional está instalado, quando foi atualizado e se existe alguma vulnerabilidade conhecida?
Agora amplie a consulta para todo o ambiente.
Um inventário útil para auditoria precisa ir além de uma relação de computadores. Ele deve permitir identificar os ativos dentro do escopo avaliado, suas características e a situação de segurança de cada um.
O que verificar no relatório:
- Identificação e responsável pelo dispositivo.
- Sistema operacional, versão e softwares instalados.
- Situação das atualizações e correções de segurança.
- Data da última identificação ou atualização do registro.
- Equipamentos desconhecidos ou sem responsável definido.
O teste: sua equipe consegue gerar um relatório atualizado, com essas informações, sem precisar consultar várias planilhas?
Se a resposta for não, existe uma lacuna importante entre conhecer o ambiente e conseguir comprovar esse conhecimento.
2. Controle de acessos: você consegue provar que as permissões foram revisadas?
Saber quem tem acesso aos sistemas corporativos é importante. Demonstrar que essas permissões são revisadas é outra questão.
Imagine que um auditor solicite a relação de usuários com acesso a um sistema financeiro, incluindo a data da última revisão e quem autorizou a manutenção das permissões.
A TI consegue apresentar esse histórico?
A situação se torna ainda mais relevante quando um colaborador muda de departamento, assume outra função ou deixa a empresa.
O que verificar no registro:
- Usuários e respectivos níveis de permissão.
- Sistemas e informações aos quais possuem acesso.
- Data e responsável pela última revisão.
- Alterações, aprovações e revogações realizadas.
- Evidência de tratamento dos acessos que não deveriam permanecer ativos.
O teste: escolha um sistema crítico e tente localizar a última revisão formal de acessos, incluindo as decisões tomadas.
Uma lista atualizada de usuários mostra quem possui acesso. Já o histórico de revisão ajuda a demonstrar que essas permissões são acompanhadas e controladas.
Essa diferença pode ser decisiva durante uma auditoria.
3. Incidentes: você consegue reconstruir o que aconteceu e como a TI respondeu?
Pense no último alerta relevante de segurança registrado na empresa.
Pode ter sido uma tentativa de acesso não autorizado, a detecção de um arquivo malicioso ou o bloqueio de uma transferência de dados sensíveis.
O evento foi tratado. Mas existe um registro completo do que aconteceu?
Para uma auditoria, não basta informar que o problema foi resolvido. Dependendo do escopo da avaliação, será necessário demonstrar como o evento foi identificado, analisado e tratado.
O que verificar no histórico:
- Data e horário da ocorrência.
- Origem, tipo e classificação do evento.
- Responsável pela análise e pelo tratamento.
- Medidas adotadas e resultado da investigação.
- Registro de encerramento e ações corretivas, quando aplicáveis.
O teste: selecione um incidente anterior e tente reconstruir seu tratamento utilizando apenas os registros disponíveis.
Se for necessário perguntar a alguém o que aconteceu, parte do histórico pode estar dependendo da memória da equipe.
Soluções de monitoramento, EDR e DLP podem ajudar a registrar eventos e atividades relevantes. Mas esses registros precisam estar associados a processos de análise, resposta e documentação.
Nem toda auditoria vem de um certificador
Para muitas empresas, o primeiro pedido formal de evidências não chega de um organismo certificador. Chega de um cliente.
Questionários de segurança no processo de homologação de fornecedor, exigências contratuais na renovação e avaliações aplicadas por empresas maiores sobre a própria cadeia de fornecimento pedem o mesmo tipo de registro, muitas vezes com prazo de resposta definido pelo cliente.
Em setores com cadeias estruturadas, essa avaliação tem nome e procedimento próprios. Na cadeia automotiva, por exemplo, o TISAX cumpre esse papel e avalia a maturidade de segurança da informação dos fornecedores.
Para quem fornece a grandes contas, a capacidade de responder a esses pedidos deixa de ser uma questão técnica e passa a influenciar diretamente a relação comercial.
O checklist: sua TI está pronta para apresentar essas evidências?
Antes de responder, considere apenas as informações que sua equipe consegue localizar e apresentar hoje.
| Pergunta | Sim | Não |
|---|
| O inventário de hardware e software está atualizado? | ☐ | ☐ |
| É possível identificar dispositivos sem responsável ou desatualizados? | ☐ | ☐ |
| Existe um registro das revisões de acesso aos sistemas críticos? | ☐ | ☐ |
| As alterações e revogações de permissões são documentadas? | ☐ | ☐ |
| Os incidentes possuem histórico de análise e tratamento? | ☐ | ☐ |
| A equipe consegue exportar essas informações em relatórios verificáveis? | ☐ | ☐ |
Se alguma resposta foi negativa, você já identificou um ponto que merece atenção.
O objetivo não é concluir que a empresa está ou não em conformidade com base nessas seis perguntas. Uma auditoria considera diversos controles, critérios e evidências.
O checklist ajuda a identificar algo mais imediato: a capacidade da TI de demonstrar o que já faz.
Se o teste apontou lacunas em mais de um dos três registros, vale medir isso de forma estruturada antes de decidir por onde começar. O Assessment de Cibersegurança da BluePex® é gratuito, leva cerca de 20 minutos e avalia nove domínios, do inventário à gestão de acessos. Ao final você recebe uma pontuação de maturidade e um relatório em PDF, que já funciona como registro datado do seu ponto de partida.
Como reduzir o trabalho de reunir evidências?
Quando inventários, registros de acesso e incidentes ficam espalhados entre ferramentas, e-mails e planilhas, preparar uma auditoria pode consumir horas de trabalho operacional.
Três práticas ajudam a tornar esse processo mais eficiente.
Centralize as informações. Sempre que possível, utilize ferramentas integradas e processos padronizados para consultar os registros necessários, sem depender de buscas manuais em diferentes sistemas.
Automatize a coleta. Inventários, logs e alertas gerados automaticamente reduzem a dependência de atualizações manuais. Ainda assim, é importante garantir a integridade, a retenção e a qualidade dessas informações.
Estabeleça uma rotina de revisão. Defina responsáveis, periodicidade e critérios para validar os registros. A frequência deve considerar o risco, as políticas internas e os requisitos aplicáveis à organização.
Essas práticas fazem parte de uma abordagem mais ampla de segurança. No artigo sobre maturidade em cibersegurança, explicamos por que a preparação para auditorias deve começar muito antes de uma solicitação formal.
Para empresas que precisam organizar essa evolução, o BluePex® Cybersecurity Framework 2.0 e seus nove domínios oferecem uma referência para estruturar controles, identificar lacunas e orientar prioridades.
O BluePex® Cyber Domo oferece recursos de inventário, monitoramento e geração de relatórios que podem apoiar esse trabalho. Com processos bem definidos, a tecnologia ajuda a transformar atividades operacionais em registros mais acessíveis e rastreáveis.
Sua TI passaria neste teste?
A capacidade de apresentar evidências não começa quando uma auditoria é agendada. Ela depende da forma como a empresa registra e acompanha suas atividades de segurança no dia a dia.
E a pergunta permanece: se alguém solicitasse essas três evidências agora, quanto tempo sua equipe levaria para apresentá-las?
Veja como preparar essas evidências na prática
No dia 19 de novembro, às 10h, Marcos Paulo, Especialista em Cibersegurança da BluePex®, apresenta os registros que ajudam a demonstrar os controles de segurança e o caminho para organizar informações do inventário aos relatórios de conformidade.
Uma oportunidade para entender como reduzir o esforço manual e melhorar a rastreabilidade das atividades de TI.
Inscreva-se no webinar de 19/11
Perguntas frequentes
O que é uma evidência de auditoria em TI?
É um registro verificável utilizado para demonstrar a implementação ou a operação de um controle. Pode incluir inventários, logs, relatórios, aprovações de acesso, registros de incidentes e resultados de testes.
Toda auditoria exige as mesmas evidências?
Não. As solicitações dependem do escopo, dos riscos avaliados e dos requisitos aplicáveis. Uma certificação ISO/IEC 27001 avalia o sistema de gestão como um todo; uma obrigação relacionada à LGPD foca nos dados pessoais; e um questionário de cliente ou uma avaliação de cadeia de fornecimento costuma concentrar-se nos controles que afetam diretamente a informação compartilhada entre as duas empresas.
Com que frequência os acessos devem ser revisados?
O CIS Controls v8 dá dois parâmetros objetivos. A salvaguarda 5.1 pede que a validação das contas ativas aconteça em um calendário recorrente, no mínimo trimestral. A salvaguarda 5.3 orienta desabilitar contas dormentes após 45 dias de inatividade. Além da periodicidade, mudanças de função e desligamentos devem acionar a revisão imediatamente, e cada revisão precisa ficar registrada.
Um relatório automatizado é suficiente para comprovar conformidade?
Nem sempre. Relatórios podem apoiar a comprovação, mas o auditor também pode avaliar a integridade dos registros, a aplicação dos processos e a efetividade dos controles.
A BluePex protege a continuidade das suas operações
