Conformidade na prática: controles, evidências e auditorias

Do requisito ao controle

• Requisito: o que um padrão ou lei exige, em suas próprias palavras.
• Controle: o que você de fato faz para atendê-lo, escrito de modo que possa ser testado (quem, o quê, com que frequência).
• Responsável: a pessoa que responde pelo funcionamento do controle, não a equipe de compliance.
• Evidência: prova de que o controle operou durante o período, como uma exportação de configuração, um log, um ticket, uma aprovação.
• Teste: uma verificação periódica de que o controle funciona, feita pelo responsável e por revisão independente.

Evidência contínua

DATE=$(date -u +%F)
mkdir -p evidence/$DATE

# quem tem acesso de administrador à conta de nuvem
aws iam list-entities-for-policy --policy-arn arn:aws:iam::aws:policy/AdministratorAccess \
  > evidence/$DATE/aws-admin-principals.json

# o MFA é obrigatório para usuários do console
aws iam generate-credential-report >/dev/null && aws iam get-credential-report --query Content --output text \
  | base64 -d > evidence/$DATE/iam-credential-report.csv

# proteção de branch no repositório principal
gh api repos/example/app/branches/main/protection > evidence/$DATE/branch-protection.json

sha256sum evidence/$DATE/* > evidence/$DATE/SHA256SUMS

A auditoria

• Escopo e período são combinados primeiro; saiba o que está dentro e fora.
• Os auditores pedem uma amostra de evidências para cada controle. Organize-a por controle, com nomes e datas que façam sentido.
• Seja honesto sobre exceções: uma lacuna documentada com plano de ação é bem melhor do que uma que o auditor encontra.
• Os achados viram entradas no registro de riscos e trabalho acompanhado, com responsáveis e datas.
• Mantenha um único ponto de contato e uma cadência tranquila; pedidos surpresa geralmente significam evidência faltando.

Evitando a segurança de checkbox

• Pergunte de cada controle que risco ele reduz. Se ninguém souber dizer, questione-o.
• Prefira verificações automatizadas a capturas de tela e atestações anuais.
• Use um controle para atender a vários frameworks, em vez de um processo por padrão.
• Compartilhe o calendário de compliance com a engenharia para que os pedidos sejam trabalho planejado, e não interrupções.