Frameworks e padrões de segurança

Frameworks são vocabulários compartilhados sobre o que é bom. Escolha um como espinha dorsal, mapeie os demais a ele e nunca confunda passar em uma auditoria com ser seguro.

ISO/IEC 27001NIST Cybersecurity Framework (CSF)CIS Critical Security ControlsPCI DSSSOC 2control-mapping spreadsheets

Os principais

ISO/IEC 27001: um padrão certificável para um (ISMS): escopo, avaliação de riscos, um conjunto de controles e melhoria contínua. A certificação é concedida por um auditor externo.
NIST Cybersecurity Framework (CSF): um framework voluntário organizado em funções (Govern, Identify, Protect, Detect, Respond, Recover), popular para descrever e comunicar a maturidade de um programa. Não é certificável.
CIS Critical Security Controls: uma lista prática e priorizada de salvaguardas, agrupadas em níveis de implementação para que equipes pequenas saibam por onde começar.
PCI DSS: um padrão obrigatório das bandeiras de cartão para organizações que armazenam, processam ou transmitem dados de cartões de pagamento, com requisitos técnicos e de processo específicos.
: um relatório de atestação de um auditor sobre os controles de um prestador de serviços relativos a segurança e critérios relacionados; amplamente solicitado por clientes.
Leis de privacidade (como o GDPR da UE e a LGPD do Brasil) são obrigações legais e não frameworks, mas impulsionam requisitos de segurança para dados pessoais.

Escolher e combinar

Comece pelo que é exigido: contratos, regulação e clientes definem quais você precisa cumprir. Use um framework como espinha dorsal interna, geralmente o ou a ISO 27001, use os para priorizar o trabalho prático e mapeie o restante a ele, de modo que um controle atenda a muitos requisitos. Controles que implementam a mesma ideia (por exemplo, autenticação multifator) aparecem em todos eles com numerações diferentes.

control-mapping.ymlyaml

- control: MFA required for all administrative and remote access
  owner: it-security
  maps_to:
    nist_csf: PR.AA
    cis_controls: "6"
    iso_27001: A.8.5
    pci_dss: "8.4"
  evidence: [idp-policy-export, quarterly-access-review]

Ler um framework sem se perder

Comece pela estrutura (funções, domínios, famílias de controles), não pelo texto completo.
Leia cada controle pela sua intenção: que risco ele pretende reduzir?
Implemente a intenção de uma forma que se encaixe na sua tecnologia; o texto raramente cita as suas ferramentas.
Anote o que está fora do seu escopo e registre o porquê, para que o auditor veja uma decisão e não uma omissão.

Conformidade não é segurança

Um framework define um piso e uma linguagem. Ele não conhece suas ameaças, sua arquitetura nem seu sistema mais fraco.
Auditorias amostram o passado; atacantes testam o presente. Passar na auditoria do último trimestre diz pouco sobre hoje.
O escopo pode esconder risco: um escopo de certificação estreito cobre apenas parte do negócio.
Use os frameworks para impulsionar melhorias reais: pegue as lacunas e coloque-as no com responsáveis.

ISMSsistema de gestão de segurança da informaçãoO conjunto de políticas, processos e controles que uma organização usa para gerenciar a segurança da informação, conforme exigido pela ISO 27001.ver no glossário →SOC 2Um relatório de auditor sobre os controles de um prestador de serviços para segurança e critérios relacionados, geralmente solicitado por clientes.ver no glossário →NIST CSFUm framework voluntário que organiza um programa de segurança em funções: Govern, Identify, Protect, Detect, Respond e Recover.ver no glossário →CIS ControlsUma lista priorizada de salvaguardas práticas agrupadas em níveis de implementação, útil para decidir por onde começar.ver no glossário →Registro de riscosO registro de trabalho dos riscos identificados: responsável, classificação, controles, tratamento, ações e data de revisão.ver no glossário →

conexões no mapa

Gestão de riscos de segurançaé estruturado porFrameworks e padrões de segurança
Frameworks e padrões de segurançaé implementado por meio dePrincípios de arquitetura de segurança
Frameworks e padrões de segurançaé evidenciado porConformidade na prática: controles, evidências e auditorias

atualizado em 14/10/2026 · fontes para aprofundar · reportar erro

Desbloqueia

teste o que entendeu

Carregando perguntas…