5 tipos de evidências que os auditores esperam encontrar em uma auditoria de conformidade de TI

A preparação para uma auditoria de conformidade de TI leva tempo quando as evidências estão espalhadas por sistemas, pastas e caixas de entrada. Sua equipe precisa reunir políticas, registros de acesso e registros de incidentes, ao mesmo tempo em que dá conta do trabalho diário.

Então, o que os auditores esperam ver? A maioria das evidências de auditoria se enquadra em cinco tipos: políticas e procedimentos documentados; um registro atualizado da localização dos dados regulamentados; registros de acesso e de atividades dos usuários; registros de incidentes que mostram como sua equipe reagiu; e comprovação de que seus controles continuam funcionando entre as auditorias.

Para os líderes responsáveis pela aprovação da conformidade, é nesses cinco tipos que a responsabilidade se torna visível. Este guia aborda como cada um deles se apresenta, onde aparecem nas normas da HIPAA, do GDPR e da SEC, e como mantê-los prontos.

O que os auditores procuram em uma auditoria de conformidade de TI

Os auditores avaliam se os controles atendem aos requisitos no escopo e funcionam conforme o esperado. Políticas escritas explicam como um controle deve operar. Registros de atividades, registros de revisão e outras evidências ajudam a demonstrar se sua equipe segue essas políticas.

O GDPR deixa isso bem claro. O Artigo 5(2) responsabiliza a organização pelo cumprimento e pela capacidade de demonstrar que cumpre as normas. O ônus da prova recai sobre você, não sobre o auditor.

O escopo determina os detalhes. Uma auditoria de conformidade de segurança concentra-se em medidas técnicas, como acesso, registro de atividades e tratamento de incidentes. Uma auditoria de conformidade mais ampla também abrange obrigações legais e processuais. Ambas dependem da mesma coisa: as evidências que sua equipe pode apresentar.

Relacionado: Software de conformidade regulatória: como o DLP simplifica o GDPR e a HIPAA

5 tipos de evidências de conformidade que os auditores esperam

Os requisitos específicos dependem do escopo da auditoria. Essas cinco categorias servem como ponto de partida para organizar suas evidências.

1. Políticas e procedimentos documentados

As políticas são a base, pois informam ao auditor o que sua organização afirma fazer. Sem elas, não há nada contra o qual se possa testar.

A HIPAA é específica nesse ponto. A Regra de Segurança exige políticas e procedimentos por escrito. Você deve mantê-los por seis anos a partir da data de criação ou da última vez em que estiveram em vigor. Ela também exige revisão periódica, com atualizações sempre que houver mudanças nas operações.

Mantenha as políticas atualizadas, com históricos de versões e datas de revisão que mostrem quando foram atualizadas e aprovadas.

2. Um registro atualizado de onde os dados regulamentados estão armazenados

Os auditores querem saber quais dados confidenciais você mantém e onde eles estão armazenados. Se você não puder mapeá-los, não poderá demonstrar que estão protegidos.

O Artigo 30 do GDPR exige um registro das atividades de tratamento, incluindo uma descrição geral das medidas de segurança, sempre que possível. Nos EUA, a HIPAA exige uma avaliação de risco completa dos dados de saúde mantidos por uma organização, o que começa por saber onde eles estão.

Atualize seu inventário à medida que os dados confidenciais forem migrados para novos aplicativos em nuvem, unidades compartilhadas e outros locais. Registre essas alterações entre as auditorias para que sua equipe possa comprovar onde os dados estão armazenados.

3. Registros de acesso e atividade do usuário

É aqui que os auditores verificam se as regras de acesso funcionam na prática. Quem pode acessar dados regulamentados? Quem realmente acessou e quando?

A HIPAA, por exemplo, exige que as organizações revisem regularmente os registros de atividade do sistema, como logs de auditoria e relatórios de acesso. Esses registros mostram se as políticas de acesso estão sendo cumpridas no dia a dia.

Esses registros também são importantes além da auditoria. Um arquivo compartilhado com a pessoa errada ou uma exportação para um dispositivo pessoal raramente parece arriscada no momento. Um registro claro de atividades permite que sua equipe identifique esses padrões à medida que eles se formam, e não meses depois.

Relacionado: Software contra ameaças internas: o que equipes de médio porte devem procurar

4. Registros de incidentes e histórico de respostas

Mantenha registros de como sua equipe lidou com os incidentes, incluindo a linha do tempo, as decisões de resposta, as ações tomadas e o resultado.

A HIPAA exige que as organizações identifiquem e respondam a incidentes de segurança, além de documentarem cada incidente e seu resultado. As empresas de capital aberto dos EUA também têm obrigações de divulgação de incidentes perante a SEC. Um incidente de segurança cibernética relevante geralmente deve ser divulgado dentro de quatro dias úteis após a determinação de que é relevante. Mantenha registros de incidentes desde o início para apoiar a investigação, a resposta e qualquer divulgação necessária.

5. Comprove que seus controles funcionam ao longo do tempo

Esse tipo de comprovação é o mais difícil de apresentar em curto prazo. Uma captura de tela comprova que uma configuração existia em uma determinada tarde. Ela não comprova que o controle esteve em funcionamento nos últimos 12 meses.

A HIPAA exige uma avaliação periódica de quão bem as políticas e procedimentos de segurança atendem aos seus padrões. Os auditores querem um padrão ao longo do tempo, não um instantâneo.

Evidências sólidas nesse caso incluem relatórios programados, aprovações de revisão e dados de tendências que abranjam todo o período de auditoria.

Da temporada de auditoria à preparação para a auditoria

Muitas equipes tratam as auditorias como uma “temporada”: coletam evidências às pressas, encerram a auditoria e deixam os registros obsoletos até a próxima auditoria. Esse ciclo custa mais do que apenas horas, pois cada falha identificada pelo auditor se transforma em um projeto com prazo determinado, e a mesma correria se repete no ano seguinte.

Nada disso significa que a equipe tenha feito algo errado. É o processo, e não as pessoas, que gera a pressa.

Estar preparado o ano todo inverte essa ordem. Quando as evidências se acumulam como parte das operações normais, elas já existem no momento em que alguém as solicita, e a auditoria se torna uma revisão dos registros que você mantém de qualquer maneira.

Essa mudança é mais importante no topo da hierarquia. Nos EUA, a SEC agora exige que as empresas de capital aberto descrevam como seu conselho supervisiona os riscos de segurança cibernética e qual é o papel da administração. Registros atualizados facilitam o comprovamento dessa explicação.

Uma lista de verificação de auditoria de conformidade para líderes

Você não precisa conduzir a auditoria sozinho. Você precisa saber se sua equipe é capaz de responder rapidamente ao auditor. Use estas perguntas antes da sua próxima auditoria de conformidade de TI.

1. Políticas: Podemos apresentar nossas políticas atuais e indicar quando cada uma foi revisada pela última vez?
2. Registros de dados: Temos um registro atualizado de onde os dados regulamentados estão armazenados?
3. Acesso e atividades: Podemos extrair registros de acesso e atividades dos usuários para todos os sistemas abrangidos pela auditoria, referente a todo o período de auditoria?
4. Incidentes: Se ocorreu um incidente no último trimestre, podemos apresentar a linha do tempo, as decisões tomadas e o que mudou?
5. Comprovação ao longo do tempo: nossos registros mostram que os controles funcionaram ao longo de meses ou apenas no dia em que alguém verificou?
6. Responsabilidade: Quem é o responsável por cada tipo de evidência, e essa pessoa está ciente disso?
7. Tempo da equipe: Quantas horas nossa última auditoria tirou do trabalho regular?

Se várias respostas começarem com “teríamos que verificar”, reúna essas evidências agora, antes que o auditor pergunte.

Perguntas frequentes

Quem deve participar de uma auditoria de conformidade de TI?

Uma auditoria geralmente envolve três grupos. As equipes de TI e segurança fornecem evidências técnicas, como registros de acesso e logs de incidentes. As equipes jurídicas ou de conformidade mapeiam essas evidências de acordo com os requisitos de cada regulamentação. Um líder sênior aprova os resultados e é responsável pelo acompanhamento. Definir essas funções desde o início evita que as solicitações fiquem indo de uma equipe para outra.

Qual é a diferença entre uma auditoria de TI e uma auditoria de conformidade?

Uma auditoria de TI avalia o desempenho de seus sistemas e controles em relação a metas internas ou melhores práticas. Uma auditoria de conformidade avalia o mesmo ambiente em relação a um requisito externo específico, como uma regulamentação ou norma. A primeira questiona se os controles são eficazes. A segunda questiona se eles atendem a uma obrigação definida.

Por quanto tempo você deve manter as evidências de conformidade?

Isso depende da estrutura, já que os períodos de retenção variam de um regulamento para outro. Identifique a regra para cada estrutura que se aplica ao seu caso e use a mais longa como referência. Dessa forma, sua equipe segue uma única política de retenção, em vez de várias políticas conflitantes.

Evidências prontas antes mesmo que o auditor as solicite

Os auditores não estão pedindo nada fora do comum. Os cinco tipos de evidência apresentados neste guia são aqueles aos quais uma auditoria de conformidade de TI sempre recorre, independentemente da estrutura. Na Safetica, essa é a ideia por trás da Segurança Inteligente de Dados: relatórios prontos para auditoria em todos os estados dos dados, para que a conformidade ocorra paralelamente ao trabalho, e não sobre ele.

Um bom ponto de partida é a lista de verificação acima. Escolha a questão com a qual sua equipe teria mais dificuldade e leve-a para sua próxima reunião de conformidade. Para se aprofundar no assunto,acesse e explore como a Safetica aborda a conformidade regulatória.