A preparação para uma auditoria de conformidade de TI leva tempo quando as evidências estão espalhadas por sistemas, pastas e caixas de entrada. Sua equipe precisa reunir políticas, registros de acesso e registros de incidentes, ao mesmo tempo em que dá conta do trabalho diário.
Então, o que os auditores esperam ver? A maioria das evidências de auditoria se enquadra em cinco tipos: políticas e procedimentos documentados; um registro atualizado da localização dos dados regulamentados; registros de acesso e de atividades dos usuários; registros de incidentes que mostram como sua equipe reagiu; e comprovação de que seus controles continuam funcionando entre as auditorias.
Para os líderes responsáveis pela aprovação da conformidade, é nesses cinco tipos que a responsabilidade se torna visível. Este guia aborda como cada um deles se apresenta, onde aparecem nas normas da HIPAA, do GDPR e da SEC, e como mantê-los prontos.
Os auditores avaliam se os controles atendem aos requisitos no escopo e funcionam conforme o esperado. Políticas escritas explicam como um controle deve operar. Registros de atividades, registros de revisão e outras evidências ajudam a demonstrar se sua equipe segue essas políticas.
O GDPR deixa isso bem claro. O Artigo 5(2) responsabiliza a organização pelo cumprimento e pela capacidade de demonstrar que cumpre as normas. O ônus da prova recai sobre você, não sobre o auditor.
O escopo determina os detalhes. Uma auditoria de conformidade de segurança concentra-se em medidas técnicas, como acesso, registro de atividades e tratamento de incidentes. Uma auditoria de conformidade mais ampla também abrange obrigações legais e processuais. Ambas dependem da mesma coisa: as evidências que sua equipe pode apresentar.
Relacionado: Software de conformidade regulatória: como o DLP simplifica o GDPR e a HIPAA
Os requisitos específicos dependem do escopo da auditoria. Essas cinco categorias servem como ponto de partida para organizar suas evidências.
As políticas são a base, pois informam ao auditor o que sua organização afirma fazer. Sem elas, não há nada contra o qual se possa testar.
A HIPAA é específica nesse ponto. A Regra de Segurança exige políticas e procedimentos por escrito. Você deve mantê-los por seis anos a partir da data de criação ou da última vez em que estiveram em vigor. Ela também exige revisão periódica, com atualizações sempre que houver mudanças nas operações.
Mantenha as políticas atualizadas, com históricos de versões e datas de revisão que mostrem quando foram atualizadas e aprovadas.
Os auditores querem saber quais dados confidenciais você mantém e onde eles estão armazenados. Se você não puder mapeá-los, não poderá demonstrar que estão protegidos.
O Artigo 30 do GDPR exige um registro das atividades de tratamento, incluindo uma descrição geral das medidas de segurança, sempre que possível. Nos EUA, a HIPAA exige uma avaliação de risco completa dos dados de saúde mantidos por uma organização, o que começa por saber onde eles estão.
Atualize seu inventário à medida que os dados confidenciais forem migrados para novos aplicativos em nuvem, unidades compartilhadas e outros locais. Registre essas alterações entre as auditorias para que sua equipe possa comprovar onde os dados estão armazenados.
É aqui que os auditores verificam se as regras de acesso funcionam na prática. Quem pode acessar dados regulamentados? Quem realmente acessou e quando?
A HIPAA, por exemplo, exige que as organizações revisem regularmente os registros de atividade do sistema, como logs de auditoria e relatórios de acesso. Esses registros mostram se as políticas de acesso estão sendo cumpridas no dia a dia.
Esses registros também são importantes além da auditoria. Um arquivo compartilhado com a pessoa errada ou uma exportação para um dispositivo pessoal raramente parece arriscada no momento. Um registro claro de atividades permite que sua equipe identifique esses padrões à medida que eles se formam, e não meses depois.
Relacionado: Software contra ameaças internas: o que equipes de médio porte devem procurar
Mantenha registros de como sua equipe lidou com os incidentes, incluindo a linha do tempo, as decisões de resposta, as ações tomadas e o resultado.
A HIPAA exige que as organizações identifiquem e respondam a incidentes de segurança, além de documentarem cada incidente e seu resultado. As empresas de capital aberto dos EUA também têm obrigações de divulgação de incidentes perante a SEC. Um incidente de segurança cibernética relevante geralmente deve ser divulgado dentro de quatro dias úteis após a determinação de que é relevante. Mantenha registros de incidentes desde o início para apoiar a investigação, a resposta e qualquer divulgação necessária.
Esse tipo de comprovação é o mais difícil de apresentar em curto prazo. Uma captura de tela comprova que uma configuração existia em uma determinada tarde. Ela não comprova que o controle esteve em funcionamento nos últimos 12 meses.
A HIPAA exige uma avaliação periódica de quão bem as políticas e procedimentos de segurança atendem aos seus padrões. Os auditores querem um padrão ao longo do tempo, não um instantâneo.
Evidências sólidas nesse caso incluem relatórios programados, aprovações de revisão e dados de tendências que abranjam todo o período de auditoria.
|
Tipo de evidência |
O que o auditor solicita |
Onde aparece |
Lacuna comum |
|
Políticas e procedimentos |
Mostre-me a política por escrito e seu histórico de revisões |
Regra de Segurança da HIPAA |
Política desatualizada, sem histórico de versões |
|
Registro de dados regulamentados |
Onde os dados confidenciais estão armazenados e quem os processa? |
GDPR; Regra de Segurança da HIPAA |
Inventário que não corresponde mais à realidade |
|
Registros de acesso e atividade do usuário |
Quem acessou os dados regulamentados e esse acesso foi autorizado? |
Regra de Segurança da HIPAA |
Registros espalhados por sistemas distintos |
|
Registros de incidentes |
O que aconteceu, o que você fez e o que mudou? |
Regra de Segurança da HIPAA; regras de divulgação de segurança cibernética da SEC |
Um plano sem registro de sua execução |
|
Comprovação ao longo do tempo |
Comprove que o controle foi executado durante todo o período de auditoria |
Regra de Segurança da HIPAA |
Capturas de tela pontuais |
Muitas equipes tratam as auditorias como uma “temporada”: coletam evidências às pressas, encerram a auditoria e deixam os registros obsoletos até a próxima auditoria. Esse ciclo custa mais do que apenas horas, pois cada falha identificada pelo auditor se transforma em um projeto com prazo determinado, e a mesma correria se repete no ano seguinte.
Nada disso significa que a equipe tenha feito algo errado. É o processo, e não as pessoas, que gera a pressa.
Estar preparado o ano todo inverte essa ordem. Quando as evidências se acumulam como parte das operações normais, elas já existem no momento em que alguém as solicita, e a auditoria se torna uma revisão dos registros que você mantém de qualquer maneira.
Essa mudança é mais importante no topo da hierarquia. Nos EUA, a SEC agora exige que as empresas de capital aberto descrevam como seu conselho supervisiona os riscos de segurança cibernética e qual é o papel da administração. Registros atualizados facilitam o comprovamento dessa explicação.
Você não precisa conduzir a auditoria sozinho. Você precisa saber se sua equipe é capaz de responder rapidamente ao auditor. Use estas perguntas antes da sua próxima auditoria de conformidade de TI.
Se várias respostas começarem com “teríamos que verificar”, reúna essas evidências agora, antes que o auditor pergunte.
Uma auditoria geralmente envolve três grupos. As equipes de TI e segurança fornecem evidências técnicas, como registros de acesso e logs de incidentes. As equipes jurídicas ou de conformidade mapeiam essas evidências de acordo com os requisitos de cada regulamentação. Um líder sênior aprova os resultados e é responsável pelo acompanhamento. Definir essas funções desde o início evita que as solicitações fiquem indo de uma equipe para outra.
Uma auditoria de TI avalia o desempenho de seus sistemas e controles em relação a metas internas ou melhores práticas. Uma auditoria de conformidade avalia o mesmo ambiente em relação a um requisito externo específico, como uma regulamentação ou norma. A primeira questiona se os controles são eficazes. A segunda questiona se eles atendem a uma obrigação definida.
Isso depende da estrutura, já que os períodos de retenção variam de um regulamento para outro. Identifique a regra para cada estrutura que se aplica ao seu caso e use a mais longa como referência. Dessa forma, sua equipe segue uma única política de retenção, em vez de várias políticas conflitantes.
Os auditores não estão pedindo nada fora do comum. Os cinco tipos de evidência apresentados neste guia são aqueles aos quais uma auditoria de conformidade de TI sempre recorre, independentemente da estrutura. Na Safetica, essa é a ideia por trás da Segurança Inteligente de Dados: relatórios prontos para auditoria em todos os estados dos dados, para que a conformidade ocorra paralelamente ao trabalho, e não sobre ele.
Um bom ponto de partida é a lista de verificação acima. Escolha a questão com a qual sua equipe teria mais dificuldade e leve-a para sua próxima reunião de conformidade. Para se aprofundar no assunto,acesse e explore como a Safetica aborda a conformidade regulatória.