O que é um Controle na ISO 27001?

Visão geral

Um controle na ISO 27001 é uma medida que modifica ou reduz o risco de segurança da informação. Controles são políticas, procedimentos, práticas, estruturas organizacionais ou mecanismos técnicos que protegem a confidencialidade, integridade e disponibilidade dos ativos de informação.

O que significa na prática

Controles são o "como" da segurança – as ações específicas que você toma para lidar com os riscos identificados. Após a avaliação de riscos identificar ameaças, os controles são as contramedidas que você implementa para reduzir esses riscos a níveis aceitáveis.

Tipos de controles

Por função

• Controles preventivos: Impedem incidentes de segurança antes que ocorram (controles de acesso, firewalls, criptografia)
• Controles detectivos: Identificam incidentes de segurança quando acontecem (monitoramento, registro de logs, detecção de intrusão)
• Controles corretivos: Reduzem o impacto após a ocorrência de incidentes (restauração de backups, procedimentos de resposta a incidentes)

Por natureza

• Controles técnicos: Medidas baseadas em tecnologia (criptografia, autenticação, proteção contra malware)
• Controles organizacionais: Políticas, procedimentos e práticas de gestão (gestão de riscos, classificação de ativos)
• Controles físicos: Protegem o ambiente físico (fechaduras, vigilância, controle de acesso a instalações)
• Controles de pessoas: Medidas focadas em humanos (treinamento, triagem, acordos de confidencialidade)

Por abordagem de implementação

• Controles administrativos: Regras e procedimentos documentados
• Controles lógicos: Controles baseados em software e sistemas
• Controles físicos: Medidas de proteção tangíveis

Controles do Anexo A

O Anexo A da ISO 27001:2022 lista 93 controles específicos organizados em quatro temas, que as organizações podem selecionar com base na avaliação de riscos:

• Controles organizacionais (A.5.1-A.5.37): 37 controles para governança, políticas, gestão de ativos, gestão de fornecedores, gestão de incidentes
• Controles de pessoas (A.6.1-A.6.8): 8 controles para o ciclo de vida do emprego e riscos relacionados a pessoas
• Controles físicos (A.7.1-A.7.14): 14 controles para segurança de instalações e proteção de ativos físicos
• Controles tecnológicos (A.8.1-A.8.34): 34 controles para segurança de TI, gestão de acesso e salvaguardas técnicas

Objetivos de controle vs. controles

Objetivo de controle

O resultado desejado ou meta de segurança (por exemplo, "impedir acesso não autorizado a dados sensíveis").

Controle

A medida específica que implementa o objetivo (por exemplo, "autenticação multifator para todos os usuários que acessam o banco de dados de clientes").

Por que a distinção é importante

O Anexo A da ISO 27001 lista objetivos de controle. Como você implementa cada controle depende do contexto organizacional, tecnologia e perfil de risco da sua empresa. Duas organizações podem alcançar o mesmo objetivo com implementações diferentes.

Eficácia do controle

O que torna um controle eficaz

Os controles devem realmente reduzir o risco, não apenas existir no papel. Controles eficazes são:

• Implementados: Realmente implantados e operacionais
• Apropriados: Adequados ao risco e ao contexto organizacional
• Mensuráveis: Você pode verificar se estão funcionando
• Consistentes: Aplicados uniformemente em toda a organização
• Mantidos: Atualizados conforme os riscos e o ambiente mudam

Testando a eficácia do controle

• Revisão de documentos: Verificar se a documentação do controle existe e está atualizada
• Observação: Observar os controles em operação
• Entrevista: Confirmar se a equipe entende e segue os procedimentos de controle
• Teste técnico: Verificar se os controles técnicos operam conforme configurados
• Amostragem de evidências: Revisar registros que comprovam a operação contínua do controle

Controles compensatórios

Quando controles compensatórios são usados

Às vezes, você não consegue implementar um controle específico devido a limitações técnicas, restrições de custo ou razões operacionais. Controles compensatórios são medidas alternativas que alcançam a mesma redução de risco.

Requisitos para controles compensatórios

• Proporcionar redução de risco semelhante ou melhor do que o controle original
• Abordar o mesmo objetivo de controle
• Ser documentados e justificados na sua Declaração de Aplicabilidade
• Ser aceitáveis para auditores e partes interessadas

Exemplos

• Controle original: Segmentação de rede para isolar sistemas sensíveis

• Controle compensatório: Monitoramento aprimorado e controles de acesso se a arquitetura de rede impedir a segmentação

• Controle original: Acesso biométrico para sala de servidores

• Controle compensatório: Acesso por crachá com monitoramento por CCTV e registros de acesso se a biometria não for viável

Evidência de controle

O que os auditores procuram

Para cada controle implementado, os auditores solicitam evidências que comprovem:

• Existência: O controle está estabelecido (documentos de políticas, configurações de sistemas)
• Operação: O controle funciona regularmente (logs, relatórios, registros)
• Eficácia: O controle reduz o risco (métricas, resultados de testes, dados de incidentes)

Exemplos de evidências por tipo de controle

• Controles de política: Documentos de políticas aprovados, histórico de versões, reconhecimentos da equipe
• Controles técnicos: Capturas de tela de configuração, logs de sistema, relatórios de varredura
• Controles de processo: Listas de verificação preenchidas, tickets de fluxo de trabalho, registros de revisão
• Controles de treinamento: Certificados de conclusão, registros de presença, notas de testes

Ciclo de vida do controle

1. Seleção (Planejamento)

Com base na avaliação de riscos, identifique quais controles abordam os riscos identificados. Documente na Declaração de Aplicabilidade.

2. Implementação (Implantação)

Implante os controles selecionados com escopo, timing e recursos apropriados. Crie políticas, configure sistemas, treine a equipe.

3. Operação (Dia a dia)

Execute os controles como parte das operações comerciais normais. Gere evidências por meio de logs, relatórios e registros.

4. Monitoramento (Contínuo)

Acompanhe a eficácia do controle por meio de métricas, revisões e testes. Identifique falhas ou fraquezas nos controles precocemente.

5. Revisão (Periódica)

Avalie se os controles permanecem apropriados conforme os riscos, a tecnologia e os negócios mudam. Atualize ou retire controles conforme necessário.

6. Melhoria (Contínua)

Aprimore os controles com base em incidentes, achados de auditoria, novas ameaças ou melhorias tecnológicas.

Erros comuns na implementação de controles

Implementar controles sem avaliação de riscos

Selecionar controles com base em modelos ou "melhores práticas" em vez da sua avaliação de riscos real. Isso desperdiça recursos e pode deixar lacunas.

Superdocumentação, subimplementação

Criar políticas e procedimentos extensos, mas não implantar ou operar os controles de fato.

Mentalidade de "configurar e esquecer"

Implementar controles uma vez durante a preparação para a certificação, mas não mantê-los ou coletar evidências contínuas.

Nenhuma medição de eficácia

Presumir que os controles funcionam sem testar ou medir seu impacto na redução de riscos.

Soluções pontuais em vez de defesa em profundidade

Depender de controles únicos em vez de defesas em camadas. A falha de um controle não deve resultar em comprometimento total.

Níveis de maturidade dos controles

Nível 1: Inicial/Ad hoc

Controles existem de maneira informal ou inconsistente. Sem documentação ou padronização.

Nível 2: Repetível

Controles são documentados e geralmente seguidos, mas a implementação varia por departamento ou indivíduo.

Nível 3: Definido

Controles são padronizados, documentados e implementados consistentemente em toda a organização.

Nível 4: Gerenciado

Controles são medidos e monitorados. Métricas acompanham a eficácia e o desempenho.

Nível 5: Otimizado

Controles são continuamente aprimorados com base em métricas, incidentes e mudanças no ambiente de risco.

A certificação ISO 27001 normalmente requer o Nível 3 (definido e consistente). Organizações maduras visam os Níveis 4-5.

Controles em diferentes frameworks

Controles da ISO 27001

93 controles no Anexo A, seleção baseada em riscos, reconhecidos internacionalmente.

Frameworks NIST

O NIST CSF usa cinco funções (Identificar, Proteger, Detectar, Responder, Recuperar). O NIST 800-53 fornece um catálogo detalhado de controles, principalmente para sistemas federais dos EUA.

Critérios de serviços de confiança SOC 2

Critérios de Segurança, Disponibilidade, Integridade de Processamento, Confidencialidade e Privacidade com requisitos de controle específicos para organizações de serviços.

Requisitos do PCI DSS

12 requisitos focados na proteção de dados de cartões de pagamento, obrigatórios para organizações que lidam com pagamentos com cartão.

Muitos controles se sobrepõem entre os frameworks. A abordagem baseada em riscos da ISO 27001 frequentemente aborda requisitos de vários frameworks simultaneamente.

Conceitos relacionados

• Annex A Controls - Os 93 controles específicos na ISO 27001:2022
• Risk Assessment - Processo que determina quais controles implementar
• Statement of Applicability - Documento que lista suas seleções de controles
• Risk Treatment - Implementação de controles para lidar com riscos
• How to implement ISO 27001 Annex A controls using AI

Obtendo ajuda

Use o ISMS Copilot para identificar controles apropriados para seus riscos, criar documentação de implementação de controles e desenvolver estratégias de coleta de evidências para prontidão de auditoria.