Como excluir um controle do escopo (não aplicável)
Nem toda exigência de uma norma se aplica à sua empresa. Uma norma escrita para qualquer organização inclui controles sobre tecnologias que você não usa e sobre operações que você não tem.
Para esses casos existe a exclusão de escopo: você declara o controle como não aplicável, com motivo registrado.
O que a exclusão faz, e por que ela é séria#
A plataforma é direta sobre isso: excluir um controle o remove do seu índice de conformidade. Ele sai da conta e a pontuação sobe.
É por isso que a justificativa é obrigatória. Sem ela, a exclusão seria um botão para melhorar o número sem melhorar nada, e a primeira auditoria desmontaria isso.
A frase que a própria tela usa resume bem: registre o motivo para que a decisão seja defensável perante um auditor.
Quando usar#
Os quatro motivos disponíveis cobrem os casos legítimos:
Motivo | Quando se aplica | Exemplo |
|---|---|---|
Não existe no nosso ambiente | A tecnologia ou o componente simplesmente não é usado | Um controle sobre banco de dados gerenciado, numa empresa que não usa nenhum |
Coberto por outro controle | A exigência é atendida por outro controle já comprovado | Duas normas pedem a mesma coisa de formas diferentes |
Responsabilidade do provedor | A responsabilidade é do provedor de serviço, não sua | Segurança física do datacenter, em operação totalmente em nuvem |
Fora da nossa fronteira de escopo | O controle trata de algo fora do perímetro declarado da auditoria | Uma unidade ou produto que não está no escopo certificado |
Quando não usar#
A tentação é excluir o que dá trabalho. Não funciona, e deixa rastro.
Não use exclusão de escopo quando:
- A exigência se aplica, mas você ainda não a cumpriu. O status correto é Reprovado ou Pendente. Excluir aqui é o erro mais grave da tela.
- Você não entendeu o controle. Leia a descrição da exigência primeiro.
- É trabalhoso demais. Trabalho não é critério de aplicabilidade.
Passo a passo#
- Abra o controle.
- Atualize o status e escolha Não Aplicável.
- Selecione o Motivo entre as quatro categorias.
- Escreva a Justificativa.
- Confirme.
A plataforma exige as duas coisas: motivo e justificativa. Sem elas, a exclusão não é registrada.
Como escrever uma justificativa que o auditor aceita#
A orientação da própria tela é a melhor: um motivo curto e específico é suficiente. O exemplo que ela dá é literalmente do tamanho certo: *”Não utilizamos RDS.”*
Justificativa fraca | Justificativa que funciona |
|---|---|
“Não se aplica” | “Não utilizamos banco de dados gerenciado. Todos os bancos rodam em servidor próprio, coberto pelo controle de hardening.” |
“Responsabilidade do provedor” | “Operação 100% em nuvem. A segurança física do datacenter é do provedor, conforme o relatório de conformidade dele, anexado.” |
“Não temos isso” | “Não desenvolvemos software. Não há repositório de código nem pipeline de deploy na empresa.” |
O padrão: diga o que a empresa não tem ou não faz, e por que isso é verdade. Uma frase basta.
O aviso sobre risco em aberto#
Existe um alerta que vale conhecer antes de topá-lo. Se o controle que você está excluindo é o tratamento declarado de um risco que continua em aberto, a plataforma avisa que excluí-lo é uma contradição que um auditor vai notar.
Faz sentido: você não pode dizer que a exigência não se aplica e, ao mesmo tempo, manter um risco aberto cujo plano de tratamento é justamente aquele controle. Resolva a contradição antes de seguir: ou o risco não é real, ou o controle se aplica.
Onde ver todas as exclusões#
Cada framework tem uma lista de Exclusões de escopo, com a contagem. Ela mostra os controles declarados não aplicáveis e deixa claro que eles ficam fora do índice daquela norma.
Cada exclusão mostra quem atestou. É a lista que o auditor vai pedir, então vale revisá-la antes dele.
Exclusões antigas sem motivo#
Se a sua conta é antiga, pode haver exclusões feitas antes de a justificativa ser obrigatória. A plataforma sinaliza isso: informa quantas exclusões não têm motivo registrado e marca cada uma como precisando de nova atestação.
Vale resolver essa lista antes de uma auditoria. Exclusão sem motivo registrado é uma pergunta garantida.
Revise periodicamente#
Uma revisão anual da lista de exclusões, junto com a revisão de escopo da auditoria, é suficiente.