Controles, Testes e Evidências

Toda auditoria de segurança se resume a uma corrente de três elos. Existe um requisito, existe um controle que responde a ele e existe uma evidência que prova que o controle funcionou no período auditado. Quando um dos elos falta, o certificado depende de convencer o auditor, não de mostrar.

A maioria das empresas quebra no segundo e no terceiro elo. Os controles estão descritos em uma política aprovada dois anos atrás, ninguém testou desde então, e a evidência é reconstruída na semana anterior à auditoria a partir de e-mail e memória. O Imara Trust existe para manter a corrente inteira, todos os dias.

Controles

Um controle no Imara Trust não é uma linha em planilha. Tem dono nomeado, periodicidade de verificação, critério objetivo de atendimento e vínculo com os requisitos que ele satisfaz.

O vínculo é o que economiza tempo. Controle de acesso privilegiado aparece no Anexo A da ISO 27001, nos critérios de confidencialidade do SOC 2, no artigo 46 da LGPD e no requisito 7 do PCI DSS. São quatro exigências e um único controle bem implementado. Você escreve, testa e evidencia uma vez, e a plataforma mostra as quatro certificações que aquele trabalho atende.

Testes

Controle sem teste é intenção. O teste responde a uma pergunta simples: este controle está funcionando hoje, e não na data em que alguém o escreveu.

Onde a informação está acessível por integração, o teste roda sozinho e em intervalo definido. Configuração de MFA, política de senha, criptografia em repouso, backup concluído, patch aplicado, log retido etc.

Onde não existe API, o teste é manual com registro de execução. Ata de comitê, revisão trimestral de acessos, teste de restauração de backup, treinamento concluído. A plataforma cobra a execução do dono no prazo, guarda quem executou e quando, e mantém a série histórica.

Quando um teste falha, nasce um achado com responsável, criticidade e prazo. Isso não é defeito da operação, é o sistema fazendo o trabalho dele. Auditor experiente desconfia de painel inteiro verde. O que ele quer ver é falha detectada, tratada e fechada dentro do prazo que a própria empresa definiu, porque isso prova que o processo está vivo.

Evidências

Cada evidência no Imara Trust carrega data de coleta, origem, controle vinculado e responsável. Fica arquivada com histórico, o que significa que a pergunta do auditor deixa de ser um pedido e passa a ser uma consulta.

Isso resolve o ponto onde mais gente escorrega: o auditor não pede a evidência de hoje, pede a do período. A revisão de acessos precisa ter acontecido nos quatro trimestres, com prova de cada um. Coleta contínua entrega isso naturalmente. Coleta na véspera entrega uma foto e uma conversa difícil.

No dia da auditoria, basta dar acesso a plataforma para o auditor e ele recebe uma interface com a lista de controles do escopo, o resultado de cada teste no período, as evidências vinculadas e o histórico de achados com o tratamento de cada um.
O trabalho que antes consumia semanas de gente sênior vira a geração de um relatório. A auditoria continua sendo auditoria, e o auditor continua fazendo pergunta difícil. A diferença é que a resposta já está pronta.

O que nossos clientes dizem

“Imara Trust entregou rapidamente o que estavamos tentando a meses.”

“Imara Trust entregou rapidamente o que estavamos tentando a meses. Os processos centralizados e a gestão de conformidade ficou bem mais fácil”

Gustavo Simões

CTO – Oneblinc

Service Details