Frameworks – NIST 800-53: o que a plataforma cobre
O NIST 800-53 é um catálogo de controles de segurança e privacidade publicado pelo instituto de normas dos Estados Unidos. Ele foi escrito para sistemas do governo federal americano, e é a base sobre a qual outros regimes se apoiam.
Duas coisas para saber antes de habilitar: ele é o maior framework do catálogo, e ele quase nunca é usado por escolha própria.
Para quem serve
Para empresas que precisam atender exigências do ecossistema de fornecimento ao governo dos Estados Unidos, ou que foram contratualmente obrigadas a se alinhar a esse catálogo.
Os casos que aparecem na prática:
- A empresa busca autorização para operar serviço em nuvem para órgãos federais americanos, o que passa pelo FedRAMP, cujos requisitos derivam deste catálogo.
- Um contrato com órgão ou grande fornecedor americano exige alinhamento explícito.
- A empresa quer usar o catálogo como referência técnica detalhada, sem buscar autorização formal.
Se nenhum desses casos se aplica, este provavelmente não é o framework para você. O NIST CSF organiza melhor um programa, e a ISO 27001 certifica melhor perante o mercado.
O tamanho é a característica principal
Seja realista antes de habilitar: o catálogo é extenso, muito mais detalhado que a ISO 27001, e organizado em famílias de controles que cobrem desde controle de acesso até aquisição de sistemas e segurança física.
A consequência prática na plataforma é imediata: você vai ver uma lista de controles bem maior do que em qualquer outro framework, e o percentual inicial vai parecer desanimador.
Isso é esperado e não significa que a empresa está mal.
A ideia de linha de base
O catálogo não pretende que toda organização atenda todos os controles. Ele prevê linhas de base conforme o impacto do sistema: quanto mais crítico, mais controles se aplicam.
Essa é a informação mais importante para planejar. Definir a linha de base aplicável ao seu caso, antes de trabalhar, evita o esforço de tratar controles que nunca se aplicariam.
Na plataforma, a ferramenta para isso é a exclusão de escopo, com motivo e justificativa registrados. Os motivos disponíveis se encaixam bem aqui, especialmente *não existe no nosso ambiente* e *responsabilidade do provedor*.
Responsabilidade compartilhada é central
Se a sua empresa opera em nuvem, boa parte dos controles do catálogo é responsabilidade do provedor, não sua: segurança física, controle ambiental, proteção de mídia, manutenção de hardware.
Trate isso de forma explícita. Excluir esses controles do escopo com o motivo responsabilidade do provedor, e justificativa apontando o relatório de conformidade do provedor, é o caminho correto e defensável.
Fazer isso desde o início reduz muito o tamanho aparente do trabalho.
O que é comprovado automaticamente e o que não é
| Área | Como costuma ser comprovada |
|---|---|
| Controle de acesso, identificação, autenticação | Integrações |
| Configuração, proteção de sistema e comunicação | Integrações |
| Auditoria e registro de eventos | Integrações |
| Gestão de risco e avaliação de segurança | Módulo de Riscos e documentos |
| Resposta a incidentes | Módulo de Incidentes |
| Contingência e recuperação | Módulo de Continuidade |
| Aquisição de sistemas e serviços, gestão de fornecedores | Módulo de Fornecedores e documentos |
| Pessoal, treinamento, conscientização | Evidência enviada |
| Segurança física e ambiental | Normalmente responsabilidade do provedor |
| Planejamento, políticas e procedimentos de cada família | Documentos publicados |
Por onde começar
- Confirme por que você está aqui. Se é FedRAMP, o processo dele orienta o escopo. Se é contrato, leia o contrato.
- Defina a linha de base aplicável antes de trabalhar controles.
- Exclua do escopo o que é do provedor, com justificativa apontando o relatório dele. Isso reduz a lista de forma legítima.
- Conecte as integrações. O catálogo tem muitas exigências técnicas verificáveis.
- Trabalhe por família, não por percentual geral. O número total demora a andar e desanima.
- Cuide dos documentos de política de cada família. O catálogo espera política e procedimento por área, e isso é volume de escrita.
O que costuma dar problema
- Habilitar sem definir a linha de base. Gera centenas de controles que nunca se aplicariam.
- Não tratar a responsabilidade do provedor. Sem isso, o progresso parece impossível.
- Subestimar o volume documental. É o framework que exige mais escrita de políticas e procedimentos.
- Perseguir o percentual geral. Trabalhar família por família é a única forma de sentir progresso.
⚠️ Esta página descreve o propósito e a estrutura geral do catálogo em linguagem própria, para orientar o uso da plataforma. As publicações do instituto responsável são de acesso público e são a referência oficial. A linha de base aplicável ao seu caso deve ser definida com quem conduz o processo de autorização ou com o cliente que fez a exigência.
Este artigo foi útil?