O que uma boa evidência mostra
Uma evidência comprova que uma medida não foi apenas decidida, mas é efetivamente aplicada. Uma política, sozinha, raramente basta. Ela mostra o que deve valer. O auditor quer ver, além disso, que foi mesmo assim que se fez: o documento assinado, a captura de tela de uma configuração, a ata de um treinamento, o extrato do sistema de tickets, o relatório de verificação com data e responsável.
Boas evidências têm algumas características em comum. Elas são datadas, para que fique claro quando aquela situação existia. Permitem saber quem era o responsável. E correspondem à afirmação que devem comprovar. Se a sua resposta na avaliação descreve uma revisão trimestral de acessos, o auditor espera várias atas, não uma.
Preste atenção também ao tamanho. Uma exportação com centenas de entradas é difícil de verificar. É melhor um extrato que mostre a parte relevante, complementado por uma breve explicação de como ele foi obtido. No Sightadel, você insere essa explicação como descrição diretamente na evidência. Os dados pessoais que não forem necessários para a prova devem ser ocultados antes do envio.
Ordem na biblioteca: tipo, responsabilidade, validade
Uma biblioteca só continua útil se cada evidência for bem descrita no envio. Atribua um tipo, uma pessoa responsável e uma data de validade. O tipo ajuda a filtrar, a responsabilidade esclarece quem age quando a evidência vence e a data garante o lembrete.
A data de validade depende do ritmo da medida. Na prática, funcionam bem revisões anuais para políticas, treinamentos, simulados de emergência e avaliações de fornecedores, revisões de acesso trimestrais e auditorias internas distribuídas ao longo do ano por todo o escopo. Defina a data um pouco antes do prazo real, para que haja tempo de preparação.
O status mostra em que você pode confiar. As novas evidências ficam em revisão até alguém confirmar o conteúdo delas. Só então ficam verificadas. As evidências vencidas continuam visíveis, para que a lacuna não desapareça.
Quando uma evidência vence, envie uma nova versão em vez de criar uma nova entrada. Assim todos os vínculos com controles e planos de ação são mantidos, e o histórico mostra a evolução ao longo dos anos.
Comprovar uma vez, usar várias vezes
Muitos frameworks exigem coisas parecidas. Uma política de segurança da informação, um plano de treinamento, um plano de emergência ou uma avaliação de fornecedores aparecem, de formas diferentes, na ISO 27001, na NIS2, no DORA, no BSI C5 e no SOC 2. Quem salva uma cópia própria para cada framework logo mantém várias versões que divergem entre si.
No Sightadel, você pode vincular uma evidência a todos os controles que ela comprova, inclusive entre frameworks. Ela é alterada em um único lugar. Quando entra um novo framework, basta percorrer as evidências existentes e vinculá-las de novo, em vez de começar do zero.
Verifique com cuidado se a evidência realmente cobre cada requisito. Requisitos parecidos nem sempre são iguais. Um plano de emergência suficiente para a ISO 27001 pode ser genérico demais para o DORA, porque lá as expectativas quanto a testes e cenários são mais exigentes. Nesse caso, complemente o plano ou vincule outra evidência.
A cobertura, acima da biblioteca, mostra qual parte dos requisitos ativos já está comprovada e onde faltam evidências. É a forma mais rápida de encontrar lacunas antes de uma auditoria.
O que o auditor faz com as suas evidências
Na primeira fase da auditoria, o auditor analisa principalmente a documentação. Na segunda, ele coleta amostras. Escolhe um controle, lê a sua resposta e quer ver a evidência. Se a evidência corresponder, ele segue em frente. Se não corresponder, ele faz perguntas, e uma pergunta pode virar uma constatação.
Os motivos típicos de constatações são evidências vencidas, falta de datas, evidências que não correspondem à afirmação e lacunas no período. Quem descreve uma verificação mensal dos backups, mas apresenta atas de apenas dois meses tem um problema, mesmo que as verificações tenham sido feitas de fato.
No Sightadel, o auditor recebe uma função própria. Ele vê as evidências com versão, status, validade e vínculos, comenta e, após a sua aprovação, cria ou edita registros. Ele nunca pode excluir nada. Assim, evita-se a exportação para estruturas de pastas e o envio de arquivos grandes. Ao mesmo tempo, o histórico de atividades mostra quando cada evidência foi enviada. Evidências criadas na véspera da auditoria chamam tanta atenção quanto registros que foram se acumulando ao longo do ano.
