Da constatação ao plano de ação
As lacunas surgem em muitos lugares: na avaliação, quando um controle é respondido com “nenhum”, na auditoria interna, na análise crítica pela direção, em um achado do Security Score ou em uma solicitação de um cliente. O decisivo é que cada uma dessas lacunas vá para um único lugar e não se perca de novo.
Um plano de ação não precisa de muito. Título e pessoa responsável são obrigatórios. Formule o título de modo que seja compreensível sem contexto, por exemplo “Implantar autenticação multifator para o acesso remoto” em vez de “MFA”. Na descrição, registre o que exatamente precisa ser feito e como saber que está concluído.
Depois, vincule o plano a tudo o que se refere a ele: o controle do framework, o documento afetado, a vulnerabilidade ou a solicitação. Os controles são escolhidos diretamente no framework ativo. Assim, quem abrir o controle vê que a lacuna está sendo tratada.
Defina um prazo, mesmo que seja opcional. A experiência mostra que um plano sem data fica parado. Escolha o prazo de forma realista e de acordo com o risco: uma vulnerabilidade crítica tem prioridade sobre uma formulação em uma política.
Boas práticas para responsabilidades e prazos
Cada plano tem exatamente uma pessoa responsável. Isso é proposital. Vários responsáveis fazem com que ninguém se sinta encarregado. A pessoa responsável não precisa implementar a medida sozinha, mas garante que ela seja implementada e informa sobre o andamento.
Divida projetos grandes em vários planos. “Implantar o SGSI” não é um plano de ação, é um projeto. “Revisar os direitos de acesso ao sistema de contabilidade” é um plano de ação. Planos pequenos e bem delimitados podem ser acompanhados e concluídos. Isso mostra progresso e mantém os envolvidos engajados.
Revise regularmente os planos em aberto, por exemplo em uma reunião mensal com os responsáveis. Não pergunte apenas pelo status, mas também pelos obstáculos. Se um prazo mudar, ajuste-o e registre o motivo na descrição. Um prazo adiado de forma rastreável não é problema na auditoria; um prazo estourado em silêncio, sim.
Só conclua um plano quando a medida for eficaz, e vincule a prova disso como evidência.
O que os auditores verificam nas ações corretivas
As normas de sistemas de gestão, como a ISO 27001 e a ISO 9001, exigem que você reaja às não conformidades, identifique a causa, tome medidas e avalie a eficácia delas. O auditor verifica esse ciclo com exemplos.
Ele escolhe uma constatação da última auditoria externa ou interna e pergunta o que resultou dela. Boas respostas mostram um plano com pessoa responsável, prazo, histórico e uma prova da implementação. Respostas fracas se resumem à frase de que o assunto foi discutido.
Os auditores prestam atenção especial à análise de causas. Foi corrigido apenas o sintoma, ou o problema foi impedido de voltar a acontecer? Registre brevemente na descrição do plano qual era a causa e por que a medida atua sobre ela.
O registro de atividades também é revelador para o auditor. Ele mostra quando um plano foi criado, alterado e concluído, e por quem. Com a função “Auditor externo”, o auditor vê isso por conta própria e nunca pode excluir nada. O registro também indica que o acesso foi feito por uma pessoa externa.
Erros típicos
O erro mais frequente é o plano eternamente em aberto. Foi criado há meses, ninguém se sente responsável e o prazo já passou há muito tempo. Esses planos fazem mais mal do que bem, porque mostram que as lacunas são conhecidas, mas não são tratadas. Faça uma limpeza regular: implementar, replanejar ou encerrar com justificativa.
Um segundo erro é concluir sem prova. O status “concluído”, sozinho, não convence nenhum auditor. Vincule a evidência de que a medida foi implementada, por exemplo uma política alterada, uma captura de tela da nova configuração ou a ata de um treinamento.
Em terceiro lugar, muitas vezes falta o vínculo com o controle. Um plano que está só em uma lista não explica qual requisito atende. Com o vínculo ao controle, o contexto continua claro meses depois.
Em quarto lugar, os achados técnicos e as lacunas organizacionais são gerenciados separadamente. No Sightadel, os dois convergem nos mesmos planos de ação. Assim, a alta direção vê em um só lugar o que está em aberto.
