Da constatação ao plano de ação
As lacunas surgem em muitos sítios: na avaliação, quando um controlo é respondido com «nenhum», na auditoria interna, na revisão pela gestão, numa deteção do Security Score ou num pedido de um cliente. O decisivo é que cada uma destas lacunas vá parar a um único lugar e não volte a perder-se.
Um plano de ação não precisa de muito. São obrigatórios um título e uma pessoa responsável. Formule o título de forma a ser compreensível sem contexto, por exemplo «Introduzir autenticação multifator para o acesso remoto» em vez de «MFA». Na descrição, registe o que há exatamente a fazer e como se reconhece que está concluído.
Depois, associe o plano a tudo o que lhe diz respeito: o controlo do framework, o documento afetado, a vulnerabilidade ou o pedido. Os controlos são escolhidos diretamente no framework ativo. Assim, quem abrir o controlo vê que a lacuna está a ser tratada.
Defina um prazo, mesmo sendo opcional. A experiência mostra que um plano sem data fica parado. Escolha o prazo de forma realista e em função do risco: uma vulnerabilidade crítica tem prioridade sobre uma formulação numa política.
Boas práticas para responsabilidades e prazos
Cada plano tem exatamente uma pessoa responsável. É intencional. Vários responsáveis levam a que ninguém se sinta encarregado. A pessoa responsável não tem de implementar a medida sozinha, mas garante que ela é implementada e informa sobre o ponto da situação.
Divida os grandes projetos em vários planos. «Implementar o SGSI» não é um plano de ação, é um projeto. «Rever os direitos de acesso ao sistema de contabilidade» é um plano de ação. Planos pequenos e bem delimitados podem ser acompanhados e concluídos. Isso mostra progresso e mantém os envolvidos empenhados.
Reveja regularmente os planos em aberto, por exemplo numa reunião mensal com os responsáveis. Não pergunte apenas pelo estado, mas também pelos obstáculos. Se um prazo mudar, ajuste-o e registe o motivo na descrição. Um prazo adiado de forma rastreável não é problema na auditoria; um prazo ultrapassado em silêncio é.
Só conclua um plano quando a medida for eficaz, e associe a prova disso como evidência.
O que os auditores verificam nas ações corretivas
As normas de sistemas de gestão, como a ISO 27001 e a ISO 9001, exigem que reaja às não conformidades, determine a causa, tome medidas e avalie a sua eficácia. O auditor verifica este ciclo com exemplos.
Escolhe uma constatação da última auditoria externa ou interna e pergunta o que resultou dela. As boas respostas mostram um plano com pessoa responsável, prazo, histórico e uma prova da implementação. As respostas fracas resumem-se à frase de que o assunto foi discutido.
Os auditores prestam especial atenção à análise de causas. Foi apenas corrigido o sintoma, ou evitou-se que o problema voltasse a ocorrer? Registe brevemente na descrição do plano qual era a causa e porque é que a medida atua sobre ela.
O registo de atividade também é revelador para o auditor. Mostra quando um plano foi criado, alterado e concluído, e por quem. Com a função «Auditor externo», o auditor vê isto por si próprio e nunca pode apagar nada. O registo indica ainda que o acesso foi feito por uma pessoa externa.
Erros típicos
O erro mais frequente é o plano eternamente em aberto. Foi criado há meses, ninguém se sente responsável e o prazo já passou há muito. Estes planos fazem mais mal do que bem, porque mostram que as lacunas são conhecidas, mas não são tratadas. Faça uma limpeza regular: implementar, replanear ou fechar com justificação.
Um segundo erro é concluir sem prova. O estado «concluído», por si só, não convence nenhum auditor. Associe a evidência de que a medida foi implementada, por exemplo uma política alterada, uma captura de ecrã da nova configuração ou a ata de uma formação.
Em terceiro lugar, falta muitas vezes a ligação ao controlo. Um plano que está apenas numa lista não explica que requisito cumpre. Com a associação ao controlo, o contexto continua claro meses depois.
Em quarto lugar, as deteções técnicas e as lacunas organizacionais são geridas em separado. No Sightadel, ambas convergem nos mesmos planos de ação. Assim, a gestão de topo vê num só lugar o que está em aberto.
