Fluxo de trabalho de gerenciamento de controles para conformidade de TI

Exemplo de ponta a ponta: Controle de imposição de RBAC

Siga como Sarah, um Administrador de conformidade, cria e gerencia uma verificação de imposição de Controle de acesso baseado em papel (RBAC) que atende à política para os requisitos de privilégio mínimo, impõe a Política de acesso a dados da organização e mitiga o risco de acesso privilegiado excessivo.

Fase 1: definir o controle e o procedimento

Sarah começa criando um Procedimento de conformidade chamado Gerenciamento de acesso à produção. Esse procedimento agrupa todos os controles relacionados ao gerenciamento de direitos de acesso em sistemas de produção.

Nesse procedimento, ela cria um Controle de conformidade chamado RBAC Enforcement Check. O objetivo do controle é verificar se todos os usuários do sistema de produção têm direitos de acesso baseados em papel alinhados às funções de trabalho e se nenhum usuário tem acesso privilegiado aos dados do cliente.

Sarah cria uma versão de Controle de conformidade RBAC Enforcement Check(v1.0) e documenta o escopo, a frequência (trimestral) e a evidência esperada (capturas de tela de atribuições de papel do IAM, exportações CSV de mapeamentos de usuário para papel).

Fase 2: mapear o controle para normas, políticas e processos comerciais

Sarah mapeia a versão de controle para os registros que ela impõe e protege. Ela usa registros de junção para criar links rastreáveis:

• Mapeamento de regulamentação: Ela vincula a versão do controle à política para a cláusula de regulamentação de Acesso lógico e físico usando um registro de Versão da cláusula do regulamento Versão do controle de conformidade. Esse mapeamento prova que o controle atende ao requisito regulatório externo.
• Mapeamento de política: Ela vincula a versão de controle à cláusula de política de Acesso a dados (RBAC com privilégio mínimo) usando um registro de Versão da cláusula da política de conformidade Versão do controle de conformidade. Esse mapeamento mostra que o controle impõe a política interna.
• Mapeamento de processo de negócios: Ela vincula a versão de controle ao processo de operações de negócios do Processamento de dados do cliente usando um registro de Versão de controle de conformidade do processo de operações de negócios. Esse mapeamento mostra que o controle protege o fluxo de trabalho de dados do cliente principal da organização.
• Mapeamento de ativo: Ela vincula a versão de controle às contas da AWS de produção rastreadas como ativos no CMDB. Esse mapeamento permite que os proprietários do ativo vejam quais obrigações de conformidade se aplicam a seus sistemas.

Fase 3: vincular o controle aos riscos que ele mitiga

Sarah já registrou um risco de conformidade chamado Acesso privilegiado excessivo aos dados do cliente. Esse risco descreve a ameaça de que o pessoal de TI possa obter acesso não autorizado aos dados do cliente devido a permissões excessivas. Agora ela vincula o controle de Verificação de imposição RBAC a esse risco para mostrar como o controle reduz a gravidade do risco.

Ela cria um registro de Risco de versão do Controle de conformidade que vincula a versão do controle ao risco. Ela atribui uma classificação de eficácia de controle de 80% efetiva, indicando que, quando o controle está funcionando corretamente, ele reduz o impacto do risco em 80%.

Se a pontuação de risco inerente for 12 (probabilidade média × impacto alto) e a eficácia do controle for 80%, o risco residual se tornará:

Residual Risk = 12 × (1 - 0.80) = 2.4 (Low)

Esse cálculo mostra às partes interessadas que o controle RBAC está fornecendo redução de risco substancial. Se o controle falhar posteriormente em um teste, a classificação de eficácia cai para 0%, e o risco residual reverte para o nível de risco inerente de 12, acionando alertas e fluxos de trabalho de remediação.

Fase 4: definir e executar testes de conformidade

Sarah cria um Teste de conformidade chamado Auditoria de RBAC trimestral.

Ela vincula o teste à versão de controle usando um registro de Teste de versão de controle de conformidade. Ela agenda o teste para ser executado trimestralmente, com a primeira execução em 31 de março de 2024.

Quando o teste é executado, o sistema cria um registro de Execução de teste de versão do Controle de conformidade com o resultado Aprovado. O registro de execução captura estes detalhes:

• Data e hora da execução
• Resultado de aprovação/falha
• Evidência coletada (capturas de tela de papéis do IAM, exportação CSV de mapeamentos de usuário para papel)
• Nome do testador (se manual) ou ID do script de teste automatizado (se automatizado)
• Observações e notas

Como o teste foi aprovado, a classificação de eficácia do controle permanece em 80% e a pontuação de risco residual permanece em 2,4 (baixo). A equipe de conformidade está confiante de que o controle está operando conforme o desejado.

Fase 5: controla o feed para a coleção de evidências

Durante uma revisão de auditoria de conformidade, David, o gerente do programa de auditoria, cria uma Solicitação de evidência chamada Evidência de configuração de RBAC de produção. Ele vincula a solicitação de evidência à versão de controle de Verificação de imposição RBAC para mostrar qual proteção está sendo auditada.

James, o Processador de evidência, coleta a prova necessária e envia um artefato de evidência que inclui:

• Capturas de tela de configurações de papel do IAM
• Exportação CSV de mapeamentos de usuário para papel
• Capturas de tela das configurações de imposição de MFA

Quando o revisor de conformidade aceita o artefato, ele é bloqueado imediatamente, preservando a cadeia de custódia para auditores externos. O artefato é vinculado de volta à versão do controle, criando uma conexão rastreável do requisito de regulamentação por meio do controle para a evidência verificada que comprova o funcionamento do controle.

Fase 6: Controlar a remediação de acionadores de falha

No 2o trimestre, o teste de auditoria de RBAC trimestral é executado novamente. Dessa vez, o resultado é Falha. O teste detectou que três usuários na equipe de operações de TI têm direitos de acesso administrativos que excedem os requisitos de função do trabalho.

No momento em que o teste falha, várias coisas acontecem automaticamente.

• Como o controle falhou em seu teste, a classificação de eficácia é redefinida para 0%.
• O Mecanismo de regras de negócios recalcula o risco residual. Com 0% de eficácia de controle, o risco residual é revertido para o nível de risco inerente: Residual Risk = 12 × (1 - 0.00) = 12 (High). O nível de risco pulsa de Baixo para Alto.
• Um agente de monitoramento em segundo plano detecta a falha do controle e cria uma Localização de conformidade.
• Maria, a proprietária do risco para acesso com privilégio excessivo, recebe um alerta informando que a pontuação de risco residual aumentou de 2,4 para 12.

Sarah converte a descoberta em um problema de conformidade chamado Direitos de acesso privilegiados detetados em equipe de operações de TI. Ela vincula o problema à versão de controle, ao risco, à cláusula de regulamentação e à cláusula de política. Ela aplica um Modelo de plano de ação de remediação pronto para uso que inclui tarefas para revisar os direitos de acesso do usuário, revogar permissões excessivas e executar novamente o teste de controle.

Maria e sua equipe concluem o trabalho de remediação. Eles revogam as permissões excessivas e executam novamente o teste RBAC. O resultado é: Passado. A classificação de eficácia do controle é restaurada para 80% e a pontuação de risco residual volta para 2,4 (baixo). O problema de conformidade é encerrado com evidência de remediação.

Fase 7: evolução de monitoramento e controle contínuos

Sarah configura um agente de monitoramento em segundo plano para observar alterações no ambiente de controle de acesso de produção. O agente escuta:

• Novos usuários adicionados aos sistemas de produção
• Alterações em atribuições de papel do IAM
• Atualizações da política de imposição de MFA
• Controlar falhas de teste

Quando o agente detecta uma alteração relevante, ele aciona automaticamente uma nova avaliação de risco e notifica o proprietário do risco. Se a alteração representar uma possível fraqueza de controle, o agente poderá criar uma descoberta proativa antes da execução do teste trimestral.

Seis meses depois, o requisito de conformidade é alterado para exigir monitoramento contínuo em vez de testes trimestrais. Sarah clona a versão de controle para criar a v2.0, atualiza a frequência de testes de trimestral para mensal e descontinua a v1.0. A nova versão herda todos os mapeamentos para normas, políticas, riscos, processos de negócios e ativos da v1.0, preservando a trilha de auditoria enquanto se adapta aos novos requisitos.