Objetivos de controle

Ninguém configura segurança "porque sim". Cada configuração existe para atender a algo. A boa prática SEC01-BP03 pede que você parta de duas entradas e chegue a controles mensuráveis:

• Requisitos: regulatórios (ex.: LGPD, normas do seu setor), de mercado e contratuais (ex.: um cliente exige relatório SOC 2) e internos (a política de segurança da empresa).
• Riscos: o que o seu modelo de ameaças mostrou que pode dar errado no workload.

A partir delas, a cadeia tem quatro elos:

1. Objetivo de controle: o resultado que precisa ser garantido, escrito de forma verificável. Ex.: "toda conta tem o usuário root protegido por MFA".
2. Controle: o mecanismo que garante o objetivo (uma SCP, uma regra do AWS Config, um processo).
3. Evidência: o que prova que o controle funciona, num instante e ao longo do tempo.
4. Validação contínua: medir, de forma recorrente e de preferência automática, se o controle ainda está cumprindo o objetivo.

O resultado desejado, segundo o Well-Architected, é ter objetivos alinhados aos requisitos, controles aplicados por automação e política, e evidência de efetividade fácil de entregar a auditores.

Escrever todos os objetivos à mão é caro e propenso a lacunas. Escolha um ou mais frameworks públicos conforme os requisitos do negócio e alinhe seus objetivos a eles:

Framework	Quem mantém	Para que serve
AWS Foundational Security Best Practices (FSBP)	AWS	Conjunto de controles do Security Hub CSPM que detectam quando contas e recursos se desviam das boas práticas, independentemente de setor.
CIS AWS Foundations Benchmark	Center for Internet Security	Guias de configuração segura para um subconjunto de serviços, com passos de implementação e de verificação.
NIST CSF 2.0	NIST (EUA)	Organiza resultados de cibersegurança em seis funções: Govern, Identify, Protect, Detect, Respond e Recover. Bom para estruturar o programa.
NIST SP 800-53, PCI DSS, ISO 27001, SOC 2, HITRUST	Diversos	Exemplos citados pelo Well-Architected; a escolha depende do setor e dos contratos.

O próprio Well-Architected sugere os padrões do AWS Security Hub CSPM como primeira opção para implantar controles alinhados a frameworks, com o FSBP e o CIS como pontos de partida, e conformance packs do AWS Config para cobrir o que faltar.

Parte dos controles de um framework é atendida pela AWS (segurança da nuvem). Use o AWS Artifact para baixar, sem custo, relatórios como SOC e certificações ISO e PCI, que você pode entregar a auditores como evidência dos controles da AWS. O restante do escopo é seu; os AWS Customer Compliance Guides ajudam a mapear controles de frameworks para cada serviço. Reveja a lição de responsabilidade compartilhada se precisar.

Um caso completo, do requisito à evidência (exemplo a adaptar à sua realidade):

Elo	Conteúdo
Requisito	A política interna exige rastrear quem fez cada mudança em produção; um contrato pede trilha de auditoria.
Risco	Um invasor com credencial válida desliga os logs para apagar os próprios rastros.
Objetivo de controle	Toda chamada de API de gerenciamento, em todas as contas e regiões, é registrada e não pode ser desativada por contas-membro.
Controles	Trilha do CloudTrail da organização enviando para a conta de Log Archive; SCP que nega cloudtrail:StopLogging e cloudtrail:DeleteTrail (preventivo); controle [CloudTrail.1] do Security Hub CSPM, que verifica a existência de trilha multirregião com eventos de leitura e escrita (detectivo).
Evidência	Histórico de findings do controle, o JSON da SCP versionado no repositório e a lista de contas onde ela está anexada.
Validação	Avaliação periódica automática do controle; revisão trimestral do percentual de contas conformes.

Use o template de objetivos de controle para registrar os seus no mesmo formato.

• Não conhecer os requisitos: sem saber quais normas e expectativas de mercado se aplicam, os objetivos ficam arbitrários.
• Framework desalinhado ao negócio: adotar um padrão só porque é popular, sem relação com o que clientes e reguladores pedem.
• Controle que não mede o objetivo: "temos MFA" não diz se todas as contas têm. Escreva objetivos que dão sim ou não.
• Evidência manual: prints de console colhidos na véspera da auditoria. Automatize o relatório de efetividade.
• Ligar tudo como bloqueio no primeiro dia: o Well-Architected sugere monitorar e reportar com regras do Config primeiro e só migrar para aplicação forçada quando houver confiança no comportamento.

Requisitos e riscos viram objetivos de controle verificáveis; objetivos viram controles preventivos e detectivos; controles geram evidência; e a validação contínua mostra se o risco está de fato mitigado. Frameworks públicos como FSBP, CIS e NIST CSF aceleram o trabalho, e o AWS Artifact mostra a parte que já é da AWS.

SEC01-BP03 Identify and validate control objectives — risco exposto se não for estabelecida: alto.

• Standards reference for Security Hub CSPM
• CIS Amazon Web Services Benchmarks
• NIST Cybersecurity Framework
• What is AWS Artifact?