Referência
Template de objetivos de controle
Requisito → risco → objetivo → controle → evidência, com exemplos.
Material complementar · Módulo 3 — Operar com segurança
Como usar este template
- Liste os requisitos que se aplicam: leis e normas do setor, contratos, política interna, framework escolhido (FSBP, CIS, NIST CSF…).
- Associe riscos vindos do seu modelo de ameaças.
- Escreva o objetivo como uma frase que dá sim ou não para cada conta ou recurso.
- Escolha os controles, de preferência combinando um preventivo e um detectivo, e indique o tipo.
- Defina a evidência que você entregaria a um auditor, gerada automaticamente sempre que possível.
- Dê um dono e uma frequência de validação. Objetivo sem dono não é revisado.
A explicação completa está na lição 9 — Objetivos de controle.
Modelo vazio
| Requisito | Risco | Objetivo de controle | Controle | Tipo | Evidência | Dono | Frequência de validação |
|---|---|---|---|---|---|---|---|
| … | … | … | … | Preventivo / Detectivo / Corretivo | … | … | … |
Copie a tabela para uma planilha ou para um arquivo Markdown versionado junto com o código dos controles.
Exemplos preenchidos
Exemplos a adaptar. Os identificadores entre colchetes são controles do AWS Security Hub CSPM.
| Requisito | Risco | Objetivo de controle | Controle | Tipo | Evidência | Dono | Frequência |
|---|---|---|---|---|---|---|---|
| Política interna de acesso; CIS AWS Foundations | Tomada de conta pelo root com senha vazada | O root de toda conta tem MFA ou não tem credenciais | [IAM.9] (regra root-account-mfa-enabled) | Detectivo | Findings do controle por conta | Segurança de nuvem | Avaliação periódica automática; revisão mensal |
| CIS AWS Foundations | Chave do root exposta em código | Nenhuma conta tem chave de acesso do root | [IAM.4] (regra iam-root-access-key-check) | Detectivo | Findings do controle por conta | Segurança de nuvem | Avaliação periódica automática; revisão mensal |
| Contrato exige trilha de auditoria | Invasor desliga logs para apagar rastros | Chamadas de API de gerenciamento de todas as contas e regiões são registradas na conta de Log Archive | Trilha da organização; SCP negando cloudtrail:StopLogging e cloudtrail:DeleteTrail; [CloudTrail.1] | Preventivo + detectivo | JSON da SCP versionado; anexos da SCP; findings | Plataforma de nuvem | Contínua; revisão trimestral |
| LGPD (medidas de segurança para dados pessoais) | Vazamento de dados por disco ou snapshot | Criptografia padrão de EBS habilitada em toda conta e região usada | Baseline via StackSets; [EC2.7] (regra ec2-ebs-encryption-by-default) | Preventivo + detectivo | Findings do controle; histórico do StackSet | Plataforma de nuvem | Contínua; revisão trimestral |
| LGPD; política de classificação de dados | Banco com dados pessoais sem criptografia | Toda instância RDS tem criptografia em repouso | Regra Guard no pipeline exigindo StorageEncrypted: true; [RDS.3] | Preventivo + detectivo | Logs do pipeline; findings | Times de workload; segurança revisa | A cada deploy; revisão mensal |
| Residência de dados definida pelo negócio | Recursos criados em regiões não aprovadas | Nenhum recurso é criado fora das regiões permitidas | Controle de Region deny do Control Tower (SCP) | Preventivo | Configuração da landing zone; tentativas negadas no CloudTrail | Plataforma de nuvem | Revisão semestral da lista de regiões |
| Política interna de exposição | Bucket público por engano | Toda conta tem o bloqueio de acesso público do S3 ativo | [S3.1]; remediação do AWS Config com documento de Automation | Detectivo + corretivo | Findings; histórico de execuções da remediação | Segurança de nuvem | Contínua; revisão mensal |
| Programa de gestão de vulnerabilidades | Exploração de CVE conhecido em instância | Vulnerabilidades críticas em EC2 corrigidas dentro do prazo definido pela política | Amazon Inspector; janela de patching | Detectivo + corretivo | Findings do Inspector com idade; relatório de patching | Times de workload | Semanal |
Dicas
- Prefira objetivos ligados a resultados, não a ferramentas: o controle pode mudar, o objetivo permanece.
- Combine tipos: o preventivo evita o problema e o detectivo prova que o preventivo continua funcionando.
- Prazos (como no exemplo de vulnerabilidades) vêm da sua política; registre o número no próprio objetivo.
- Revise a tabela quando o modelo de ameaças, os requisitos ou os serviços usados mudarem.