A segurança da informação vai além de implementar controles técnicos; envolve também atender a requisitos legais, regulatórios e de mercado. A conformidade (compliance) garante que sua organização siga padrões reconhecidos, protegendo dados e evitando penalidades. Nesta aula, vamos explorar quatro dos frameworks mais importantes: PCI DSS (para pagamentos), ISO 27001 (gestão de segurança), LGPD (proteção de dados no Brasil) e NIST (diretrizes de segurança cibernética). Entender esses padrões é essencial para qualquer profissional de segurança.

Vamos detalhar cada um, mostrando sua origem, estrutura, requisitos principais e como aplicá-los na prática. Ao final, você terá uma visão clara de como alinhar sua organização a essas normas e estará preparado para implementar programas de conformidade eficazes.

PCI DSS

O PCI DSS (Payment Card Industry Data Security Standard) é um conjunto de requisitos de segurança criado pelas principais bandeiras de cartão (Visa, Mastercard, etc.) para proteger dados de cartões de pagamento. Ele se aplica a qualquer organização que armazene, processe ou transmita dados de titulares de cartão. O objetivo é reduzir fraudes e vazamentos, estabelecendo controles técnicos e operacionais.

A versão atual (4.0) possui 12 requisitos, agrupados em seis objetivos: construir e manter uma rede segura, proteger dados do titular do cartão, manter um programa de gerenciamento de vulnerabilidades, implementar medidas de controle de acesso, monitorar e testar redes regularmente, e manter uma política de segurança da informação. Cada requisito tem sub-requisitos e procedimentos de validação.

Exemplo de requisito: Requisito 3 – Proteger os dados armazenados do titular do cartão. Isso inclui criptografar dados sensíveis, mascarar números de cartão quando exibidos e não armazenar dados de autorização (como código CVV) após a transação. Um exemplo de código para mascarar um número de cartão em Java:

String cardNumber = "4111111111111111";
String masked = "************" + cardNumber.substring(cardNumber.length() - 4);
System.out.println(masked); // ************1111

Para se tornar conformante, a organização deve preencher um Questionário de Autoavaliação (SAQ) ou passar por uma auditoria de um avaliador qualificado (QSA). A conformidade é exigida pelas bandeiras e pode resultar em multas ou perda do direito de processar cartões.

ISO 27001

A ISO 27001 é uma norma internacional que especifica os requisitos para um Sistema de Gestão de Segurança da Informação (SGSI). Ela adota uma abordagem de gestão de riscos, permitindo que a organização selecione controles adequados ao seu contexto. A norma é genérica e aplicável a qualquer tipo de organização, independentemente do setor ou tamanho.

A estrutura da ISO 27001:2022 inclui cláusulas (de 4 a 10) que exigem contexto da organização, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria. O Anexo A lista 93 controles, organizados em 4 temas: organizacional, pessoas, físicas e tecnológicas. A certificação é obtida por meio de auditoria externa realizada por um organismo certificador.

Um dos principais benefícios é a demonstração de compromisso com a segurança para clientes e parceiros. A implementação envolve definir escopo, realizar análise de riscos, implementar controles, e monitorar continuamente. Por exemplo, um controle de acesso lógico (Anexo A, controle 8.2) exige que contas de usuário sejam gerenciadas e revisadas regularmente.

Exemplo de política de controle de acesso em um documento:

Política de Controle de Acesso
1. Todo usuário deve ter um identificador único.
2. Acessos devem ser concedidos com base no princípio do menor privilégio.
3. Revisões de acesso devem ocorrer a cada 6 meses.
4. Contas de ex-funcionários devem ser desativadas em até 24 horas.

A ISO 27001 é baseada no ciclo PDCA (Plan, Do, Check, Act), incentivando a melhoria contínua. A conformidade não é um projeto único, mas um processo contínuo.

LGPD

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) regula o tratamento de dados pessoais no Brasil, com o objetivo de proteger os direitos fundamentais de liberdade e privacidade. Ela se aplica a qualquer operação de tratamento (coleta, armazenamento, uso, compartilhamento) realizada por pessoa física ou jurídica, no Brasil ou que ofereça bens/serviços a brasileiros.

A LGPD estabelece 10 bases legais para o tratamento de dados (consentimento, cumprimento de obrigação legal, execução de contrato, etc.) e define direitos dos titulares, como acesso, correção, portabilidade e exclusão. As organizações devem implementar medidas técnicas e administrativas para proteger os dados, além de nomear um Encarregado (DPO) e comunicar incidentes à ANPD.

Na prática, é necessário mapear os dados pessoais, criar um registro das operações de tratamento, implementar políticas de privacidade e treinar funcionários. Por exemplo, um formulário de coleta de dados deve incluir uma política de privacidade clara e obter consentimento explícito quando necessário.

Exemplo de cláusula de consentimento em HTML:

A não conformidade pode resultar em multas de até 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração. A LGPD também exige relatórios de impacto à privacidade para tratamentos de alto risco.

NIST

O NIST (National Institute of Standards and Technology) é uma agência do governo dos EUA que publica diretrizes e frameworks de segurança cibernética. O mais conhecido é o NIST Cybersecurity Framework (CSF), que oferece uma abordagem baseada em riscos para melhorar a postura de segurança. O CSF é voluntário, mas amplamente adotado por empresas e órgãos governamentais.

O framework é composto por cinco funções: Identificar, Proteger, Detectar, Responder e Recuperar. Cada função possui categorias e subcategorias, alinhadas a resultados desejados. Por exemplo, a categoria "Proteção" inclui controle de acesso, treinamento e segurança de dados. O NIST também publica o SP 800-53, que é um catálogo de controles de segurança para sistemas de informação federais.

O CSF é útil para criar um programa de segurança abrangente, mesmo sem ser obrigatório. Ele ajuda a priorizar investimentos e a comunicar riscos à alta direção. Por exemplo, a função "Detectar" pode incluir a implementação de um SIEM para monitorar eventos de segurança.

Exemplo de mapeamento de controles no formato NIST:

Função: PROTEGER (PR)
Categoria: PR.AC - Controle de Acesso
Subcategoria: PR.AC-1 - Identidades e credenciais são gerenciadas
Controles: Uso de autenticação multifator, revisão de contas.

O NIST também fornece o NIST Privacy Framework, complementar ao CSF, focado em privacidade. Essas publicações são gratuitas e oferecem um guia prático para qualquer organização.

Boas Práticas e Observações Finais

A conformidade não deve ser vista apenas como uma obrigação, mas como uma oportunidade de melhorar a segurança. Algumas boas práticas incluem: realizar avaliações de risco periodicamente, envolver a alta direção, treinar funcionários, e manter documentação atualizada. Use ferramentas de automação para monitorar controles e evidências.

Lembre-se de que a conformidade é um processo contínuo. Novas ameaças e mudanças regulatórias exigem revisões constantes. Considere integrar os requisitos de diferentes frameworks para evitar duplicação de esforços. Por exemplo, os controles da ISO 27001 podem ser mapeados para o NIST CSF.

Por fim, ao implementar a conformidade, priorize os dados mais sensíveis e os riscos mais altos. Não tente implementar tudo de uma vez; crie um plano de ação com marcos mensuráveis. A conformidade é uma jornada, não um destino.

Referências

Exercícios

  1. Explique o objetivo principal do PCI DSS e liste três requisitos que você considera mais críticos.

    ✓ Resposta: O objetivo principal do PCI DSS é proteger os dados de cartões de pagamento contra fraudes e vazamentos. Três requisitos críticos são: proteger os dados armazenados do titular do cartão (requisito 3), criptografar a transmissão de dados do titular do cartão em redes públicas (requisito 4) e implementar medidas de controle de acesso (requisito 7).

  2. Qual é a diferença entre a ISO 27001 e o NIST CSF em termos de certificação?

    ✓ Resposta: A ISO 27001 é uma norma certificável, ou seja, uma organização pode passar por auditoria externa e obter um certificado oficial. O NIST CSF é um framework voluntário e não possui um processo de certificação formal; as organizações podem usá-lo para autoavaliação e melhoria, mas não há um certificado emitido por terceiros.

  3. Cite três direitos dos titulares de dados garantidos pela LGPD e explique como uma empresa pode implementar um deles.

    ✓ Resposta: Três direitos são: acesso, correção e exclusão (direito ao esquecimento). Para implementar o direito de acesso, a empresa deve fornecer ao titular uma cópia dos dados pessoais que possui, em formato claro e acessível. Isso pode ser feito criando um portal online onde o usuário faça login e visualize seus dados, ou respondendo a solicitações via e-mail em até 15 dias.

  4. Descreva as cinco funções do NIST Cybersecurity Framework e dê um exemplo de atividade para cada.

    ✓ Resposta: As funções são: Identificar (ex.: inventariar ativos de hardware e software), Proteger (ex.: implementar autenticação multifator), Detectar (ex.: configurar alertas de anomalias em logs), Responder (ex.: criar um plano de resposta a incidentes) e Recuperar (ex.: realizar backups regulares e testar a restauração).

  5. Uma empresa de e-commerce precisa estar em conformidade com PCI DSS e LGPD. Cite duas medidas que atendam a ambos os requisitos.

    ✓ Resposta: Duas medidas comuns são: 1) Criptografar dados sensíveis em trânsito e em repouso (atende ao PCI DSS e à LGPD, que exige medidas de segurança). 2) Implementar controle de acesso estrito, com revisões periódicas, para minimizar o acesso a dados de cartão e dados pessoais (também exigido por ambos).