Monitoramento contínuo da conformidade

1) O que é monitoramento contínuo da conformidade

• Reduzir os testes manuais e o fator humano.
• Reduzir as violações TTD/MTTR.
• Forneça um estado de «audity-ready» a qualquer momento.
• Acelerar a implementação de mudanças com policy-as-código.

2) Abrangência (scope) CCM

Acessíveis e identidades (IAM/IGA): SoD, papéis redundantes, acessíveis sem dono.
Dados e privacidade: Retenção/TTL, camuflagem, Legal Hold, DSAR-SLA.
Infraestrutura/nuvem/IaC: à deriva configurações, criptografia, segmentação.
Produto/código/CI-CD: segredos em repositórios, SCA/SAST/DAST, licenças OSS.
Transações/AML: sanção/RER screening, regras de anomalias, TR/SAR.
Operações: registros de auditoria, reserva e recuperação, vulnerabilidades.

3) Arquitetura de arbitragem CCM

1. Coletor de sinais: agentes e conectores (nuvem, BD, logs, SIEM, IAM, CI/CD, DLP, e-mail/arquivos de bate-papo).

2. Normalização e enriquecimento: pneu de evento (Kafka/Ônibus) + ETL/ELT em vitrines de Compliance.

3. Políticas-como-código (CaC): repositório YAML/Rego/Políticas com versões, testes e ciúmes.

4. Motor de regras (stream/batch): calcula violações, prioridade e risco-screen.

5. Orquestra: Tiquetagem/SOAR + escalação por RACI, auto-remediação, extração SLA.

6. Evidence/WORM: artefatos imutáveis (logs, imagens de configs, relatórios).

7. Dashboards e relatórios: heatmap, KPI/SLO, descargas regulatórias.

4) Políticas-como-código: mini-circuitos

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) Controladores típicos de regulamentação

6) Métricas e SLO

Coverage:% dos sistemas/dados sob monitoramento (meta ≥ 90%).
Controladores MTTD/MTTR: tempo médio até detecção/correção.
Draft Rate: à deriva configurações/mes.
Falso Positivo Rate: proporção de falsas acções de acordo com as regras.
Check Readiness Time: tempo de preparação de evidence (alvo - relógio).
DSAR SLA:% fechados a tempo; a mediana da resposta.
Access Hygiene: proporção de direitos obsoletos; encerrar violações SoD.

7) Processos (SOP) CCM

1. Identificação dos requisitos da matriz → «regulação → controle da métrica →».
2. Design de regras → policy-as-código, testes, PR/review, versionização.
3. Implantação → validação de estaging, em seguida, prod com a bandeira de função.
4. Monitoramento e alertas → priorização (sec/impact), supressão de ruído, dedução.
5. Remediation → playbooks automáticos + tíquetes para os proprietários; Escalação SLA.
6. Evidence → imagens periódicas; WORM/immutability; Resumos hash.
7. Reavaliação → sintonização trimestral de regras, análise FPR/TPR, A/B comparações.
8. Treinamento → gerenciamento de controladores, instruções e diretórios de exceções (waivers).

8) Ciclo de vida alerta

Detect → Triage → Assign → Remediate → Verify → Close → Learn.
Cada passo é registado como proprietário, prazo, medidas tomadas, artefatos de provas.

9) Integração

GRC - exigências, riscos, controlos, campanhas, armazenamento de artefatos.
SIEM/SOAR - Correlação de eventos, playbooks automáticos.
IAM/IGA - Avaliações, SoD, RBAC/ABAC, ciclo de vida acessível.
CI/CD/DevSecOps - gates de conformidade, SAST/DAST/SCA, segredo scan.
Data Platford - Vitrines «Compliance», catálogo/lineage, camuflagem.
DLP/EDRM - marcas de sensibilidade, proibição de exfiltração, revistas.
Ticketing/ITSM - SLA, escalações, relatórios de proprietários e comandos.

10) Dashboards (conjunto mínimo)

Compliance Heatmap (sistemas x regulamentação x status).
SLA Center (DSAR/AML/PCI/SOC2 prazos atrasados).
Access & SoD (papéis tóxicos, acessíveis «esquecidos»).
Retenção & Delation (violações TTL, bloqueio Legal Hold).
Infra/Cloud Drift (inconsistência do IaC/real).
Invidents & Findings (tendências de repetição, eficácia remediation).

11) Exemplos de regras (SQL/pseudo)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) Papéis e RACI

13) Gerenciamento de exceções (waivers)

Pedido formal com justificativa e data de vencimento.
Avaliação de risco e controles compensatórios.
Lembrança automática da revisão.
Reflexo em relatórios (transparência para auditor).

14) Privacidade e segurança no CCM

Minimizar dados em vitrines e logs (edição PII).
Partilha de responsabilidades, os menores privilégios.
Immutability (WORM/S3 Object Lock) для evidence.
Gravação criptográfica de relatórios (cadeias de hash).
Controle de acesso e registro de artefatos.

15) Folhas de cheque

Iniciar CCM

• A matriz «regulação → controle da métrica →» foi acordada.
• As fontes-chave de sinal estão conectadas.
• As políticas são descritas com código, cobertas de testes e ciúmes.
• Estão incluídos dashboards e alertas; definidos pelo SLO/SLA.
• O arquivo de evidence (imutability) foi configurado.
• Os proprietários estão treinados; o processo waivers foi definido.

Antes da audiência

• Versões de políticas e alterações foram atualizadas.
• Realizado por dry-run de evidence.
• Remediação e exceções encerradas.
• As métricas Coverage/MTTD/MTTR/Drift foram cortadas.

16) Antipattern

Verificações de auditoria em vez de controles permanentes.
Regras ruidosas sem priorização ou dedução.
Políticas sem versionização ou testes.
Monitoramento sem proprietários e SLA.
Evidence em locais alteráveis/sem hash-fixação.

17) Modelo de maturidade CCM (M0-M4)

M0 Manual: Verificações esporádicas, relatórios no Excel.
M1 Instrumental: Telemetria parcial, regras individuais.
M2 Sistema Automático: verificações constantes, SLO básico e alertas.
M3 Orquestrated: SOAR, auto-remediação, «audit-ready» em qualquer dia.
M4 Contínuo Assurance: Verificações em SDLC/venda + autoatendimento do auditor.

18) Artigos wiki relacionados

Automação da compilação e relatórios

Legal Hold e congelamento de dados

Private by Design e minimização de dados

Gráficos de armazenamento e remoção de dados

PCI DSS/SOC 2: controle e certificação

Gestão de Incidentes e Forensica

Resultado

CCM é o «pulso de conformidade» da organização: as políticas são expressas pelo código, os sinais fluem de forma contínua, as violações são visíveis instantaneamente, as provas são recolhidas automaticamente e a auditoria se transforma em uma rotina operacional em vez de um incêndio.