Testes técnicos de conformidade: como provar que os controlos funcionam
Uma empresa pode ter políticas, procedimentos e ferramentas e continuar sem conseguir provar que os seus controlos funcionam.
Testes técnicos de conformidade transformam uma intenção em evidência: o que foi verificado, quando, com que resultado, por quem e que correcção ficou pendente.
Conformidade não é apenas documentação
Uma política diz o que deveria acontecer. Um teste verifica o que aconteceu. Por exemplo: a política pode exigir MFA, mas o teste deve confirmar quais as contas críticas protegidas, que método usam e o que acontece quando alguém tenta entrar sem o segundo factor.
A evidência tem de ser suficiente para uma revisão independente, sem recolher mais dados pessoais do que o necessário.
O que testar primeiro
Comece pelos controlos que protegem dinheiro, dados, disponibilidade e acessos administrativos: identidades e permissões, backups e restauro, actualizações, exposição externa, logs, fornecedores, continuidade e resposta a incidentes.
Um pequeno inventário com responsável, frequência, evidência esperada e estado é mais útil do que uma lista enorme sem dono.
Exemplos de testes técnicos
Pode testar se as contas privilegiadas têm MFA, se os backups podem ser restaurados, se os certificados estão dentro da validade, se as portas públicas são intencionais, se os alertas chegam a alguém, se os logs têm retenção adequada, se um utilizador removido perde acesso e se um serviço consegue recuperar depois de uma falha controlada.
O teste deve ter critério de aprovação, não apenas um screenshot.
Evidência, resultado e correcção
Registe o objectivo, o sistema avaliado, a data, o método, o resultado, a classificação de risco, o responsável e a data prevista para correcção.
Separe evidência técnica de segredos: um log ou relatório deve provar o controlo sem publicar tokens, passwords, endereços desnecessários ou dados de clientes. Um resultado falhado não é um fracasso editorial; é uma entrada de melhoria com prioridade.
A leitura da PontoTi
A abordagem equilibrada é criar um calendário de testes por risco, executar verificações automáticas sempre que possível e reservar revisão humana para decisões e excepções.
O objectivo não é obter um painel todo verde: é saber onde existe exposição, reduzir o risco e conseguir demonstrar a evolução ao cliente, à direcção ou ao auditor.