Controles de segurança e defesa em profundidade

Controle de segurança modifica um risco

Um controle de segurança é uma salvaguarda ou contramedida usada para proteger informações, sistemas, pessoas e operações. Ele pode reduzir a probabilidade de um evento, limitar suas consequências, permitir detecção ou apoiar correção e recuperação.

Controle não é sinônimo de ferramenta. Uma regra de aprovação, uma configuração de acesso, uma barreira física, uma capacitação e uma rotina de revisão podem exercer funções de controle. O valor de cada medida depende do risco, do requisito, do contexto e da evidência de que ela funciona.

Na aula sobre ativos, ameaças, vulnerabilidades e riscos, construímos um cenário envolvendo uma conta administrativa protegida apenas por senha. Agora a pergunta muda: quais medidas podem alterar esse cenário e como verificar se produzem o efeito esperado?

Requisito, controle e evidência cumprem papéis diferentes

Um requisito expressa uma necessidade ou condição que precisa ser satisfeita. Um controle é uma medida escolhida para contribuir com essa necessidade. Uma evidência ajuda a demonstrar como o controle foi implementado, se opera e qual resultado produz.

Considere o requisito “somente pessoas autorizadas podem realizar alterações administrativas”. Várias medidas podem contribuir:

• aprovação formal para conceder privilégio;
• autenticação forte antes do acesso;
• permissões limitadas à atividade necessária;
• registro e revisão das ações executadas;
• alertas para comportamentos incompatíveis;
• revogação rápida quando a autorização termina.

Nenhuma frase genérica como “utilizamos uma solução segura” demonstra o atendimento. É preciso saber quem aprovou, como o acesso foi configurado, quais exceções existem, se os registros são revisados e o que ocorreu nos testes.

O conteúdo sobre Compliance em TI aprofunda a relação entre obrigação, requisito, controle e evidência. Nesta aula, o foco está em como controles de segurança são classificados, combinados e avaliados para modificar riscos.

Natureza do controle: administrativo, técnico ou físico

Uma forma didática de observar controles é perguntar por qual meio a medida atua. Terminologias variam entre normas e organizações, mas três grupos são frequentes:

• administrativos: direção, políticas, responsabilidades, aprovação, capacitação, contratos, planejamento e supervisão;
• técnicos: mecanismos executados ou aplicados por tecnologia, como autenticação, autorização, configuração, criptografia, registro e filtragem;
• físicos: medidas relacionadas a instalações, equipamentos e acesso ao ambiente, como barreiras, fechaduras, identificação, sensores e proteção ambiental.

Esses grupos se apoiam. Uma regra administrativa que exige acesso individual perde força se o sistema permite contas compartilhadas. Um mecanismo técnico pode ser contornado se ninguém define responsáveis ou revisa exceções. Uma sala trancada ajuda pouco se cópias sensíveis permanecem expostas fora dela.

Função do controle: prevenir, detectar ou corrigir

Outra lente pergunta em qual momento e com qual finalidade o controle atua:

• preventivo: busca impedir o evento ou reduzir a chance de ele produzir efeito;
• detectivo: identifica ocorrência, desvio ou sinal relevante para permitir análise;
• corretivo: limita consequências, remove uma condição inadequada ou restaura um estado aceitável após a detecção.

Algumas taxonomias acrescentam funções como dissuasória, diretiva, de recuperação ou compensatória. Os nomes variam, e uma única medida pode exercer mais de uma função. Um registro de atividades é principalmente detectivo quando alimenta alertas e revisões; combinado a responsabilização e comunicação, também pode desestimular uso indevido.

Matriz natureza × função

Cruzar as duas lentes evita associar prevenção apenas à tecnologia ou correção apenas à equipe de incidentes. Os exemplos abaixo não formam um catálogo obrigatório.

O desenho adequado costuma combinar células. Se uma organização investe apenas em prevenção, pode demorar a perceber uma falha. Se possui detecção sem responsável, critério e capacidade de resposta, o alerta não reduz o impacto. Se corrige sem investigar condições recorrentes, o mesmo cenário reaparece.

Controle compensatório: proteção alternativa justificada

Às vezes um controle recomendado não pode ser aplicado como previsto por limitação técnica, custo desproporcional, sistema legado ou conflito operacional. Um controle compensatório é uma medida alternativa que oferece proteção equivalente ou comparável para a finalidade em questão.

Ele não é uma dispensa silenciosa nem uma versão deliberadamente mais fraca. A decisão precisa registrar:

1. qual requisito e risco precisam ser atendidos;
2. por que a medida original é inviável ou inadequada;
3. qual alternativa será usada;
4. como a proteção comparável será demonstrada;
5. quais limitações e riscos residuais permanecem;
6. quem aprovou e quando a decisão será revista.

Defesa em profundidade combina barreiras diferentes

Defesa em profundidade é uma estratégia que integra pessoas, tecnologia e capacidades operacionais em múltiplas camadas. O objetivo é evitar que a falha de uma medida isolada determine todo o resultado.

Camadas úteis são complementares. Repetir o mesmo mecanismo três vezes pode preservar a mesma fraqueza. Três sistemas que dependem da mesma conta, configuração ou fornecedor também podem falhar juntos. Diversidade, independência e coordenação importam mais que a simples quantidade.

Uma defesa equilibrada considera:

• barreiras antes do evento;
• capacidade de perceber tentativas e desvios;
• limitação de alcance caso uma camada falhe;
• resposta e recuperação proporcionais;
• comunicação e responsabilidades;
• avaliação contínua das dependências entre controles.

Exemplo: camadas para uma conta privilegiada

Contas privilegiadas podem alterar configurações, conceder acessos e afetar muitos ativos. Proteger apenas a senha concentra o risco em uma única barreira.

Uma arquitetura conceitual pode incluir:

1. necessidade e aprovação: acesso concedido somente para uma atividade e pessoa identificadas;
2. identidade verificada: autenticação com fatores adequados antes de iniciar a sessão;
3. privilégio limitado: permissões e duração compatíveis com a tarefa;
4. limites técnicos: acesso por ambiente administrado e caminhos de rede definidos;
5. registro e detecção: ações relevantes registradas, protegidas e analisadas;
6. contenção e recuperação: capacidade de interromper sessão, revogar acesso e restaurar configurações confiáveis;
7. revisão: responsáveis verificam acessos, exceções, alertas e mudanças no risco.

Se a senha for obtida por fraude, outro fator pode impedir a entrada. Se a autenticação for vencida, privilégio limitado reduz o alcance. Se uma ação indevida começar, alertas podem antecipar contenção. Se houver alteração, versões confiáveis e procedimentos permitem recuperação.

Esse exemplo não prescreve uma arquitetura universal. A aula sobre controle de acesso e princípio do menor privilégio aprofunda como autorizações limitam recursos, operações e duração. A próxima aula sobre autenticação permanece responsável por identidade, senhas e múltiplos fatores; aqui esses temas aparecem somente como partes de uma estratégia em camadas.

Desenho, implementação, operação e efetividade

Um controle pode existir no documento e falhar na prática. Quatro perguntas ajudam a localizar o problema:

• desenho: a medida proposta é capaz de atender ao requisito e modificar o risco?
• implementação: ela foi configurada, comunicada e documentada conforme o desenho?
• operação: continua funcionando no cotidiano, inclusive em exceções e mudanças?
• efetividade: produz o resultado desejado com confiança suficiente?

O NIST SP 800-53A orienta avaliações para verificar se controles estão implementados corretamente, operam como pretendido e produzem o resultado esperado. Isso exige evidências compatíveis com o controle.

Exemplos de evidência incluem:

• configuração observada e comparada ao estado aprovado;
• amostra de autorizações e revogações;
• teste de alerta com registro de tratamento;
• entrevista com responsáveis e demonstração do procedimento;
• análise de exceções, falhas e tempo de correção;
• exercício de restauração ou contenção.

Uma captura de tela isolada pode mostrar configuração em um momento, mas não prova operação contínua. Uma política assinada demonstra direção, mas não comprova que a prática foi adotada. Métricas de quantidade, como “cem por cento das contas cadastradas”, também precisam ser combinadas a qualidade e resultado.

Controles precisam de ciclo de vida

Riscos, ativos, tecnologias e responsabilidades mudam. Por isso, selecionar e instalar uma medida não encerra o trabalho.

Um ciclo introdutório reúne:

1. compreender risco e requisitos;
2. selecionar e adaptar controles;
3. definir responsáveis, parâmetros e evidências;
4. implementar e documentar o estado real;
5. avaliar desenho, implementação e operação;
6. monitorar mudanças, eventos e indicadores;
7. corrigir deficiências e reavaliar o risco residual.

O NIST Risk Management Framework separa atividades como selecionar, implementar, avaliar e monitorar para manter decisões rastreáveis. A organização pode adotar outro método, mas precisa preservar a ligação entre risco, medida, resultado e melhoria.

CSF, SP 800-53 e CIS Controls têm papéis diferentes

Frameworks e catálogos ajudam a organizar o trabalho, mas não devem ser tratados como listas equivalentes.

• NIST CSF 2.0: descreve resultados de cibersegurança em alto nível e não prescreve como alcançá-los;
• NIST SP 800-53 Rev. 5: oferece um catálogo amplo, flexível e adaptável de controles de segurança e privacidade;
• CIS Controls v8.1: reúne salvaguardas priorizadas contra ataques prevalentes e usa Grupos de Implementação para apoiar adoção progressiva.

O CSF pode ajudar a comunicar resultados; o SP 800-53 pode apoiar seleção e especificação detalhada; os CIS Controls podem orientar prioridades práticas. O uso depende de contexto, escopo, obrigações e maturidade. Mapeamentos entre documentos indicam relações, não equivalência automática.

Erros comuns ao trabalhar com controles

• começar pelo produto: escolher ferramenta antes de definir risco, requisito e resultado esperado;
• associar segurança somente à tecnologia: ignorar decisões, processos, pessoas e ambiente físico;
• contar controles como medida de proteção: quantidade não revela cobertura, dependências ou efetividade;
• confiar apenas em prevenção: deixar de detectar, conter e recuperar;
• duplicar a mesma fragilidade: criar camadas que dependem da mesma credencial ou componente;
• tratar controle compensatório como exceção sem prazo: não demonstrar proteção comparável nem revisar a decisão;
• confundir implementação com efetividade: considerar concluído algo que nunca foi testado;
• confundir conformidade com risco aceitável: atender requisito não prova que todos os cenários foram tratados;
• manter controle sem finalidade: continuar pagando custo e complexidade por medida que não modifica mais um risco relevante.

O que você deve guardar

Controles são salvaguardas ou contramedidas selecionadas para atender requisitos e modificar riscos. Podem ser observados por natureza — administrativa, técnica ou física — e por função — preventiva, detectiva ou corretiva. As classificações se complementam e variam conforme o método.

Defesa em profundidade combina camadas diferentes e coordenadas para reduzir dependência de uma única barreira. Controles compensatórios precisam oferecer proteção comparável e ser justificados. E um controle só merece confiança quando seu desenho, implementação, operação e resultado são avaliados ao longo do tempo.

Com esta aula, o módulo Fundamentos fica completo: escopo da Segurança da Informação, objetivos de proteção, linguagem de risco e controles. O próximo módulo aplicará essa base a mecanismos de proteção específicos.

Referências

• NIST — SP 800-53 Rev. 5: Security and Privacy Controls for Information Systems and Organizations. Acesso em 28 ago. 2026.
• NIST — SP 800-53A Rev. 5: Assessing Security and Privacy Controls. Acesso em 28 ago. 2026.
• NIST — Risk Management Framework. Acesso em 28 ago. 2026.
• NIST — Cybersecurity Framework 2.0. Acesso em 28 ago. 2026.
• NIST CSRC Glossary — Security Control e Defense-in-Depth. Acesso em 28 ago. 2026.
• Center for Internet Security — CIS Critical Security Controls v8.1 e Implementation Groups. Acesso em 28 ago. 2026.