Frameworks: MITRE ATT&CK, CIS Controls, NIST CSF 2.0, ISO 27001/27002

A ideia que organiza o assunto

Antes de qualquer coisa, um aviso sobre o rótulo. Este tópico se chama “frameworks de segurança: MITRE ATT&CK, CIS Controls, NIST”, mas os itens contam outra história: de 242 itens, 180 citam explicitamente a família ISO/IEC 27000 — 27002 na frente, depois 27001 e 27005 —, contra 35 que citam NIST, CIS ou ATT&CK somados. O resto é política de segurança genérica. Estude na proporção da prova: a ISO é o assunto, os três frameworks do título são o apêndice caro. Ignorá-los custa uma dúzia de itens; ignorar a ISO custa a questão inteira.

Feito o aviso, a ideia. Uma norma de gestão de segurança não é um manual de configuração. Ela descreve o que precisa existir e deixa para a organização decidir quanto. O 27001 exige que haja um processo de avaliação de riscos; não diz qual. O 27002 sugere controles; não diz qual firewall. O CIS diz o que inventariar; não diz com qual ferramenta. Quem preenche o “quanto” é sempre a mesma coisa: o risco, medido contra o contexto e os objetivos daquele negócio.

Dessa ideia saem três consequências que, sozinhas, decidem a maioria absoluta dos itens:

Nada é uniforme. Não existe conjunto de controles obrigatório para todas as organizações, não existe nível único de proteção, não existe limite único de aceitação de risco. Sempre que um item disser que todas as organizações devem aplicar os mesmos controles, ou que a classificação deve dar à informação o mais alto nível de proteção disponível, ele está errado pela ideia, antes de qualquer detalhe.

Quem tem o ativo responde por ele. A classificação e a proteção são do proprietário do ativo, não do gestor de segurança, não do analista de banco de dados, não da auditoria. E responsabilidade se delega, mas não se transfere: quem delega continua respondendo e continua tendo de verificar.

Tudo é ciclo. Política se revisa, plano de continuidade se testa, classificação se atualiza, direito de acesso se retira, auditoria interna se repete, risco se reavalia. Qualquer item que congele algo — “bem elaborada inicialmente, dispensa revisão”, “avaliação de riscos só na implantação”, “eficaz sem revisão regular” — é errado sem exame.

Por que se usa (e o que custa)

Ganha-se linguagem comum e comparabilidade. Uma organização certificada em 27001 pode provar a um regulador, a um cliente ou a um fornecedor que a segurança dela é gerida por um processo, e não pela boa vontade de um administrador. O CIS acrescenta uma lista priorizada — o que fazer primeiro, quando o orçamento é o de todo mundo. O NIST CSF dá uma linguagem de alto nível que o conselho de administração entende. O ATT&CK dá um vocabulário para descrever o comportamento do atacante que a indústria inteira compartilha.

Paga-se em burocracia e em ilusão de conformidade. Um SGSI produz documentação, auditoria e comitê, e nada disso encontra vulnerabilidade sozinho. A norma é explícita quanto a isso: implementar controles não elimina risco, e seguir 27005, 31000 e 31010 juntos não garante que todas as vulnerabilidades tenham sido eliminadas. Existe risco residual, e ele é aceito conscientemente — essa aceitação é parte do processo, não uma falha dele.

Como funciona

A família ISO 27000. São normas diferentes com papéis diferentes, e a prova troca uma pela outra o tempo todo. A 27001 traz os requisitos do sistema de gestão de segurança da informação (SGSI) — é a norma certificável, escrita em “deve”. A 27002 é o guia de boas práticas: descreve os controles e como implementá-los, escrita em “convém que”, e não é certificável; era chamada 17799 até 2007, e itens antigos ainda usam esse nome. A 27005 trata de gestão de riscos de segurança da informação. Ao lado delas, a 31000 é a gestão de riscos genérica de qualquer natureza e a 22301 é a continuidade de negócios.

O SGSI da 27001 segue a estrutura de alto nível comum a todas as normas de gestão: contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. O escopo é definido pela organização à luz das características do negócio e das partes interessadas; a alta direção aprova a política, atribui responsabilidades e autoridades, provê recursos e demonstra comprometimento com a melhoria contínua. Do planejamento nasce a declaração de aplicabilidade, que lista os controles selecionados, a justificativa da seleção e a justificativa das exclusões — e ela é produto do planejamento, não da operação. Na avaliação de desempenho, a organização monitora, mede, realiza auditoria interna e submete o SGSI à análise crítica pela direção. Na melhoria, trata não conformidades avaliando a necessidade de eliminar a causa para que não se repitam.

Os controles da 27002:2022. A revisão de 2022 reorganizou os 114 controles em 14 seções da versão de 2013 em 93 controles em quatro temas: organizacional, pessoas, físico e tecnológico. Organizacional é o tema guarda-chuva — o que não é de pessoas, físico ou tecnológico cai ali. Cada controle recebe cinco atributos: tipo de controle (preventivo, detectivo, corretivo), propriedades de segurança da informação (confidencialidade, integridade, disponibilidade), conceitos de segurança cibernética (identificar, proteger, detectar, responder, recuperar — os do NIST), capacidades operacionais e domínios de segurança.

O processo de riscos da 27005. Define-se o contexto e os critérios, inclusive os critérios de aceitação, que podem ter mais de um limite e variar por tipo de risco. Segue o processo de avaliação de riscos, composto de identificação, análise e avaliação; a análise pode ser qualitativa ou quantitativa, e a quantitativa depende de dados históricos e auditáveis. Vem então o tratamento, com quatro opções que não são mutuamente exclusivas: modificar, reter, evitar e compartilhar o risco. Fecha-se com a aceitação formal do risco residual. Duas atividades correm por fora e o tempo inteiro: comunicação e consulta — que é troca contínua com as partes interessadas para chegar a entendimento comum, não um registro protocolar — e monitoramento e análise crítica. A norma é explícita ao dizer que não prescreve um método específico de gestão de riscos, e que se aplica a organizações de todo tipo, inclusive agências governamentais e entidades sem fins lucrativos.

O NIST Cybersecurity Framework. Tem três componentes: o núcleo (funções → categorias → subcategorias), os perfis (o retrato do que a organização faz hoje e do que quer fazer) e os níveis de implementação (tiers, de parcial a adaptativo, que descrevem o grau de maturidade da gestão de riscos). Na versão 1.1 o núcleo tem cinco funções: identificar, proteger, detectar, responder e recuperar. Na 2.0 entrou a sexta e ela é a que mais cai: governar, que estabelece e monitora a estratégia, as expectativas e a política de gestão de riscos cibernéticos. As funções organizam os resultados no nível mais alto e são simultâneas e contínuas — não formam uma sequência de execução.

Os outros documentos do NIST. O RMF (SP 800-37) é o ciclo de gestão de riscos de sistemas do governo americano: preparar, categorizar, selecionar, implementar, avaliar, autorizar e monitorar. Nele, definir o limite de autorização de um sistema leva em conta a missão, os requisitos de negócio, os requisitos de segurança e de privacidade e o custo. A SP 800-53 é o catálogo de controles de segurança e de privacidade — e a distinção importa: controle de segurança protege o sistema e a informação; controle de privacidade gerencia os riscos que o tratamento de dados pessoais cria para os indivíduos.

Os CIS Controls v8. São 18 controles desdobrados em salvaguardas, priorizados por grupos de implementação — IG1, IG2 e IG3 —, exatamente para que uma organização pequena não tenha de fazer o que uma grande faz. IG1 é a higiene cibernética básica; IG2 é a empresa que armazena e processa informação sensível de clientes e tem equipe dedicada; IG3 é a que tem ativos sujeitos à supervisão regulatória e de conformidade e emprega especialistas. Os primeiros controles dão o tom: 1 inventário e controle de ativos corporativos, 2 inventário e controle de ativos de software, 3 proteção de dados, 4 configuração segura, 5 gestão de contas, 6 gestão do controle de acesso; o 18, no fim, é teste de invasão. Cada IG é cumulativo: o IG2 faz tudo do IG1, e o IG3 tudo dos dois.

O MITRE ATT&CK. É uma base de conhecimento do comportamento do adversário observado no mundo real, organizada em três níveis: táticas (o objetivo do atacante — o porquê), técnicas (o modo de alcançá-lo — o como) e procedimentos (a implementação concreta que um grupo específico usou). Daí a sigla TTP. Existem matrizes para Enterprise, Mobile e ICS. Serve para entender ameaças, caçar ameaças, priorizar riscos, avaliar cobertura de detecção, emular adversário em teste de invasão e apoiar resposta a incidentes — mas não se usa a matriz inteira: prioriza-se o subconjunto de técnicas relevante para o setor e para os adversários que interessam àquela organização.

O que decide os itens

Qual norma faz o quê — a troca mais barata que a banca escreve:

norma	é	escrita em	certificável
ISO/IEC 27001	requisitos do SGSI	“deve”	sim
ISO/IEC 27002 (ex-17799)	guia de controles e de implementação	“convém que”	não
ISO/IEC 27005	gestão de riscos de segurança da informação	“convém que”	não
ISO 31000	gestão de riscos genérica	—	não
ISO 22301	continuidade de negócios	“deve”	sim
NIST CSF	resultados de alto nível, voluntário	—	não
CIS Controls	lista priorizada de ações defensivas	—	não
MITRE ATT&CK	base de conhecimento de comportamento do atacante	—	não

Se o item disser que a 27001 trata da “seleção, implementação e gerenciamento de controles”, ele descreveu a 27002. Se disser que a 27001 é a norma de coleta e tratamento de dados pessoais, ele descreveu a LGPD.

Quem responde por quê:

papel	faz
proprietário do ativo	inventaria, classifica, protege, revisa restrições de acesso e responde pelo tratamento do ativo inclusive na exclusão ou destruição
alta direção	aprova a política, provê recursos, atribui responsabilidades e autoridades, demonstra liderança — mas não é a única a medir desempenho
gestor de segurança	coordena e assessora; a responsabilidade global não retira dos gestores dos ativos a de pesquisar e implementar controles
qualquer responsável	pode delegar tarefas, mas continua responsável e deve verificar se foram bem executadas

Conceito × conceito — as definições que a prova inverte:

evento × incidente	evento é a ocorrência identificada de um estado que indica possível falha ou violação; incidente é o evento (ou série deles) indesejado ou inesperado com probabilidade significativa de comprometer o negócio
ameaça × risco	ameaça é a fonte de dano potencial; risco é o efeito da incerteza sobre os objetivos — combinação de probabilidade e consequência
preventivo × detectivo × corretivo	evita que ocorra × identifica que ocorreu × limita as consequências do que ocorreu
política × norma × procedimento	o que se quer × o padrão a atender × como se faz, sempre coerente com os padrões
avaliação × tratamento de riscos	é a avaliação que precisa produzir resultados consistentes, válidos e comparáveis; do tratamento saem os controles
lista branca × lista negra	whitelisting é a lista do que é autorizado; blacklisting, do que é bloqueado
controle de segurança × de privacidade (NIST)	protege o sistema e a informação × gerencia risco para o indivíduo no tratamento de dados pessoais

Cedo × tarde — o eixo temporal que decide uma família inteira de itens. Requisitos de segurança entram nos estágios iniciais dos projetos, nunca nos finais. Responsabilidades e termos de uso são entendidos antes da contratação, não só depois. Direitos de acesso são retirados imediatamente ao encerramento ou mudança da atividade. Acordos de confidencialidade podem valer indefinidamente, para além do fim da relação. A declaração de aplicabilidade nasce no planejamento, não na operação.

Reto × torto na segurança física e no becape. Instalações da organização ficam separadas das geridas por terceiros. Detecção de fumaça e alarme de incêndio não são dispensados por haver porta corta-fogo. Cabeamento de dados pede conduíte e blindagem quando o risco justifica. Cópia de segurança fica em local remoto, a distância suficiente para escapar do desastre que atingiria o sítio principal, e informação confidencial em becape é cifrada — nunca o contrário.

Senha e credencial. Nunca em texto claro, nem armazenada, nem enviada por e-mail, nem em senha temporária. Ferramenta de gestão de senhas aumenta a eficácia do controle, mas aumenta — não reduz — o impacto de uma eventual revelação, porque concentra tudo em um ponto. Acesso privilegiado é restrito, autorizado por processo formal e tem prazo para expirar.

Segregação de funções. Pedir, autorizar e implementar acesso são funções separadas, jamais concentradas no mesmo grupo; e a premissa da política de controle de acesso é “tudo é proibido, a menos que expressamente permitido”.

Números que caem

ISO/IEC 27002: controles e seções em 2013	114 controles, 14 seções, 35 objetivos de controle
ISO/IEC 27002: controles e temas em 2022	93 controles, 4 temas — e o total diminuiu
27002:2022 por tema	organizacional 37 · pessoas 8 · físico 14 · tecnológico 34
27002:2022: controles novos	11
27002:2022: atributos por controle	5
tipos de controle (atributo)	3 — preventivo, detectivo, corretivo
propriedades de segurança (atributo)	3 — confidencialidade, integridade, disponibilidade (não autenticidade)
Anexo A da 27001:2022	93 controles, espelhando a 27002:2022
cláusulas de requisito da 27001	4 a 10 (as de 0 a 3 não são auditáveis)
opções de tratamento de risco (27005)	4 — modificar, reter, evitar, compartilhar
funções do NIST CSF 1.1 × 2.0	5 × 6 (a sexta é governar)
componentes do NIST CSF	3 — núcleo, perfis, níveis de implementação
níveis de implementação (tiers) do CSF	4 — parcial, risco informado, repetível, adaptativo
etapas do NIST RMF	7 — preparar, categorizar, selecionar, implementar, avaliar, autorizar, monitorar
CIS Controls v8	18 controles e 3 grupos de implementação
níveis do MITRE ATT&CK	3 — táticas, técnicas e procedimentos

Como a CEBRASPE derruba você aqui

Esta seção está medida: 239 dos 242 itens do tópico foram explicados, e 115 deles têm gabarito E. As frequências abaixo são as reais.

Inversão — 37% dos itens errados, mais do que os dois formatos seguintes somados. É o formato dominante deste tópico, e por um motivo estrutural: a frase inteira é da norma, só o sentido foi virado, de modo que tudo soa técnico e correto. Rótulos “de difícil reconhecimento” (devem ser fáceis). Becape confidencial com criptografia “contraindicada” (é recomendada). Mídia de becape “preferencialmente no mesmo local dos computadores” (em local remoto). Instalações “fisicamente integradas e conectadas” às de terceiros (separadas). Whitelisting como lista do que é proibido (é do que é permitido). Gerenciador de senhas que “reduz o impacto” da revelação (aumenta). Recomendações de autoridades como saída da análise crítica (são entrada). “Tudo é permitido, a menos que expressamente proibido” (o inverso). Evidência de auditoria que “deve ser destruída” (deve ser retida). Não leia procurando erro técnico: leia perguntando se a norma diria isso nessa direção.

Troca de termo — 19%, e quase sempre entre vizinhos imediatos. Norma por norma (a 27001 descrita com o escopo da 27002, ou confundida com a LGPD). Fase por fase (declaração de aplicabilidade gerada na operação, e não no planejamento; reaplicação do processo de riscos na fase executar, e não na agir). Conceito por vizinho (evento definido como incidente; ameaça chamada de risco; controle detectivo no lugar de corretivo; inteligência tática chamada de estratégica; avaliação de riscos onde o texto pede tratamento; IG3 chamado de IG2). A defesa é nomear o conceito de cabeça antes de olhar o nome que o item usou.

Generalização — 16%. Menos frequente do que a intuição sugere, mas ainda alta, e é o formato mais fácil de reconhecer: “exclusivamente um único limite”, “todas as organizações devem aplicar os mesmos controles”, “vedadas, expressamente e sem exceção, identidades compartilhadas”, “não podem delegar”, “a alta direção é a única responsável”, “garante que todas as vulnerabilidades sejam eliminadas”, “somente as informações devem ser classificadas”. Achado o absoluto, procure o contraexemplo — a norma quase sempre o tem, porque foi escrita para caber em organizações de todos os tamanhos.

Atribuição errada — 12%. Ação real, instrumento ou papel errado. O gestor de segurança classificando o que é do proprietário do ativo. O proprietário respondendo pelo treinamento, que é da direção. A política de controle de acesso restrita ao acesso lógico. Criptografia alocada ao controle CIS de configuração segura, sendo do de proteção de dados. A função proteger do CSF mantendo planos de resiliência, que são de recuperar. Descrição, probabilidade e impacto apresentados como estrutura dos CIS Controls.

Número alterado — 5%, e concentrado no bloco de frameworks. Três funções no CSF 2.0 em vez de seis. Dois componentes no ATT&CK em vez de três. Dois tipos de controle na 27002:2022 em vez de três. Quatro propriedades de segurança no atributo em vez de três. Inventário de ativos corporativos como segundo controle do CIS em vez de primeiro. Classificação atualizada “bianualmente”, quando a norma não fixa prazo. A tabela de números é a defesa inteira — e note que, como a ISO quase nunca dá número, prazo numérico em item de ISO é por si só sinal de erro.

Escopo ampliado e relação causal inventada — 4% cada. O escopo ampliado acrescenta exigência que a norma não faz: declaração de comprometimento “registrada em órgão competente”, política que “deve ser parte integrante do plano estratégico”, OWASP restrito às etapas finais. A relação causal inventa a justificativa: “por ser elevado o nível de proteção do cabeamento, são dispensáveis conduítes blindados”; “por proteção à disponibilidade, é vedada a retirada de direitos de acesso”; “por questões de agilidade e formalização, os eventos devem ser relatados por correio eletrônico”. Quando o item explica por que a norma manda algo, desconfie: a norma raramente justifica, e a justificativa inventada costuma ser o veneno.

Uma observação sobre o equilíbrio do tópico: 124 dos 239 itens explicados têm gabarito C — pouco mais da metade. Este não é um tópico em que a dúvida se resolve marcando E. Itens que apenas transcrevem a norma em linguagem afirmativa são muitos, e a marca deles é o vocabulário da própria ISO: “convém que”, “a intervalos planejados”, “quando necessário”, “conforme apropriado”, “entre outros”. Esse vocabulário preserva a flexibilidade da norma — e é exatamente o que o item errado remove.

Erros clássicos

Achar que a 27002 é certificável. Certifica-se em 27001. A 27002 é o guia de controles, e a diferença entre “deve” e “convém que” marca as duas na prova.

Confundir evento com incidente. Evento é a ocorrência identificada que indica uma possível violação; incidente é o evento indesejado com probabilidade significativa de comprometer o negócio. Itens que definem incidente usando a frase do evento são um clássico literal da 27000.

Deixar o gestor de segurança classificar a informação. Quem classifica é o proprietário do ativo. O gestor coordena, a auditoria verifica, o proprietário decide.

Supor que delegar transfere a responsabilidade. Delegar tarefa é permitido e é normal; a responsabilidade fica com quem delegou, que ainda precisa verificar a execução.

Restringir a política de desenvolvimento seguro ao que é terceirizado. Ela vale para o desenvolvimento interno e para o contratado, e a segurança acompanha todo o ciclo de vida do sistema.

Tratar o risco residual como falha. Risco residual existe sempre, é avaliado contra os critérios de aceitação e é aceito formalmente. Norma nenhuma promete risco zero.

Achar que a alta direção guarda a política para si. A política de segurança é aprovada pela direção, publicada e comunicada a todos — inclusive às áreas operacionais e, quando pertinente, a partes externas. Documento restrito à diretoria não é política de segurança.

Ler as funções do NIST CSF como um passo a passo. Identificar, proteger, detectar, responder, recuperar — e governar — são concorrentes e contínuas. Sequência de execução é a leitura errada que a banca oferece de bandeja.

Reduzir o ATT&CK a táticas e técnicas. São três níveis, e é de procedimento que sai o “P” de TTP.