Em 2013, os sistemas de pagamento da Target Corporation foram violados por meio do comprometimento das credenciais de acesso à rede de um fornecedor de HVAC, um ponto de entrada que não estava dentro do escopo da avaliação do ambiente de dados do titular do cartão da Target segundo o PCI-DSS. O CDE estava bem protegido e havia sido aprovado na avaliação QSA mais recente. O acesso do fornecedor de HVAC proporcionou um ponto de apoio na rede corporativa da Target, a partir do qual os atacantes chegaram aos sistemas de ponto de venda. O programa de conformidade com o PCI-DSS havia confirmado corretamente os controles do ambiente de dados do titular do cartão dentro do escopo. A violação ocorreu por um caminho adjacente que a conformidade não havia avaliado. A Target estava em conformidade com o PCI-DSS. A Target foi violada. O programa de conformidade havia cumprido seu mandato: avaliar o escopo definido em relação aos requisitos definidos. A postura de segurança que a avaliação de conformidade deveria representar tinha uma lacuna que o framework de conformidade não foi projetado para detectar.
O que é, de fato, a lacuna entre conformidade e segurança?
A conformidade é o estado de aderência a um conjunto definido de requisitos (uma norma, um regulamento, um framework) para um escopo definido, em um momento específico. A segurança é a resistência contínua a ameaças reais em toda a superfície de ataque. Os frameworks de conformidade são elaborados por comitês que trabalham a partir de modelos de ameaça que refletem as ameaças consideradas na época da elaboração do framework. Eles definem requisitos mínimos que, quando implementados, oferecem uma linha de base de segurança para o escopo definido. Não são projetados para abordar todas as ameaças reais, todas as técnicas de ataque emergentes ou todos os sistemas adjacentes que possam oferecer um caminho até o escopo regulado.
O problema da fronteira de escopo é a lacuna entre conformidade e segurança com maiores consequências práticas. Os frameworks de conformidade definem ambientes dentro do escopo: o ambiente de dados do titular do cartão no PCI-DSS, os sistemas de produção no SOC 2, o ISMS na ISO 27001. Os controles são avaliados para o ambiente dentro do escopo. Os sistemas fora do escopo que são adjacentes ao ambiente dentro do escopo, estão conectados a ele ou podem alcançá-lo não são avaliados pelo framework de conformidade. Um atacante que compromete um sistema fora do escopo e o utiliza como ponto de apoio para alcançar o ambiente dentro do escopo explorou uma lacuna que a conformidade não foi projetada para fechar: a lacuna entre a fronteira do escopo de conformidade e o perímetro completo de rede e de acesso que de fato determina o que pode alcançar o ambiente protegido.
O problema temporal é a segunda lacuna entre conformidade e segurança. As avaliações de conformidade são realizadas em intervalos definidos: anualmente para o PCI-DSS e em ciclos definidos para o SOC 2. Elas confirmam a conformidade na data da avaliação. O ambiente muda continuamente entre as avaliações: novos sistemas implantados, novas integrações adicionadas, novos caminhos de acesso criados. Uma avaliação de conformidade que confirma que todos os controles exigidos estavam implementados na data da última avaliação não confirma que esses controles continuam implementados onze meses depois, nem que os novos sistemas implantados desde a avaliação foram governados com controles equivalentes.
- Fronteira do escopo de conformidade como lacuna na superfície de ataque: sistemas fora do escopo que oferecem caminhos para ambientes dentro do escopo
- Avaliação pontual versus ameaça contínua: a conformidade confirmada na data da avaliação não reflete as mudanças ocorridas desde então
- Requisitos mínimos do framework versus o cenário real de ameaças: requisitos de conformidade projetados para ameaças básicas, não para técnicas de ataque emergentes
- Controles compensatórios aceitos pela conformidade que não tratam das ameaças reais: alternativas que satisfazem a conformidade sem reduzir o risco operacional
- Conformidade como substituto da segurança: o cliente trata a confirmação de conformidade como confirmação de segurança
Por que isso importa
A relação entre conformidade e segurança é importante para TPRM porque as certificações de conformidade são as evidências de terceiros mais usadas nas avaliações de segurança de fornecedores, e elas têm sistematicamente as limitações descritas. Cada relatório SOC 2, certificado ISO 27001 e atestado PCI-DSS é uma evidência genuína e valiosa sobre o programa de segurança do fornecedor para o escopo definido na data da avaliação. Nenhum deles é uma garantia de segurança abrangente que se estenda além do escopo definido e da data da avaliação.
O risco de tratar a conformidade como substituto da segurança cresce com a distância entre o escopo e os requisitos do framework de conformidade e o cenário real de ameaças da relação com o fornecedor. Para um fornecedor cujo cenário de ameaças é bem captado pelos requisitos e pelo escopo do framework de conformidade, esse substituto é razoavelmente preciso. Para um fornecedor cujos riscos significativos estão em sistemas fora do escopo, em categorias de ameaças emergentes não cobertas pelo framework ou em mudanças pós-avaliação, esse substituto pode superestimar significativamente a garantia real de segurança.
Onde a maioria das equipes erra
A falha mais recorrente é tratar a confirmação de conformidade como confirmação de segurança, sem perguntar o que está fora do escopo de conformidade e o que mudou desde a avaliação mais recente. A conformidade responde à pergunta delimitada por escopo e data. A segurança exige respostas que abranjam todo o escopo e estejam continuamente atualizadas.
- Tratar a confirmação de conformidade como confirmação de segurança
- Sistemas fora do escopo não avaliados: sistemas adjacentes e conectados fora da fronteira de conformidade
- Nenhuma avaliação das mudanças pós-avaliação: mudanças no ambiente desde a data da avaliação de conformidade
- Requisitos mínimos do framework aceitos como suficientes: não se pergunta se os controles excedem os mínimos ou tratam de ameaças emergentes
- Lacunas de escopo do framework de conformidade não identificadas: categorias de ataque que o framework não foi projetado para abordar
Como é uma boa prática
Programas maduros de TPRM usam as certificações de conformidade como base e as complementam com uma avaliação direcionada das lacunas que o framework de conformidade não foi projetado para abordar, especificamente: sistemas adjacentes fora do escopo que podem alcançar o ambiente dentro do escopo, mudanças pós-avaliação que podem ter afetado o estado de conformidade e categorias de ameaças emergentes não captadas pelos requisitos mínimos do framework.
- Conformidade mais avaliação de lacunas: conformidade como base e avaliação direcionada das lacunas de escopo e das mudanças pós-avaliação
- Avaliação de sistemas adjacentes: sistemas fora do escopo de conformidade que podem alcançar ambientes dentro do escopo
- Revisão das mudanças pós-avaliação: o que mudou desde a avaliação de conformidade mais recente
- Avaliação de ameaças emergentes: categorias de ataque que o framework de conformidade não aborda
- Monitoramento contínuo: sinais de segurança em tempo real junto com as avaliações periódicas de conformidade
Ferramentas
Monitoramento contínuo de segurança: BitSight, SecurityScorecard
As plataformas de classificação de segurança fornecem sinais externos contínuos da postura de segurança entre os ciclos de avaliação de conformidade, detectando vulnerabilidades, configurações incorretas e incidentes de segurança que surgem após as avaliações de conformidade. Para profissionais de TPRM, incorporar classificações contínuas de segurança junto com as certificações de conformidade oferece o monitoramento pós-avaliação que as avaliações pontuais não conseguem oferecer.
Gestão da superfície de ataque: Tenable, Qualys
As plataformas de gestão da superfície de ataque inventariam e avaliam continuamente a superfície de ataque externa, incluindo sistemas que podem ser adjacentes a ambientes no escopo de conformidade. Para profissionais de TPRM, perguntar se os fornecedores realizam a gestão contínua da superfície de ataque é uma pergunta específica sobre a capacidade de monitoramento pós-avaliação.
Desafios de governança
O desafio de governança na relação entre conformidade e segurança é a dependência de normas. Os frameworks de conformidade oferecem um vocabulário comum, requisitos definidos e uma verificação independente que tornam a avaliação de conformidade administrativamente eficiente. Substituir a conformidade por uma avaliação de segurança personalizada para cada fornecedor seria operacionalmente inviável. A solução de governança não é abandonar as evidências de conformidade, mas complementá-las com uma avaliação direcionada das lacunas, usando a conformidade como base e aplicando uma avaliação adicional às dimensões que ela não cobre.
- Use a conformidade como base, não como teto: a conformidade confirma a linha de base; a avaliação de lacunas determina se essa linha de base é suficiente
- Identifique e avalie os sistemas fora do escopo que se conectam a ambientes no escopo de conformidade
- Pergunte o que mudou desde a avaliação mais recente
- Incorpore o monitoramento contínuo de segurança além da conformidade periódica
- Identifique as lacunas do framework: categorias de ataque que o framework aplicável não foi projetado para abordar
Se você faz parte de uma equipe pequena
Para os seus fornecedores de maior risco em conformidade com o PCI-DSS ou o SOC 2, faça duas perguntas que a conformidade não responde. Primeira: quais sistemas fora da fronteira do escopo de conformidade têm conectividade de rede ou de acesso com o ambiente dentro do escopo, e esses sistemas foram avaliados com controles equivalentes? Segunda: quais mudanças significativas foram feitas no ambiente desde a avaliação de conformidade mais recente, e essas mudanças foram avaliadas em relação aos requisitos de conformidade? Essas duas perguntas tratam da lacuna de escopo e da lacuna temporal que as avaliações de conformidade não fecham.
- Pergunte quais sistemas fora do escopo têm conectividade com o ambiente dentro do escopo
- Pergunte o que mudou desde a avaliação de conformidade mais recente
- Incorpore o monitoramento contínuo de segurança além da confiança na conformidade
- Identifique e avalie diretamente as lacunas de escopo do framework de conformidade
O que exigir
Pergunte diretamente:
"Quais sistemas fora do seu escopo de conformidade com o PCI-DSS ou o SOC 2 têm conectividade de rede ou de acesso com o seu ambiente dentro do escopo, e esses sistemas adjacentes foram avaliados com controles de segurança equivalentes aos exigidos dentro do escopo de conformidade?"
"Quais mudanças significativas foram feitas no seu ambiente desde a sua avaliação de conformidade mais recente, incluindo novos sistemas implantados, novas integrações adicionadas e mudanças de rede, e essas mudanças foram avaliadas quanto ao impacto na conformidade?"
O que esperar como evidência
- Inventário de sistemas adjacentes fora do escopo com conectividade ao ambiente dentro do escopo
- Registro de mudanças pós-avaliação com avaliação do impacto na conformidade
- Confirmação do monitoramento contínuo de segurança
- Identificação de lacunas de escopo e avaliação compensatória
Um fornecedor que confirma a conformidade com o PCI-DSS deve ser questionado sobre quais sistemas fora do escopo têm acesso ao ambiente de dados do titular do cartão. A avaliação de conformidade confirmou o CDE. Os sistemas adjacentes são a questão que a avaliação de conformidade não abordou.
Como comprovar
- Registros de avaliação de sistemas fora do escopo
- Registros de revisão das mudanças pós-avaliação
- Integração do monitoramento contínuo de segurança
- Registros de avaliação complementar das lacunas de conformidade
Principal conclusão
A conformidade confirma a aderência a requisitos definidos, para um escopo definido, em um momento específico. A segurança exige resistência contínua a ameaças reais em toda a superfície de ataque. A avaliação de conformidade com o PCI-DSS confirmou todos os controles exigidos no ambiente de dados do titular do cartão. A violação veio pelo acesso do fornecedor de HVAC a um sistema adjacente. A fronteira do escopo de conformidade estava correta. A superfície de ataque não a respeitou. A conformidade é uma base. A lacuna entre essa base e a postura real de segurança é determinada pelo que está fora do escopo e pelo que mudou desde a avaliação. Nenhum dos dois é captado pelo certificado de conformidade. Ambos exigem uma avaliação adicional.