Planejamento de Segurança ≠ Instalar Antivírus. É Disciplina de Governança.
Planejamento de segurança é o processo estruturado e contínuo de identificar o que proteger, o que ameaça e como prevenir, detectar e responder a incidentes. É o blueprint; ferramentas são os tijolos.
Componentes Nucleares de um Plano de Segurança
- Avaliação de Risco
- Inventário de ativos (hardware, software, dados, pessoas).
- Modelagem de ameaças (STRIDE, ATT&CK).
- Varredura de vulnerabilidades + pentest.
- Risco = Probabilidade × Impacto → Priorize.
- Políticas e Procedimentos
- Uso Aceitável, Classificação de Dados, Controle de Acesso, Resposta a Incidentes, BYOD, Criptografia, Retenção.
- Revisados anualmente; assinados por todos.
- Controles de Segurança (NIST 800-53 / ISO 27001 Anexo A)
- Preventivos: Firewalls, MFA, menor privilégio, patching, WAF, filtro email.
- Detectivos: SIEM, EDR, IDS/IPS, monitoramento logs, UEBA.
- Corretivos: Backups (3-2-1), site DR, playbooks incidente, rollback patch.
- Compensatórios: Segmentação quando legado não pode ser patcheado.
- Plano de Resposta a Incidentes (IRP)
- Fases: Preparação → Detecção → Contenção → Erradicação → Recuperação → Lições Aprendidas.
- Papéis: IR Lead, Comms, Legal, Forense, Sponsor Exec.
- Teste: Exercícios tabletop trimestrais; red team anual.
- Recuperação de Desastre / Continuidade (DR/BCP)
- RTO (Recovery Time Objective) & RPO (Recovery Point Objective) por tier de sistema.
- Backups offsite, infra failover, workspace alternativo.
- Treinamento Conscientização Segurança
- Simulações phishing, higiene senhas, engenharia social, reporte.
- Trimestral mínimo; baseado em papel para TI/finanças/RH.
- Orçamento e Alocação de Recursos
- Mapeie controles para redução de risco → justifique gasto.
- Pessoas (SOC, GRC, AppSec), Ferramentas (SIEM, SAST/DAST, CSPM), Serviços (MDR, pentest).
- Compliance e Legal
- Mapeie controles para GDPR, HIPAA, PCI DSS, SOX, NIS2, CMMC conforme aplicável.
- Coleta evidência para auditorias.
- Monitoramento Contínuo e Melhoria
- KPIs: MTTR, MTTD, envelhecimento vulns, compliance patching, taxa clique phishing.
- Revisão anual do plano + updates baseados em gatilhos (breach, nova regulação, M&A).
Frameworks Para Adotar
- NIST CSF (Identify, Protect, Detect, Respond, Recover) — padrão EUA, usado globalmente.
- ISO 27001 — Padrão ISMS certificável.
- CIS Controls v8 — 18 salvaguardas priorizadas (IG1/IG2/IG3).
Plano que fica na prateleira é passivo. O plano vive em ops diários, filas de tickets, revisões trimestrais.
