Catálogo de controlos
NIST SP 800-53 Rev. 5
Catálogo para transformar decisões de risco em proteções verificáveis.
Nesta página
Finalidade, âmbito e autoridade
Selecionar e adaptar, não implementar tudo. 800-53B trata bases; 800-53A avaliação. NIST inclui release 5.2.0 junto a Rev. 5: registar o catálogo usado além do PDF inicial. [1]
Princípios e lógica operacional [1]
1. Estrutura e parâmetros
Ler controlo, extensões e discussão; resolver frequências, funções e escolhas. Nem toda extensão é obrigatória.
2. Funcionalidade e confiança
Verificar proteção e provas por políticas, configurações, observação e testes.
3. Responsabilidade e herança
Distinguir controlos comuns, específicos e híbridos; atribuir implementação, operação e avaliação.
4. Exemplos
AC-2 contas; AC-6 mínimo privilégio; AU-6 análise de registos; CM-2 configuração; CP-4 testes de contingência; IR-4 incidentes. Não é base suficiente.
As 20 famílias de controlos [1]
| ID | As 20 famílias de controlos | Pergunta de gestão |
|---|---|---|
| AC | Acesso | Quem acede a quê e quem revê? |
| AT | Sensibilização e formação | As pessoas conseguem cumprir funções de segurança? |
| AU | Auditoria e responsabilidade | Pode reconstruir-se e rever a atividade? |
| CA | Avaliação, autorização e monitorização | Quem testa e aceita o risco? |
| CM | Configuração | Qual é o estado aprovado e como gerir desvios? |
| CP | Contingência | As funções essenciais conseguem recuperar? |
| IA | Identificação e autenticação | Como verificar identidade? |
| IR | Resposta a incidentes | Quem coordena gestão e escalada? |
| MA | Manutenção | Como controlar também intervenções remotas? |
| MP | Suportes | Como manusear, transportar e apagar suportes? |
| PE | Proteção física e ambiental | Como proteger instalações e fornecimentos? |
| PL | Planeamento | Segurança e privacidade estão documentadas? |
| PM | Gestão do programa | Quem dirige recursos e supervisão? |
| PS | Pessoal | Como adaptar acessos a mudanças laborais? |
| PT | Dados pessoais e transparência | Porquê tratar dados e como informar? |
| RA | Risco | Que ameaças e impactos orientam prioridades? |
| SA | Aquisição | Os requisitos acompanham compra e desenvolvimento? |
| SC | Sistemas e comunicações | Como proteger fronteiras e comunicações? |
| SI | Integridade | Como tratar falhas, atividade maliciosa e integridade? |
| SR | Cadeia de fornecimento | Como avaliar dependências de fornecedores e produtos? |
Aplicação · recomendações editoriais
Ficha proposta: identificador/versão, aplicabilidade, parâmetros, responsável, herança, provas, resultado e prazo. Verificar conta privilegiada da aprovação à retirada.
Provas para o CISO · dossier proposto
Estado aprovado e desvios, testes de recuperação e correções, registos utilizáveis e revisão. Documentar exceções no processo de risco.
Erros e limites
Política não equivale a implementação; correspondências não provam equivalência. As 20 famílias e exemplos não substituem todos os controlos e extensões.
Fontes oficiais e percurso de leitura
Secções a consultar na fonte: Chapter 2; Chapter 3 control families; official release notes.
Comentário original, não reprodução integral. Consultar a fonte para cada requisito, extensão, condição e exceção. A aplicabilidade depende da organização e das suas obrigações.