compliance is not security
expressãogovernança e riscosegurança
O lembrete de época de auditoria: passar no checklist prova documentação, não proteção.
Frameworks estabelecem pisos, e atacantes leem os mesmos checklists que todo mundo. Organizações violadas com auditorias limpas são uma constante da indústria. A postura madura mantém os dois livros: conformidade como camada de relato, segurança como a engenharia que ela deveria descrever.
Um arcabouço especifica um piso, avaliado num instante, contra controles escritos para serem avaliáveis em muitas organizações diferentes. Segurança é se um atacante específico consegue alcançar um objetivo específico contra o seu ambiente específico hoje. Os dois se sobrepõem e não são a mesma coisa, e a distância corre nos dois sentidos.
Conforme e inseguro é a direção famosa, e não faltam organizações violadas com certificações vigentes. Controles auditáveis tendem a ser controles que geram evidência, o que não é o mesmo que controles que funcionam, e os requisitos de um arcabouço sempre estarão atrás das técnicas em uso.
Seguro e não conforme é a direção menos discutida e igualmente real. Uma organização pode ter endereçado um risco por um mecanismo que o arcabouço não reconhece, e será reprovada por isso. Isso produz a patologia em que times implementam um controle mais fraco que mapeia limpo num requisito, em vez de um mais forte que não mapeia. A postura útil é tratar conformidade como um piso que vale ultrapassar e um teto lamentável, e manter a pergunta do que um atacante de fato faria como exercício separado que ninguém está avaliando.