Verificação agendada de controles de segurança

O Zero confere sua configuração de segurança na cadência que você definir, verifica se cada controle está no lugar e reporta desvios antes da semana de auditoria.

O Zero conecta:

O que o Zero entrega

Verificação agendada de controles de segurança — sample output from Zero — screenshot 1

Qual é o problema

As auditorias costumavam ser um incêndio trimestral envolvendo todo mundo: capturas de tela de cada regra de firewall, cada política de IAM, cada revisão de acesso, montadas à mão na semana anterior à chegada do auditor. Os controles tinham derivado sem ninguém perceber; a remediação acontecia em modo crise. A Verificação Contínua de Controles roda as checagens em uma cadência constante, e os desvios são pegos na semana em que acontecem, não na semana anterior à auditoria. A equipe de compliance ganha um registro datado e assinado de cada checagem; a engenharia ganha um alerta quando algo deriva; os auditores ganham evidências já organizadas.

Como o Zero resolve

Passo 1: conecte suas ferramentas

GitHub

Obrigatório

GitHub. O Zero lê proteção de branch, permissões de repositório e status de 2FA de todos os repositórios no escopo. É necessário acesso de leitura às configurações da organização.

Conectar

Notion

Obrigatório

Notion. O Zero armazena a configuração de baseline e grava os resultados da verificação. É necessário acesso de leitura + escrita a dois bancos de dados (baseline e resultados).

Conectar

Slack

Obrigatório

Slack. O Zero alerta o canal de compliance sobre desvios e publica um resumo semanal. É necessário acesso de escrita no canal.

Conectar

Passo 2: peça ao Zero

@Zero toda segunda às 7h, verifique nossos controles de segurança. As regras de firewall batem com o baseline no Notion, a proteção de branch obrigatória do GitHub está habilitada na `main`, nenhum repositório tem 2FA desativado. Registre os resultados no banco de dados de Controles e alerte #compliance em qualquer desvio.

experimente

O Zero traz sua configuração de segurança atual

O Zero lê seus controles fonte da verdade (proteção de branch, IAM, regras de firewall, revisões de acesso) dos sistemas onde eles vivem. Sem amostragem: cada controle dentro do escopo é checado a cada execução.

O Zero compara com o baseline que você definiu

Sua configuração esperada vive em um banco de dados do Notion. O Zero compara o estado atual com o baseline, sinaliza qualquer desvio e registra aprovado/reprovado por controle com um carimbo de tempo e link de evidência.

O Zero registra os resultados e alerta sobre desvios

Cada execução grava um registro datado no banco de dados de Controles. Qualquer desvio dispara um alerta no Slack marcando o canal de compliance e o engenheiro responsável pelo controle. Os auditores ganham um histórico imutável.

Passo 3: leve mais longe

Remediar um desvio

Faça o Zero abrir um ticket ou PR para corrigir o desvio automaticamente.

@Zero para qualquer desvio em proteção de branch, abra um PR para restaurar as regras de proteção e marque o responsável pelo repositório.

experimente

Ampliar a cobertura de controles

Adicione uma nova família de controles à varredura de verificação.

@Zero adicione controles de GDPR à verificação semanal: conformidade de DPA, tempo de atendimento de pedidos de exclusão, logs de transferência transfronteiriça.

experimente

Travar o agendamento

Migre de semanal para diário nos controles de alto risco.

@Zero rode a verificação de acesso ao banco de produção diariamente, não semanalmente. Mantenha o resto na cadência semanal.

experimente

Dicas para melhores resultados

●Mantenha o baseline em um só lugar: Notion, Drata ou seu próprio CMDB. Baselines espalhados derivam em silêncio, e o Zero não consegue checar o que não está documentado.

●Separe 'desvio' de 'exceção'. Um desvio é um controle que mudou sem aprovação; uma exceção é um desvio que a equipe aprovou. O Zero deve tratá-los de forma diferente.

●Leve o resumo até a temporada de auditoria. Auditores adoram logs contínuos, e 'fazemos isso semanalmente há dois anos' é uma história bem mais forte do que 'rodamos as checagens semana passada'.