Como auditar sua infraestrutura cloud para compliance

A auditoria de cloud bem-feita não é uma correria de última hora antes do auditor chegar — é um processo contínuo que garante que você sempre sabe o estado real da sua infraestrutura. Quem audita com regularidade não teme auditoria externa. Quem audita só quando obrigado descobre problemas na pior hora.

O que uma auditoria de cloud avalia

Uma auditoria de conformidade em cloud cobre o que está configurado, não apenas o que está documentado. A diferença importa: você pode ter uma política de criptografia impecável e um bucket S3 público com dados de clientes. A política não compensa o bucket.

As áreas principais que qualquer auditoria de cloud cobre:

Controle de acesso e identidade:

• Quem tem acesso a quê — e por quê
• Uso de MFA em contas com privilégios
• Contas inativas ou sem uso há mais de 90 dias
• Permissões excessivas (princípio do menor privilégio)
• Acessos de emergência (break-glass accounts) e seu uso

Criptografia:

• Dados em repouso: volumes, buckets, bancos de dados — estão todos criptografados?
• Dados em trânsito: TLS em todas as comunicações externas e internas?
• Gestão de chaves: quem controla as chaves? Rotação configurada?

Configuração de rede:

• Regras de firewall (security groups, NACLs) — há regras permissivas demais (0.0.0.0/0)?
• Exposição pública de recursos internos
• Segmentação de rede — ambientes de produção isolados de dev/test?
• Rotas e peerings entre VPCs

Logs e monitoramento:

• CloudTrail / Activity Log / Cloud Audit Logs estão ativos?
• Logs sendo retidos por prazo adequado?
• Alertas configurados para eventos críticos (login de root, mudança de permissão, criação de usuário)?
• SIEM recebendo e correlacionando os logs?

Gestão de vulnerabilidades:

• Patching de sistemas operacionais em instâncias — defasagem de patches?
• Varreduras de vulnerabilidade configuradas?
• Imagens de container atualizadas?

Continuidade e backup:

• Backups configurados e testados?
• RTO e RPO definidos e testáveis?
• Plano de DR documentado com teste recente?

Tipos de auditoria

Auditoria interna: conduzida pelo time de TI ou segurança da própria empresa. Frequência maior, menos formal, serve para manutenção contínua da postura. Usa ferramentas automatizadas (CSPM) para avaliação contínua.

Auditoria por terceiro (externa): empresa especializada em segurança ou compliance avalia o ambiente de forma independente. Necessária para certificações (ISO 27001) e muitas vezes exigida por frameworks de compliance (PCI DSS QSA). Resultado é relatório formal com achados e recomendações.

SOC 2 (Service Organization Control 2): para empresas que prestam serviços a outras empresas e precisam demonstrar segurança aos clientes. Auditoria conduzida por firma CPA certificada. O SOC 2 Tipo I avalia controles num ponto no tempo; o Tipo II avalia a efetividade ao longo de um período (geralmente 6–12 meses). É diferente de ISO 27001 — SOC 2 é mais usado em contexto americano, ISO 27001 é o padrão global.

Pen test (teste de penetração): simulação de ataque para encontrar vulnerabilidades exploráveis. Complementar à auditoria de configuração — auditoria verifica o que está configurado, pen test verifica o que consegue ser explorado. PCI DSS exige pen test anual. ISO 27001 recomenda fortemente.

Ferramentas de auditoria em cloud

CSPM (Cloud Security Posture Management):
Ferramentas que monitoram continuamente a configuração dos recursos de cloud e alertam sobre desvios de segurança. São a base de uma auditoria contínua.

• AWS Security Hub + AWS Config: nativo da AWS. Config rastreia mudanças de configuração; Security Hub agrega achados de conformidade contra frameworks (CIS Benchmark, PCI DSS, LGPD). Gratuito em funcionalidades básicas.
• Microsoft Defender for Cloud: para Azure, com visibilidade de postura de segurança e recomendações. Integra com ambientes híbridos.
• Google Security Command Center: equivalente no GCP.
• Wiz, Prisma Cloud (Palo Alto), Orca Security: soluções independentes de CSPM que cobrem múltiplos clouds, com profundidade maior de análise e menos dependência do ecossistema nativo do provedor.

Ferramentas de compliance específicas:

• Prowler (open source): ferramenta de linha de comando para AWS que verifica centenas de controles de segurança contra CIS, PCI DSS, LGPD e outros frameworks. Excelente para auditoria pontual.
• ScoutSuite (open source): similar ao Prowler, suporta AWS, Azure e GCP.
• Checkov: focado em Infrastructure as Code (Terraform, CloudFormation) — detecta configurações inseguras antes do deploy.

Como preparar evidências para auditores externos

Auditores externos não confiam no que você diz — eles verificam o que existe. Prepare:

Evidências técnicas:

• Screenshots das configurações de segurança (não é o ideal, mas é aceito)
• Exportações de configuração via CLI (mais confiáveis — datadas e reproduzíveis)
• Relatórios automáticos de ferramentas CSPM com data e hora
• Logs de auditoria mostrando atividade no período auditado

Documentação de processo:

• Política de controle de acesso (como é definido, aprovado e revisado)
• Política de criptografia
• Procedimento de gestão de patches
• Procedimento de backup e teste de restore
• Plano de resposta a incidentes

Evidência de execução:

• Registros de revisões periódicas de acesso (quem fez, quando, resultado)
• Logs de testes de backup/restore
• Histórico de exercícios de resposta a incidentes
• Relatórios de varredura de vulnerabilidade dos últimos 12 meses

Frequência recomendada por tipo de compliance

A Adentro oferece relatórios de configuração e evidências de conformidade para auditores dos seus clientes — infraestrutura cloud com postura de segurança documentada e auditável.