ISO 27001 Guest WiFi: Um Guia de Conformidade

ISO 27001 Guest WiFi: Um Guia de Conformidade Script de Episódio do Podcast Purple Technical Briefing Duração aproximada: 10 minutos | Voz: Inglês britânico, tom de consultor sênior --- SEGMENTO 1: INTRODUÇÃO E CONTEXTO (aprox. 1 minuto) Bem-vindo ao Purple Technical Briefing. Sou o seu anfitrião no episódio de hoje, e vamos mergulhar em um tema que está na interseção entre operações de rede e governança de segurança da informação: Guest WiFi e conformidade com a ISO 27001. Se você é gerente de TI, arquiteto de rede ou auditor líder da ISO 27001 em um grupo hoteleiro, rede de varejo, estádio ou organização do setor público, este episódio foi feito para você. Não vamos cobrir a ISO 27001 do zero - você já conhece a norma. O que faremos é fornecer um mapa preciso e prático de como a sua implantação de Guest WiFi se encaixa no seu Sistema de Gestão de Segurança da Informação, quais controles se aplicam, o que a sua avaliação de risco precisa documentar e, fundamentalmente, quais evidências você precisa apresentar quando o auditor chegar. O Guest WiFi é uma daquelas áreas que as organizações subestimam constantemente do ponto de vista de conformidade. Parece um serviço básico - basta conectar alguns pontos de acesso, fornecer uma senha e pronto. Mas, do ponto de vista de um SGSI, ele é um ativo de informação ativo que afeta o limite da sua rede, seus relacionamentos com fornecedores, suas obrigações de proteção de dados e sua exposição jurídica. Vamos detalhar isso adequadamente. --- SEGMENTO 2: ANÁLISE TÉCNICA DETALHADA (aprox. 5 minutos) Vamos começar com o mapeamento de controles. A ISO 27001:2022 reestruturou seus controles do Anexo A, e vários deles se aplicam diretamente ao Guest WiFi. O grupo mais crítico está na seção de Controles Tecnológicos - que é a cláusula 8 do Anexo A. O Controle A.8.22 - Segregação de Redes - é o seu requisito fundamental. Este controle exige que grupos de serviços de informação, usuários e sistemas sejam segregados em redes. Para o Guest WiFi, isso se traduz diretamente em isolamento de VLAN. Sua rede de convidados deve ser lógica e, quando apropriado, fisicamente separada da sua rede corporativa, do seu ambiente de processamento de pagamentos e de quaisquer segmentos de IoT ou tecnologia operacional. Se um auditor descobrir que o tráfego de convidados pode alcançar compartilhamentos de arquivos internos ou interfaces de gerenciamento, isso é uma não conformidade clara em relação ao A.8.22. O Controle A.8.20 - Segurança de Redes - exige que as redes sejam gerenciadas e controladas para proteger as informações em sistemas e aplicativos. Para o Guest WiFi, isso significa regras de firewall documentadas, listas de controle de acesso e uma política de segurança de rede que trate explicitamente do segmento de convidados. Você precisa ser capaz de mostrar ao auditor um diagrama de rede atual com a VLAN de convidados claramente identificada e o conjunto de regras de firewall que governa o que esse segmento pode e não pode acessar. O Controle A.8.21 - Segurança dos Serviços de Rede - aborda provedores de serviços de rede terceirizados. A maioria das organizações que operam WiFi para convidados utiliza um provedor de serviços gerenciados, uma plataforma de Captive Portal baseada em nuvem ou uma solução fornecida por um ISP. Cada um deles representa um relacionamento com fornecedores que precisa ser governado. Você precisa de acordos de nível de serviço que incluam requisitos de segurança, além de evidências de análises periódicas dos fornecedores. É aqui que as atestações SOC 2 Tipo II do fornecedor tornam-se genuinamente úteis - voltaremos a isso. O Controle A.8.15 - Registro de Eventos (Logging) - exige que os registros de eventos sejam produzidos, armazenados, protegidos e analisados. Para o WiFi para convidados, isso significa registrar eventos de conexão, tentativas de autenticação e dados de sessão. Atualmente, existe uma tensão aqui com as diretrizes do GDPR e os princípios de minimização de dados, especialmente no Reino Unido e na UE. Você precisa registrar o suficiente para satisfazer suas obrigações de monitoramento de segurança, mas não tanto a ponto de reter dados pessoais além do necessário. Sua política de logging deve abordar explicitamente o escopo do WiFi para convidados, definir períodos de retenção e documentar a base legal para quaisquer dados pessoais capturados. O Controle A.8.23 - Filtragem da Web - exige que o acesso a sites externos seja gerenciado para proteger os sistemas contra infecções por malware e para evitar o acesso a recursos web não autorizados. Para o WiFi para convidados, isso normalmente significa implantar filtragem baseada em DNS ou um proxy web em nuvem que bloqueie domínios maliciosos conhecidos, infraestrutura de comando e controle e, dependendo do seu setor, categorias de conteúdo inadequado. Um operador hoteleiro que atende a um público familiar tem obrigações de filtragem diferentes de um centro de conferências que atende a delegados corporativos, mas ambos precisam de uma política documentada e de evidências de que a filtragem está ativa e sendo revisada. Passando para os Controles Organizacionais - Anexo A cláusula 5 - dois controles são particularmente relevantes. O Controle A.5.14 - Transferência de Informações - rege as regras, procedimentos e controles para a transferência de informações. Se os convidados estiverem usando sua rede para transferir arquivos, acessar serviços de nuvem ou realizar negócios, você precisa de uma Política de Uso Aceitável que seja apresentada a eles no momento da autenticação - normalmente por meio do Captive Portal - e aceita antes que o acesso seja concedido. Esse evento de aceitação precisa ser registrado como evidência. O Controle A.5.31 - Requisitos Legais, Estatutários, Regulamentares e Contratuais - exige que você identifique e documente todas as obrigações legais e regulamentares relevantes. Para o WiFi para convidados, isso inclui o GDPR ou o UK GDPR caso você esteja capturando dados pessoais na autenticação, a Lei de Poderes de Investigação (Investigatory Powers Act) se você estiver no Reino Unido e for obrigado a reter dados de comunicações, e regulamentações específicas do setor, como PCI DSS, se a sua rede de convidados estiver no escopo de dados de titulares de cartões. Agora, a avaliação de riscos. A ISO 27001 é uma norma baseada em riscos, o que significa que você não pode simplesmente implementar controles e dar o trabalho por encerrado. Você precisa documentar uma avaliação de riscos formal para o ativo de WiFi de visitantes. Essa avaliação deve identificar ameaças - acesso não autorizado a sistemas internos, propagação de malware a partir de dispositivos de visitantes, interceptação de dados no meio sem fio, negação de serviço e danos à reputação decorrentes do uso indevido de sua rede. Para cada ameaça, você avalia a probabilidade e o impacto, determina o tratamento do risco - seja mitigar, aceitar, transferir ou evitar - e documenta o risco residual. A Declaração de Aplicabilidade deve fazer referência à avaliação de riscos do WiFi de visitantes como justificativa para a inclusão ou exclusão de controles específicos do Anexo A. Vamos falar sobre WPA3 e padrões de autenticação. As gerações de hardware WiFi IEEE 802.11ax e 802.11be suportam WPA3, que fornece Autenticação Simultânea de Iguais - SAE - substituindo o handshake de chave pré-compartilhada mais antigo. Para uma rede de visitantes onde você usa uma senha compartilhada, o WPA3-Personal com SAE fornece confidencialidade futura (forward secrecy), o que significa que, mesmo que a senha seja comprometida, o tráfego histórico das sessões não poderá ser decifrado. Para implantações corporativas em que você deseja autenticação por usuário, o WPA3-Enterprise com IEEE 802.1X e EAP-TLS fornece autenticação baseada em certificados que se mapeia diretamente aos controles de gestão de identidade da ISO 27001. A escolha entre esses dois modelos depende do seu perfil de usuários e da sua tolerância à complexidade operacional. Agora, as atestações SOC 2 de fornecedores. Se você estiver usando uma plataforma de WiFi de visitantes gerenciada na nuvem - e a maioria das organizações está - o relatório SOC 2 Tipo II desse fornecedor é uma parte crítica das suas evidências de garantia de fornecedores. Um relatório SOC 2 Tipo II cobre os Critérios de Serviços de Confiança: Segurança, Disponibilidade, Integridade de Processamento, Confidencialidade e Privacidade, ao longo de um período de auditoria que normalmente varia de seis a doze meses. Ao construir seu arquivo de garantia de fornecedores da ISO 27001, o relatório SOC 2 Tipo II do fornecedor, combinado com um questionário de segurança do fornecedor preenchido e um acordo de processamento de dados, oferece um pacote de evidências defensável para o controle A.8.21. A Purple, por exemplo, possui alinhamento com SOC 2 que apoia diretamente esse requisito subsequente do SGSI - o que significa que você pode fazer referência à atestação deles em suas próprias evidências de auditoria em vez de realizar uma avaliação de segurança sob medida e completa da plataforma. --- SEGMENTO 3: RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS (aprox. 2 minutos) Deixe-me apresentar as quatro decisões de implementação que a maioria das organizações toma de forma errada. Primeiro: desvio de escopo na avaliação de riscos. As organizações ou definem o escopo do WiFi de convidados de forma muito estreita - tratando-o como fora do escopo por ser apenas para visitantes - ou de forma muito ampla, tentando aplicar todos os controles possíveis, independentemente da relevância. A abordagem correta é defini-lo como um ativo de informação que está no escopo do SGSI, realizar uma avaliação de riscos proporcional e documentar a justificativa de seleção de controles na Declaração de Aplicabilidade. Segundo: segmentação de rede inadequada. Já vi VLANs de convidados que são tecnicamente separadas, mas compartilham uma zona de firewall com sistemas internos, ou onde a interface de gerenciamento do controlador sem fio é acessível a partir do segmento de convidados. A segmentação precisa ser verificada com um teste de intrusão ou, no mínimo, uma revisão de acesso à rede, e essa verificação precisa ser documentada como evidência de auditoria. Terceiro: ignorar o Captive Portal como um mecanismo de controle de acesso. O Captive Portal não é apenas um exercício de branding. É o ponto em que você apresenta sua Política de Uso Aceitável, obtém consentimento para o processamento de dados e cria o log de autenticação que serve como evidência para múltiplos controles da ISO 27001. Se o seu Captive Portal não estiver registrando eventos de aceitação com carimbos de data/hora e identificadores de sessão, você tem uma lacuna que um auditor irá encontrar. Quarto: tratar a garantia de fornecedores como um exercício único. Relatórios SOC 2 expiram. Contratos de provedores de internet mudam. Os termos de serviço de plataformas em nuvem são atualizados. Seu programa de garantia de fornecedores precisa incluir a revisão anual das atestações de segurança dos fornecedores, e essa revisão precisa ser documentada. Defina um lembrete no calendário para quando o período do relatório SOC 2 de cada fornecedor terminar e solicite o relatório atualizado proativamente. Sobre a questão do tempo limite de sessão: a ISO 27001 não prescreve valores específicos de tempo limite, mas sua avaliação de riscos deve documentar a justificativa para qualquer valor que você escolher. Um tempo limite de sessão de oito horas é comum no setor de hospitalidade, mas um centro de convenções que realiza um evento de um dia pode definir um tempo limite mais curto para garantir que as credenciais não sejam compartilhadas entre os participantes. O princípio fundamental é que a política de tempo limite seja documentada, justificada pelo risco e implementada de forma consistente. A plataforma da Purple, por exemplo, permite que você configure e aplique políticas de tempo limite de sessão de forma centralizada, com o estado de configuração exportável como evidência de auditoria. - SEGMENTO 4: PERGUNTAS E RESPOSTAS RÁPIDAS (aprox. 1 minuto) Deixe-me passar pelas perguntas que recebo com mais frequência de gerentes de TI que estão se preparando para a certificação ISO 27001. O WiFi de convidados precisa estar no escopo do nosso SGSI? Se ele processa, armazena ou transmite informações que entram no escopo do seu SGSI, sim. Se os convidados se autenticam usando qualquer dado pessoal, ou se a rede se conecta a quaisquer sistemas que estejam no escopo, ele deve ser incluído. Podemos excluir o WiFi de visitantes da Declaração de Aplicabilidade? Você pode excluir controles, mas deve documentar a justificativa. Excluir o A.8.22 Segregação de Redes para uma implantação de WiFi de visitantes exigiria um argumento muito convincente que o auditor dificilmente aceitaria. Qual é o pacote de evidências mínimo viável para uma auditoria de WiFi de visitantes? Diagrama de rede mostrando a segregação de VLAN, conjunto de regras de firewall, configuração de Captive Portal com texto de política de uso aceitável, amostra de log de autenticação, entrada de avaliação de risco e relatório SOC 2 do fornecedor ou documento de garantia equivalente. Como o GDPR se relaciona com a ISO 27001 para o WiFi de visitantes? O GDPR é um requisito legal que alimenta o controle A.5.31. Seu aviso de privacidade, contrato de processamento de dados com seu fornecedor de plataforma WiFi e política de retenção de dados são itens de evidência da ISO 27001, bem como artefatos de conformidade com o GDPR. Eles servem a um duplo propósito. - SEGMENTO 5: RESUMO E PRÓXIMOS PASSOS (aprox. 1 minuto) Para resumir tudo: o WiFi de visitantes não é uma preocupação periférica para o seu ISMS - é uma fronteira de rede ativa com exposição real a riscos e um conjunto claro de controles aplicáveis da ISO 27001:2022. Os controles que mais importam são A.8.22 para segregação de rede, A.8.20 para gerenciamento de segurança de rede, A.8.21 para garantia de fornecedores, A.8.15 para registro em log, A.8.23 para filtragem de web, A.5.14 para uso aceitável e A.5.31 para conformidade legal. Seus próximos passos imediatos: primeiro, confirme se o WiFi de visitantes está explicitamente incluído na declaração de escopo do seu ISMS. Segundo, adicione uma entrada de WiFi de visitantes ao seu registro de riscos com ameaças documentadas, probabilidade, impacto e decisões de tratamento. Terceiro, monte seu pacote de evidências - diagrama de rede, regras de firewall, configuração de Captive Portal, política de registro em log e relatório SOC 2 do fornecedor. Quarto, agende uma revisão anual de garantia de fornecedor para o seu provedor de plataforma WiFi. Se você estiver implantando ou atualizando sua infraestrutura de WiFi de visitantes, a plataforma da Purple foi construída com esses requisitos de conformidade em mente - alinhada ao SOC 2, com gerenciamento centralizado de políticas e evidências de configuração exportáveis que alimentam diretamente a documentação do seu ISMS. Obrigado por participar do Purple Technical Briefing. Para obter o guia escrito completo, diagramas de arquitetura e exemplos práticos, visite o centro de recursos da Purple. Até a próxima.