Medir a postura de segurança

Objetivos de controle (lição 9, SEC01-BP03) só servem se você consegue validar que estão sendo atendidos. E controles automatizados (lição 12, SEC01-BP06) produzem dados de conformidade de forma contínua. Medir a postura junta as duas coisas: mostra onde você está, se está melhorando e onde agir primeiro.

Atenção aos nomes, que mudaram em 2025. O serviço que roda checagens de configuração contra padrões de segurança hoje se chama AWS Security Hub CSPM (Cloud Security Posture Management) — é o que muitos materiais antigos chamam simplesmente de "Security Hub". O nome AWS Security Hub passou a designar um serviço complementar, que agrega e correlaciona sinais do GuardDuty, Inspector, Macie e do próprio Security Hub CSPM para gerar exposições priorizadas.

Nesta lição o foco é o Security Hub CSPM. Ele organiza as checagens em padrões, cada um com vários controles:

• AWS Foundational Security Best Practices (FSBP) — boas práticas definidas pela AWS, independentes de setor;
• CIS AWS Foundations Benchmark — configurações de base definidas pelo Center for Internet Security;
• outros como NIST SP 800-53 Rev. 5, NIST SP 800-171 Rev. 2, PCI DSS, AWS Resource Tagging e o padrão gerenciado pelo AWS Control Tower.

O Security Hub CSPM mostra uma pontuação de 0 a 100% por padrão habilitado e uma pontuação resumida. A conta é a proporção de controles com status Passed sobre os controles habilitados (Passed, Failed e Unknown; os sem dados ficam de fora). Detalhes que importam:

• a pontuação depende do AWS Config gravando recursos;
• é atualizada a cada 24 horas;
• na conta administradora, um controle reprovado em uma única conta-membro conta como reprovado para o todo;
• findings suprimidos ou arquivados são ignorados no cálculo — suprimir todos os findings reprovados de um controle faz a nota subir.

O AWS Config registra a configuração dos recursos e avalia regras sobre ela. Um conformance pack é um conjunto de regras do Config e ações de remediação, escrito em YAML e implantado como uma unidade em uma conta e Região ou em toda a organização. Há modelos de exemplo prontos para começar.

Cada conformance pack tem um compliance score: o percentual de combinações regra-recurso em conformidade sobre o total possível. É útil para acompanhar a remediação ao longo do tempo e ver o efeito de uma mudança. Use o Security Hub CSPM para os padrões de mercado e conformance packs para regras próprias da organização, ou combine os dois.

Indicador	O que mostra	Cuidado
% de controles aprovados, por padrão e por OU	Cobertura geral e onde estão os bolsões de problema.	Olhe a tendência, não um dia isolado.
Findings críticos e altos abertos	O risco imediato.	Separe por idade: um crítico de 90 dias é pior que dez de ontem.
Tempo médio de correção por severidade	A capacidade de resposta da organização.	Compare com uma meta (SLA) definida antes.
% de contas com os serviços de segurança habilitados	Lacunas de visibilidade.	Conta sem coleta tem nota "perfeita" porque não gera findings.
Exceções e supressões ativas	Quanto da nota depende de riscos aceitos.	Toda supressão precisa de dono e prazo.

Uma métrica de vaidade sobe sem que o risco caia. Exemplos clássicos:

• suprimir findings em massa para "limpar" o painel;
• desabilitar controles que reprovam em vez de corrigir ou justificar;
• contar o total de findings resolvidos sem olhar severidade nem reincidência;
• medir só as contas onde o Security Hub CSPM está ativo.

Meça a postura com os padrões do Security Hub CSPM (FSBP, CIS e outros) e com conformance packs do AWS Config. Entenda como a pontuação é calculada, acompanhe tendências, findings críticos por idade, tempo de correção e cobertura, e desconfie de qualquer número que melhore sem o risco cair. Com isso fecha o Módulo 4.

• SEC01-BP03 Identify and validate control objectives
• SEC01-BP06 Automate deployment of standard security controls

• What are Security Hub and Security Hub CSPM?
• Standards reference for Security Hub CSPM
• Calculating security scores
• Conformance packs for AWS Config