O que a fiscalização inicial da NIS2 nos diz sobre trilhas de auditoria

A maioria das exigências de conformidade começa como um exercício de marcar caixas. Alguém confirma que o registro está ativado, marca a caixa e a equipe segue em frente. Mas a NIS2 está mudando isso. Os reguladores agora exigem prova dos seus controles. Eles perguntam se você consegue reconstituir o que aconteceu e se alguém deveria confiar no seu registro. Porque, se você não consegue mostrar quem fez o quê e quando, esses controles é como se não existissem.

Os reguladores querem evidências

Os valores das multas são difíceis de determinar. Os números que circulam on-line variam conforme a fonte, e a UE ainda não criou um registro central de multas. O padrão recente de fiscalização, no entanto, diz mais.

O BSI da Alemanha emitiu dezenas de notificações formais. A ANSSI da França emitiu ordens para corrigir problemas em energia e transporte, preferindo a correção às penalidades. Nos Países Baixos, uma revisão de empresas de infraestrutura digital essencial constatou que mais de um terço tinha procedimentos fracos de notificação de incidentes e mais da metade não tinha uma política de segurança aprovada pela gestão em arquivo.

Cada uma dessas constatações se resume à falta de provas.

Onde estão os requisitos reais

A maior parte da cobertura para no artigo 21, a parte da NIS2 que lista dez medidas de segurança gerais. Mas esse artigo é intencionalmente genérico. O detalhe de que você precisa está no Regulamento de Execução (UE) 2024/2690 da Comissão, em vigor desde novembro de 2024. Ele transforma essas dez medidas em mais de 150 controles específicos. Registro e monitoramento, os controles por trás da sua trilha de auditoria, são tratados na seção 3.2 do anexo.

O regulamento se aplica diretamente a um grupo definido de empresas, incluindo provedores de nuvem e de data centers, provedores de DNS, provedores de serviços gerenciados e marketplaces on-line. Empresas fora dessa lista não estão formalmente obrigadas, mas ele continua sendo a régua que um regulador tem mais probabilidade de usar. (Nossa visão geral da conformidade com a NIS2 explica os critérios para saber se a NIS2 se aplica a você.)

As regras costumam dizer coisas como "quando apropriado" ou "na medida do possível", o que soa como margem de manobra. Mas há uma pegadinha: se você decidir que um requisito não se aplica a você, precisa registrar por escrito o motivo. Optar por não registrar logs em um sistema é aceitável quando você documentou o raciocínio. Caso contrário, é uma constatação.

A prova costuma desaparecer antes que alguém olhe

Os logs de segurança do Windows em controladores de domínio se sobrescrevem por design. Quando um log atinge um limite de tamanho, os eventos mais antigos dão lugar aos novos. Esse limite, provavelmente definido por alguém anos atrás para economizar espaço em disco, não leva evidências em conta. Em um servidor movimentado, o log pode se renovar em minutos.

Mas, como o registro está ativado e novos eventos continuam chegando, ninguém percebe a perda. Quando um regulador pergunta sobre algo que aconteceu quatro meses atrás, dizer que "o registro estava ativado" não ajuda.

Duas coisas rápidas que você pode fazer:

• Verifique hoje por quanto tempo seus controladores de domínio e servidores críticos mantêm os logs. A configuração real importa mais que o documento de política.
• Descubra qual parte da sua janela de evidências exigida a plataforma de auditoria consegue pesquisar diretamente. Dados recentes costumam ser rápidos de pesquisar, enquanto os mais antigos ficam em um arquivo que pode exigir restauração. Teste essa recuperação agora. O artigo 23 da NIS2 dá 24 horas para um alerta precoce. Esse é um péssimo momento para descobrir que levantar atividades de seis meses atrás leva dias.

Logs que um administrador pode editar não são evidência

A NIS2 espera que você proteja seus logs contra acesso e alterações não autorizados.

Pense em quem você estaria investigando: normalmente, uma conta com direitos de administrador. Se seus dados de auditoria ficam em sistemas que essa conta controla, um dos primeiros movimentos pode ser apagar os logs. E, embora o Windows registre que um log foi apagado, ele grava essa entrada no próprio log que acabou de ser limpo. Você descobre que o histórico foi apagado, mas não o que ele continha.

É por isso que "por quanto tempo guardamos?" é a primeira pergunta errada. Um arquivo de sete anos que um administrador pode editar é mais fraco do que um arquivo de seis meses que ele não pode tocar. Um registro confiável precisa de três coisas:

1. Um sistema fora do ambiente monitorado coleta e armazena os dados.
2. As pessoas que operam esses sistemas não podem alterar o histórico armazenado.
3. O repositório de auditoria registra cada alteração feita nele.

É o segundo requisito que as empresas mais descumprem. A conta que coleta os dados de auditoria costuma ser um administrador de domínio, porque era a mais fácil de configurar. Assim, um invasor que assume um login de administrador também alcança as evidências. Verifique hoje quem tem acesso de gravação ao seu banco de dados e ao arquivo de auditoria.

O terceiro requisito é o mais fácil de ignorar. Sua plataforma deve informar quando os logs de auditoria foram apagados, quando as configurações de auditoria mudaram e quem consultou o repositório. Se não consegue, suas evidências não têm evidências por trás.

Seis testes para executar antes que um regulador o faça

Reserve duas horas, pegue um cronômetro e tente produzir prova para cada um destes casos no seu ambiente real:

1. Uma conta privilegiada é comprometida. Você consegue ver tudo o que ela fez, em todos os sistemas, em ordem?
2. Alguém recebe permissões que não deveria ter. Você consegue dizer quem as concedeu e quando, mesmo por meio de grupos aninhados?
3. Uma configuração crítica muda. Você consegue mostrar como era antes e como está agora?
4. Uma conta suspeita aparece. Você consegue dizer quem a criou e o que ela fez em seguida?
5. Um incidente atinge vários sistemas. Você consegue montar uma linha do tempo clara rápido o bastante para sustentar o alerta precoce de 24 horas do artigo 23?
6. Alguém apagou um log de segurança na terça-feira passada. Você saberia e conseguiria mostrar como sabe?

Dê uma nota a si mesmo e anote o intervalo de datas que você testar. As equipes costumam passar na semana passada, mas falhar no último trimestre. Essa diferença é o que o exercício revela. E "sim, mas levou três dias e cinco equipes" é reprovação. O relógio de 24 horas não se importa com quantas pessoas foram necessárias.

Onde o Netwrix Auditor se encaixa

Os seis testes se resumem a uma capacidade: um histórico confiável de quem alterou o quê, quando e como era antes, armazenado em um lugar que o ambiente monitorado não consiga reescrever discretamente.

O Netwrix Auditor reúne a atividade de alterações, acesso e administração do Active Directory, Entra ID, Microsoft 365, servidores de arquivos, SQL Server e mais em seu próprio repositório de auditoria. Seu histórico deixa de depender de quanto tempo um controlador de domínio guarda seus logs.

Há também um pacote de relatórios da NIS2 que se alinha de perto aos seis testes. Por exemplo, Administrative Group Membership Changes cobre o teste 1 e Account Permissions Reports cobre o teste 2. Audit Log Clearing e Local Audit Policy Changes cobrem o teste 6, e Access to Archive Data mostra quem tem lido as próprias evidências. Um guia de mapeamento de requisitos da NIS2 ajuda você a mostrar a um regulador a ligação entre cada requisito e um relatório.

Nenhuma ferramenta de auditoria torna você conforme com a NIS2 sozinha. O artigo 21 cobre muito mais do que monitoramento, mas cada uma de suas medidas precisa, no fim, ser comprovada, e a prova vem de evidências de auditoria. Sem elas, um controle funcionando e um controle ausente parecem iguais para um regulador.

A conclusão

A fiscalização inicial é um sinal de para onde os reguladores europeus estão caminhando. A conformidade está migrando do que sua política diz para o que você consegue demonstrar.

Então execute os seis testes e aponte-os para uma data de quatro meses atrás. Se algum falhar, faça da correção a prioridade desta semana, antes que um regulador torne essa mesma correção mais cara.