Como preparar clientes para uma auditoria de conformidade surpresa (HIPAA, CMMC, SOC 2)

Para preparar clientes para uma auditoria de conformidade surpresa, os MSPs devem marcar os dispositivos pelo escopo de cada framework, validar o status de patches, antivírus e criptografia, aplicar linhas de base de política, confirmar a retenção de logs e manter a comprovação de backup à mão. Essas seis tarefas apoiam a preparação para auditorias em ambientes HIPAA, SOC 2 e CMMC. Relacione os resultados aos requisitos aplicáveis a cada cliente e guarde as evidências de apoio.

Auditorias surpresa são comuns em setores regulados porque revelam lacunas de documentação, políticas inconsistentes e fragilidades de segurança que revisões agendadas deixam passar. Provedores de serviços gerenciados (MSPs) devem incorporar a prontidão para auditoria à rotina ao longo do ano, sobretudo quando apoiam a conformidade com HIPAA, SOC 2 e CMMC.

MSPs que atendem contratantes de defesa que lidam com informações controladas não classificadas (CUI) também devem relacionar cada tarefa aos controles correspondentes da NIST 800-171.

Este artigo percorre cada tarefa, com os comandos e passos no console a executar e as evidências a guardar.

Prefere vídeo? Assista a Como preparar clientes para uma auditoria de conformidade surpresa (HIPAA, CMMC, SOC 2) para saber mais.

Sem tempo? Veja como os MSPs mantêm a prontidão para auditorias CMMC

Preparar-se para auditorias como HIPAA, SOC 2 e CMMC exige mais do que processos manuais. Os MSPs precisam de ferramentas que automatizem verificações de conformidade e ofereçam visibilidade contínua em todos os ambientes dos clientes.

O NinjaOne RMM reúne gerenciamento de endpoints, automação e relatórios em uma única plataforma, o que ajuda os MSPs a marcar dispositivos no escopo, executar verificações de conformidade com scripts e gerar relatórios para manter as evidências de auditoria atualizadas em todos os ambientes dos clientes.

Lista de verificação de prontidão para auditoria para MSPs

Use esta lista de verificação para conferir rapidamente a prontidão para auditoria em ambientes HIPAA, SOC 2 e CMMC.

Requisitos de conformidade em 2026: o que vale hoje

Situação do CMMC

Desde outubro de 2026, a Fase 1 do CMMC está em vigor, então contratos que envolvem informações controladas não classificadas (CUI) podem exigir uma autoavaliação de Nível 2. O Department of War suspendeu a passagem para a Fase 2, que tornaria obrigatória a certificação de Nível 2 por terceiros, em 13 de julho de 2026, e uma revisão do programa está em curso. A DFARS 252.204-7012 e a NIST SP 800-171 Rev 2 continuam valendo, portanto as seis tarefas desta lista seguem úteis como verificações de endpoints dentro de um programa de conformidade mais amplo.

O que o CMMC significa para os MSPs

A regra do CMMC trata os MSPs como provedores de serviços externos (ESPs). Um ESP que não é provedor de nuvem é avaliado dentro do escopo de avaliação do cliente e não precisa de certificação CMMC própria, embora possa se certificar voluntariamente. Já um ESP que é provedor de nuvem e lida com CUI precisa atender ao FedRAMP Moderate ou a requisitos equivalentes. Confirme o escopo e as exigências contratuais de cada cliente antes de planejar a coleta de evidências.

Situação da HIPAA

A atualização da Regra de Segurança da HIPAA proposta em janeiro de 2025 não é definitiva, e a Regra de Segurança atual continua em vigor. A proposta tornaria obrigatórias medidas como autenticação multifator e criptografia de informações eletrônicas de saúde protegidas (ePHI) em repouso e em trânsito, então incluí-las já nas suas linhas de base é uma forma de baixo risco de se preparar.

Situação do SOC 2

O SOC 2 é um relatório de atestado independente com base nos Trust Services Criteria do AICPA. Um relatório Tipo II cobre como os controles operam ao longo de um período de revisão, então as evidências precisam abranger todo o período.

Pré-requisitos para a prontidão diante de uma auditoria de conformidade surpresa

Antes de começar, os MSPs devem confirmar o seguinte:

• Implementação de controle de acesso baseado em função conforme o menor privilégio, com MFA obrigatória.
• Soluções padronizadas de gerenciamento de patches, antivírus/EDR e backup.
• Configuração correta de ambientes Microsoft 365 ou Active Directory híbrido.
• Capacidade de scripting mantida (registro, CMD e PowerShell).
• Implantação de uma ferramenta de RMM confiável (como NinjaOne) capaz de enviar scripts, aplicar políticas e reunir artefatos de conformidade.

Tarefa 1: inventariar dispositivos por escopo de conformidade

📌 Caso de uso:
Marcar dispositivos permite que os MSPs filtrem equipamentos em ferramentas de RMM (como NinjaOne) para identificar rapidamente quais sistemas estão no escopo de HIPAA, CMMC ou SOC 2. Definir com clareza os sistemas no escopo é especialmente importante no CMMC, em que o escopo determina quais sistemas precisam atender aos requisitos de proteção de CUI.
A marcação correta também apoia o gerenciamento de conformidade multi-tenant, para que os MSPs apliquem as verificações certas a cada cliente sem misturar requisitos regulatórios.

Para criar tags de conformidade no registro:

1. Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.
2. Execute os comandos a seguir, substituindo os valores “True” por True ou False conforme a categoria de conformidade do endpoint (HIPAA, CMMC, SOC 2):

New-Item -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "HIPAA" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "CMMC" -Value "True"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceTags" -Name "SOC2" -Value "True"

Para verificar as tags manualmente:

1. Abra o Prompt de Comando como administrador. Pressione Win + X e selecione Prompt de Comando (Admin) ou Terminal do Windows (Admin). No Terminal do Windows, confirme que está em uma guia do Prompt de Comando, e não no PowerShell.
2. Execute os comandos a seguir:

reg query HKLM\SOFTWARE\Org\ComplianceTags

3. Outra opção é abrir o Editor do Registro. Pressione Win + R. Digite regedit e pressione Enter.
4. Navegue até: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceTags
5. Confirme que os valores esperados das tags de conformidade (por exemplo, chaves ou entradas de texto usadas pela sua organização) existem e correspondem às políticas configuradas. Se estiverem ausentes ou incorretos, o sistema pode não ser reconhecido como conforme durante uma auditoria.

Tarefa 2: validar status de patches, AV e criptografia

Esta tarefa confirma que os sistemas receberam patches, que o antivírus está ativo e que a criptografia está em vigor.
Essas verificações se alinham aos controles da NIST SP 800-171 e dão aos auditores evidências de que os endpoints estão devidamente protegidos.
Passos
1. Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.
2. Verifique a versão do sistema operacional em cada dispositivo no escopo. O Windows 10 chegou ao fim do suporte em 14 de outubro de 2025, então dispositivos que ainda o executam não recebem mais atualizações de segurança gratuitas e devem ser atualizados ou inscritos no programa de Atualizações de Segurança Estendidas.
Get-CimInstance Win32_OperatingSystem | Select-Object Caption, Version, BuildNumber
3. Verifique o status dos patches do Windows Update executando os comandos a seguir:
a. Para ver as 5 últimas atualizações instaladas:
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
b. Para listar as atualizações disponíveis, caso o módulo PSWindowsUpdate esteja instalado:
Get-WindowsUpdate -MicrosoftUpdate
c. Para gerar um log legível do Windows Update a partir dos arquivos de rastreamento de atualização (este comando cria um arquivo de log e não lista atualizações ausentes):
Get-WindowsUpdateLog
4. Para verificar o status do AV/Defender:
Get-MpComputerStatus | Select AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled
5. Para verificar a criptografia (BitLocker):
Get-BitLockerVolume | Select MountPoint, ProtectionStatus
6. Se precisar, exporte os resultados para CSV e anexe aos tickets de preparação para auditoria.

Tarefa 3: aplicar linhas de base de política

📌 Caso de uso:

Esta tarefa aplica políticas de segurança consistentes em todos os sistemas, o que apoia a preparação para auditorias. GPOs ou scripts podem impor configurações de conformidade, como política de bloqueio de conta, tamanho e complexidade de senha, auditoria de acesso a objetos e de eventos de logon, contas de convidado desativadas e retenção do log de eventos de segurança.

Em sistemas ingressados no domínio (via Política de Grupo):

1. Abra o Console de Gerenciamento de Política de Grupo (GPMC).
2. Edite ou crie uma GPO.
3. Navegue até:
   • Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas de Conta
   • Configuração do Computador > Configurações do Windows > Configurações de Segurança > Configuração de Política de Auditoria Avançada
4. Configure políticas de senha, bloqueio de contas, protetor de tela (tempo limite de inatividade) e auditoria.

Em sistemas autônomos/fora do domínio (via Política Local ou scripts):

1. Pressione Win + R, digite gpedit.msc e pressione Enter para abrir o Editor de Política de Grupo Local.
2. Configure as mesmas políticas localmente em Configurações de Segurança.
3. Se a Política de Grupo não estiver disponível (por exemplo, nas edições Home do Windows), use scripts baseados no registro para aplicar as mesmas linhas de base.

Tarefa 4: validar logs, retenção e políticas de monitoramento

Esta tarefa verifica se os logs de eventos são gerados, retidos e não sobrescritos. Os auditores costumam exigir comprovação de monitoramento contínuo, rastreamento de eventos e retenção de logs.

Para verificar o status do log de segurança:

1. Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.
2. Execute o comando a seguir:

Get-WinEvent -LogName Security -MaxEvents 5 | Format-List

Esse comando consulta o log de eventos de Segurança do Windows em busca dos 5 eventos mais recentes e envia a saída para o console (tela) em formato de lista. O número “5” é apenas uma referência e pode ser alterado conforme a quantidade de eventos que quiser ver.

Executar esse comando confirma que novos eventos estão sendo gerados e registrados no log de Segurança. Durante uma auditoria, isso ajuda a provar que a coleta de logs funciona corretamente e que nenhum log está ausente ou foi sobrescrito.

Para verificar a política de retenção de logs:

1. Abra o Prompt de Comando como administrador. Pressione Win + X e selecione Prompt de Comando (Admin).
2. Execute o comando a seguir:

wevtutil gl Security | findstr /i "retention autoBackup

Esse comando mostra o status de retenção do Log de Eventos de Segurança do Windows:

• Retention: false significa que, quando o log enche, os eventos mais antigos são sobrescritos pelos mais recentes.
• Retention: true significa que os eventos não são sobrescritos quando o log enche.
• autoBackup: true significa que o log cheio é arquivado automaticamente.

Tarefa 5: verificar controle de acesso e rastreamento de usuários

Esta tarefa ajuda os MSPs a documentar contas de usuário, acesso privilegiado e permissões de RDP. Revisões de acesso documentadas atendem aos requisitos de auditoria sobre governança de contas, incluindo controle de acesso e menor privilégio.

Para verificar contas de usuário locais:

1. Abra o Prompt de Comando como administrador. Pressione Win + X e selecione Prompt de Comando (Admin).
2. Execute o comando a seguir: net user <username>

Esse comando exibe informações detalhadas sobre a conta indicada, incluindo:

• Nome de usuário e nome completo
• Se a conta está ativa
• Requisitos de senha (expiração, última definição, troca obrigatória)
• Participação em grupos
• Caminho do perfil e diretório base
• Horários de logon permitidos

Para listar usuários do AD com direitos elevados:

1. Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.
2. Execute o comando a seguir:

Get-ADGroupMember -Identity "Domain Admins"

Esse comando retorna todos os membros do grupo Domain Admins no Active Directory, que costuma reunir as contas com os maiores privilégios. Revisar essa lista ajuda a confirmar que apenas usuários autorizados têm direitos elevados.

Get-LocalGroupMember -Group "Remote Desktop Users"

Esse comando exibe todas as contas que pertencem ao grupo Usuários da Área de Trabalho Remota na máquina local. Quem está nesse grupo pode entrar remotamente no sistema via Remote Desktop Protocol (RDP). Os auditores costumam conferir essa lista para garantir que só usuários aprovados tenham acesso remoto, já que permissões de RDP excessivas ou sem monitoramento criam riscos de conformidade e segurança.

Tarefa 6: documentar a comprovação de backup e recuperação

Esta tarefa registra o último backup bem-sucedido no registro para varredura automatizada pelo RMM, o que dá aos auditores evidências verificáveis de que as práticas de backup e recuperação são aplicadas e monitoradas. A validação automatizada de backup também apoia os relatórios de conformidade dos MSPs, fornecendo as evidências que os auditores costumam pedir em revisões de HIPAA, CMMC e SOC 2.

Para criar no registro o carimbo de data/hora do último backup bem-sucedido:

1. Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.

2. Execute os comandos a seguir:

New-Item -Path "HKLM:\SOFTWARE\Org\ComplianceBackup" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\ComplianceBackup" -Name "LastSuccessfulBackup" -Value (Get-Date).ToString("u")

3. Esses comandos criam a chave ComplianceBackup em HKEY_LOCAL_MACHINE e definem o valor LastSuccessfulBackup com a data e a hora atuais em formato universal. Execute o segundo comando apenas como etapa final de um trabalho de backup bem-sucedido, para que o carimbo reflita um backup concluído.

4. Integre ao seu sistema de RMM:

1. A maioria dos RMMs permite definir campos personalizados ou regras de varredura do registro.
2. Configure o RMM para ler o valor de HKLM:\SOFTWARE\Org\ComplianceBackup\LastSuccessfulBackup.
3. Assim, o RMM acompanha automaticamente quando o último backup bem-sucedido foi executado e gera relatórios de evidência de conformidade.

Para verificar se o carimbo do último backup bem-sucedido foi registrado no registro.

1. Abra o Editor do Registro. Pressione Win + R. Digite regedit e pressione Enter.
2. Navegue até: HKEY_LOCAL_MACHINE\SOFTWARE\Org\ComplianceBackup
3. Confirme que o valor LastSuccessfulBackup mostra o carimbo correto.

Além do acompanhamento pelo registro, plataformas de RMM como NinjaOne geram relatórios detalhados de backup automaticamente. Com políticas, também dá para definir períodos de retenção de backup e atender a exigências de regulamentações como HIPAA, CMMC ou SOC 2.

⚠️ Solução de problemas/pontos de atenção

Outras considerações para preparar uma auditoria de conformidade surpresa

Além dos pontos mais comuns, recomendamos estas boas práticas para apoiar a conformidade com diferentes regulamentações. Elas são especialmente importantes para MSPs que atendem clientes de setores regulados, como defesa e contratos governamentais.

• Políticas de DLP: vá além de simplesmente ativar a prevenção contra perda de dados (DLP) no Microsoft 365 ou nos endpoints. Em uma auditoria, podem pedir que demonstre como os dados sensíveis são impedidos de sair do ambiente e como as regras de retenção e arquivamento são aplicadas. Esteja pronto para mostrar que os sistemas de backup cumprem os períodos de retenção exigidos (por HIPAA, CMMC ou SOC 2) e que os dados arquivados ficam acessíveis para revisão.

Soluções de RMM como NinjaOne simplificam essa etapa ao gerar relatórios detalhados sobre status de backup, configurações de retenção e conformidade dos endpoints, dando aos auditores evidências claras de que os dados estão protegidos e retidos corretamente.

• Auditoria de MFA: garanta que todas as contas de administrador e de usuário final usem autenticação multifator (MFA), um requisito da NIST SP 800-171 (controle 3.5.3) avaliado no CMMC Nível 2.
• Desligamento de usuários: confirme que existem registros de contas desativadas e de devolução de ativos.
• Acompanhamento de risco de fornecedores: mantenha uma lista atualizada de serviços de terceiros com acesso aos dados (requisito importante para MSPs que lidam com CUI sob o CMMC).
• Prontidão para resposta a incidentes: esteja preparado para explicar seu processo diante de um endpoint comprometido, incluindo isolamento, reimagem e procedimentos de notificação.
• Resultados de varredura de vulnerabilidades: guarde relatórios recentes de varredura de vulnerabilidades de cada endpoint para demonstrar gerenciamento proativo de riscos.
• Inventário de dispositivos: mantenha um inventário completo e preciso de todos os dispositivos que acessam os dados da organização.

Para saber mais sobre o que NinjaOne faz, confira nosso FAQ sobre nossa solução de RMM.

Serviços NinjaOne para prontidão em auditorias de conformidade

O NinjaOne RMM apoia a preparação para auditorias em ambientes HIPAA, SOC 2 e CMMC com marcação de dispositivos, scripts, alertas e relatórios, além de visibilidade centralizada nos tenants dos clientes.

• Gerenciamento de endpoints: marque endpoints por escopo de conformidade (HIPAA, CMMC, SOC 2).
• Scripts: execute verificações periódicas de requisitos específicos de conformidade, como status de criptografia e dados de SaaS, além da visibilidade nativa sobre status do AV, patches e backups.
• Alertas: receba alertas sobre lacunas na cobertura de conformidade e problemas de agente.
• Relatórios: gere relatórios pré-auditoria e de QBR para uso interno e com clientes.

Considerações finais sobre a preparação para auditorias de conformidade surpresa

A prontidão para auditoria exige esforço conjunto de MSPs e clientes, garantindo que o ambiente de TI gerenciado cumpra as regulamentações do setor. Os MSPs, em especial, podem adotar práticas como marcação de dispositivos, scripts de validação periódicos, aplicação de políticas, retenção de logs, rastreamento de usuários e documentação de backup para ajudar os clientes a se prepararem para auditorias de conformidade surpresa.

Combinar essas práticas com uma plataforma de gerenciamento de endpoints como NinjaOne sustenta a prontidão para auditoria em escala entre tenants, deixando os clientes preparados caso auditores independentes ou órgãos reguladores façam uma verificação de conformidade surpresa.

Temas relacionados:

• Conformidade com a HIPAA: tudo o que você precisa saber
• O que é conformidade SOC? Visão geral para empresas
• O que é CMMC? Visão geral e definição
• O que é uma auditoria de conformidade? Definição e importância
• O que é uma auditoria de conformidade? Definição e importância