Um fornecedor de TI para a área da saúde tinha uma política de governança de dados que um consultor de conformidade havia chamado de exemplar: quarenta páginas sobre classificação de dados, cronogramas de retenção, requisitos de controle de acesso, padrões de criptografia, restrições ao compartilhamento de dados com terceiros e procedimentos de auditoria. A política havia sido aprovada pelo conselho, assinada pelo CISO e publicada na intranet da empresa. Durante uma auditoria externa, os auditores testaram uma amostra dos requisitos da política em relação à prática real. Constataram que o sistema de classificação de dados descrito na política nunca havia sido implantado: os dados não estavam classificados em todo o ambiente. Os cronogramas de retenção especificavam prazos de eliminação automatizada: a eliminação automatizada nunca havia sido configurada. Os padrões de criptografia exigiam criptografia em nível de campo para três categorias de dados sensíveis: a criptografia em nível de campo existia para uma delas. As restrições ao compartilhamento de dados com terceiros exigiam DPAs com todos os suboperadores: doze dos vinte e sete suboperadores do fornecedor não tinham DPA. A política descrevia um programa de governança de dados completo e maduro. A implementação descrevia um programa que havia sido desenhado no papel e executado parcialmente na prática.
Qual é, de fato, a lacuna entre governança e aplicação de dados?
A governança de dados é o marco de políticas, padrões e processos que define como os dados devem ser coletados, classificados, protegidos, retidos e descartados em uma organização. A aplicação da governança de dados é o conjunto de controles técnicos, procedimentos operacionais e mecanismos de responsabilização que garantem que essas políticas sejam de fato seguidas na prática. A lacuna entre governança e aplicação, entre a política que descreve o estado pretendido e os controles que produzem o estado real, é o espaço em que a documentação de conformidade e a realidade da segurança divergem.
A lacuna entre política e prática é um risco estrutural em qualquer organização em que a documentação de governança é criada em resposta a requisitos de conformidade e os controles são implementados em resposta a prioridades operacionais. Os requisitos de conformidade geram demanda por documentação de governança (políticas, procedimentos, padrões e marcos), que pode ser produzida com relativa rapidez por equipes dedicadas de conformidade ou jurídicas. Os controles técnicos e os processos operacionais necessários para tornar essas políticas operacionais levam mais tempo para ser implementados, exigem recursos de engenharia e competem com o desenvolvimento de funcionalidades e as prioridades operacionais pela capacidade de implementação. O resultado são organizações com documentação de governança madura e implementação de governança imatura: intenções documentadas que se adiantam à realidade operacional.
O momento da auditoria é quando a lacuna se torna visível. Quando uma avaliação de TPRM, uma auditoria externa ou uma inspeção regulatória testa a conformidade com as políticas de governança declaradas, em vez de revisar as próprias políticas, a lacuna entre documentação e implementação aparece. A política diz que os dados estão classificados. O ambiente não está classificado. A política diz que a retenção é automatizada. A configuração mostra processos manuais. A política diz que os suboperadores têm DPAs. Doze de vinte e sete não têm. Cada uma dessas constatações representa uma política que existe no documento e um controle que nunca foi implementado para aplicá-la.
As lacunas na aplicação da governança de dados se concentram em cinco falhas específicas na transformação de políticas em controles:
- Política de classificação sem ferramentas de classificação: requisitos de classificação de dados documentados na política, mas nenhuma ferramenta técnica implantada para identificar, classificar ou rotular os dados na prática
- Política de retenção sem automação da retenção: cronogramas de retenção definidos na política, mas a automação da eliminação nunca foi configurada, deixando a retenção dependente de processos manuais que raramente são executados
- Requisitos de criptografia sem implementação de criptografia: padrões de criptografia especificados para determinadas categorias de dados que não foram implementados nos sistemas que tratam essas categorias
- Requisitos para terceiros sem execução contratual: requisitos de DPA, processos de aprovação de suboperadores e restrições ao compartilhamento de dados definidos na política, mas não executados de forma consistente nos contratos com fornecedores
- Requisitos de auditoria sem execução de auditorias: procedimentos de auditoria interna definidos na política de governança que nunca são programados, dotados de pessoal ou executados para testar a conformidade com os próprios requisitos da política
Por que isso importa
A relação entre governança e aplicação de dados é importante para TPRM porque o valor de garantia da documentação de governança de dados do fornecedor depende inteiramente de essa documentação refletir a realidade operacional. Um fornecedor com uma política de governança de dados abrangente e aprovada pelo conselho, que nunca foi testada em relação à prática real, produziu um artefato de conformidade que descreve um estado pretendido, um estado que pode não existir no ambiente, nos sistemas ou nos contratos que a política de governança deveria governar.
Para profissionais de TPRM, avaliar a maturidade da governança de dados exige passar da revisão da documentação para a verificação da implementação, perguntando não apenas se a política diz as coisas certas, mas se os controles exigidos pela política estão de fato implantados. Uma política de classificação de dados é evidência da intenção de governança. Uma ferramenta de descoberta e classificação de dados implantada, com a classificação aplicada em todo o ambiente, é evidência da implementação da governança. Uma política de retenção é evidência da intenção de governança. A eliminação automatizada configurada, com logs de auditoria das eliminações executadas, é evidência da implementação da governança. A documentação descreve a especificação. A evidência demonstra a implementação.
A implicação regulatória segue a mesma lógica. Um regulador que pede evidências do cumprimento das obrigações de proteção de dados examinará tanto a documentação de governança quanto a implementação técnica. Uma documentação que diz “os dados estão classificados” sem um sistema de classificação, “a retenção é automatizada” sem processos de eliminação configurados e “os suboperadores têm DPAs” sem DPAs arquivados é uma documentação que não descreve o que realmente existe. A distância entre a documentação e a evidência é a lacuna de conformidade.
Onde a maioria das equipes erra
A falha mais recorrente é avaliar a governança de dados revisando a documentação de governança, em vez de testar sua implementação. Uma política de governança de dados abrangente e bem estruturada é um sinal positivo sobre a intenção de governança e o desenho do programa da organização. Não é evidência de que os controles descritos na política estão implantados nem de que a conformidade com a política está sendo medida. Tratar a qualidade da política como equivalente à maturidade da governança produziu muitas avaliações de TPRM que dão notas altas aos fornecedores pela documentação de governança, mas deixam passar a lacuna de implementação que uma auditoria encontraria.
A segunda falha é não perguntar sobre a titularidade e a responsabilização do programa de governança. Uma política de governança de dados sem um responsável nomeado que responda pelo progresso da implementação, pela medição da conformidade e pela correção das lacunas é um documento, e não um programa. A política existe porque foi criada. As lacunas de implementação existem porque ninguém é avaliado por fechá-las. A titularidade e a responsabilização pela governança são os mecanismos organizacionais que transformam a política em prática.
- Revisar a documentação das políticas em vez de testar a implementação: qualidade da política ou implantação real dos controles
- Não pedir evidências da implantação dos controles: sistemas, configurações ou artefatos específicos que demonstrem a implementação
- Política sem testes de implementação: nenhum programa de auditoria ou de testes de conformidade para medir a aderência à política
- Nenhuma responsabilização pela governança: a política existe sem um responsável nomeado pela implementação e pela medição da conformidade
- Correção de lacunas não acompanhada: lacunas identificadas entre política e implementação não acompanhadas até a correção com prazos definidos
Como é uma boa prática
Programas maduros de governança de dados tratam a política como a especificação e os testes de implementação como a garantia. A documentação de governança descreve os requisitos. Os controles técnicos os implementam. Os programas de auditoria testam se a implementação corresponde aos requisitos. As lacunas de conformidade são acompanhadas com prazos de correção. E o responsável pela governança consegue apresentar evidências de implementação para qualquer requisito da política, e não apenas documentação de que o requisito existe.
- Avaliação da governança baseada em evidências: para cada requisito da política, evidência específica de implementação (implantação de ferramenta, configuração, log de auditoria ou registro operacional)
- Programa de testes de conformidade da governança: auditorias internas programadas que testam a prática real em relação aos requisitos da política
- Acompanhamento da correção de lacunas: lacunas entre política e implementação documentadas com responsáveis, prazos e status atual
- Titularidade nomeada da governança: responsável específico pelo progresso da implementação e pela medição da conformidade
- Ciclo regular de revisão da governança: requisitos das políticas revisados em relação à implementação atual, com as lacunas tratadas por meio de correções acompanhadas
Ferramentas
Transformar a política de governança de dados em controles operacionais exige ferramentas de classificação, retenção e testes de conformidade.
Plataformas de governança de dados: Collibra, Alation, Microsoft Purview
As plataformas de governança de dados oferecem a infraestrutura operacional para implementar políticas de governança: gerenciar catálogos de dados, aplicar políticas de classificação, aplicar cronogramas de retenção e acompanhar a conformidade com os requisitos de governança. O Collibra oferece especificamente a gestão de fluxos de trabalho de governança, que acompanha a implementação das políticas e identifica lacunas. Para profissionais de TPRM, perguntar se o fornecedor utiliza uma plataforma de governança de dados para operacionalizar suas políticas revela se a governança existe como documentação ou como um programa implementado.
Plataformas de GRC: ServiceNow GRC, MetricStream, RSA Archer
As plataformas de GRC apoiam o acompanhamento da conformidade da governança, mapeando os requisitos das políticas para controles, avaliando a implementação dos controles e acompanhando a correção das lacunas identificadas. Para profissionais de TPRM, perguntar se o fornecedor utiliza uma plataforma de GRC para acompanhar a conformidade com sua própria política de governança de dados é uma pergunta específica sobre a responsabilização pela implementação.
Testes de conformidade: Drata, Vanta, Secureframe
As plataformas automatizadas de testes de conformidade monitoram continuamente a implementação dos controles em relação aos requisitos de governança, fornecendo evidências em tempo real de que os controles configurados atendem ou não aos padrões das políticas. O Drata e o Vanta automatizam especificamente a coleta de evidências para marcos de conformidade, incluindo o SOC 2, que se sobrepõe significativamente aos requisitos de governança de dados. Para profissionais de TPRM, perguntar se o fornecedor utiliza monitoramento automatizado de conformidade revela se a conformidade da governança é medida continuamente ou atestada periodicamente.
Desafios de governança
O desafio de governança da transformação de políticas em aplicação é a priorização. As políticas de governança são abrangentes por concepção: cobrem todos os cenários de manuseio de dados que o autor da política conseguiu prever. Implementar todos os controles técnicos necessários para aplicar integralmente uma política de governança abrangente exige um investimento significativo de engenharia, que precisa competir com o desenvolvimento de funcionalidades, a correção de problemas de segurança e as prioridades operacionais. A maioria das organizações implementa primeiro os controles de maior prioridade e trata os requisitos de menor prioridade ao longo do tempo, uma abordagem razoável que produz uma lacuna persistente entre a completude da política e a completude da implementação.
Para programas de TPRM, a abordagem prática de governança é perguntar aos fornecedores sobre sua postura de conformidade da governança em relação aos requisitos específicos mais relevantes para os dados que o cliente compartilha. Um fornecedor que ainda não automatizou a retenção para todas as categorias de dados pode tê-la automatizado para as categorias específicas em que os dados do cliente se enquadram. Um fornecedor com doze lacunas de DPA pode ter DPAs com todos os suboperadores que lidam com os dados daquele cliente específico. A lacuna na implementação abrangente pode ser menos relevante para o risco dos dados de um cliente específico do que a lacuna nas políticas específicas que regem os dados desse cliente.
- Solicitar evidências de implementação dos requisitos específicos da política relevantes para os dados do cliente, e não uma confirmação geral da política
- Perguntar sobre os testes de conformidade da governança: se o fornecedor testa a prática real em relação aos requisitos da política
- Perguntar sobre o acompanhamento da correção de lacunas: lacunas conhecidas com responsáveis e prazos
- Perguntar sobre a titularidade da governança: quem responde pelo progresso da implementação
- Foco nas políticas relevantes para o cliente: requisitos de retenção, criptografia e suboperadores para as categorias específicas de dados que o cliente compartilha
Se você faz parte de uma equipe pequena
Escolha três requisitos da política de governança de dados do seu fornecedor que sejam mais relevantes para os dados que você compartilha com ele (período de retenção, criptografia em nível de campo para a sua categoria de dados e DPA com os suboperadores que tratam seus dados) e peça evidências específicas de implementação de cada um. Não a seção da política. A evidência. Uma automação de retenção configurada que mostre o cronograma de eliminação da sua categoria de dados. A configuração de criptografia que mostre que a criptografia em nível de campo está implantada para a sua categoria de dados. A lista de suboperadores com a confirmação do DPA. Três requisitos de política, três evidências. Esse exercício dirá mais sobre a maturidade da governança do que a revisão do documento de política de quarenta páginas.
- Escolher três requisitos específicos da política mais relevantes para os seus dados e pedir evidências de implementação
- Solicitar a automação de retenção configurada que mostre o cronograma de eliminação das suas categorias de dados
- Solicitar a configuração de criptografia que mostre os campos criptografados para o seu tipo de dados
- Solicitar a lista de suboperadores com a confirmação do DPA de cada um
O que exigir
Pergunte diretamente:
“Para os requisitos de classificação de dados da sua política de governança, vocês podem nos mostrar as ferramentas de classificação implantadas e o status atual de classificação das categorias de dados que compartilhamos com vocês?”
“Para os requisitos de retenção da sua política de governança, vocês podem nos mostrar os processos de eliminação automatizada configurados para as categorias de dados que compartilhamos com vocês, especificamente o cronograma de eliminação e um log de eliminação recente?”
“Quando foi feita a última auditoria interna para testar a conformidade com a sua política de governança de dados? Vocês podem compartilhar as constatações e o status da correção das lacunas identificadas?”
O que esperar como evidência
- Evidências da implantação das ferramentas de classificação: não a política, mas o sistema implantado
- Configuração da automação da retenção: não o cronograma da política, mas o processo de eliminação configurado
- Constatações de auditoria interna e status da correção: evidências dos testes de conformidade da governança
- Controle de correção de lacunas: lacunas de implementação conhecidas com responsáveis e prazos
Um fornecedor que responde à solicitação de evidências de classificação com “nossa política de governança de dados exige classificação” apresentou a política novamente. Peça a ferramenta de classificação que implementa a política, a cobertura da classificação em todo o ambiente e a data em que a última varredura de classificação foi executada. A política descreve o requisito. A evidência descreve a realidade.
Como comprovar
As lacunas entre governança e aplicação são examinadas especificamente em auditorias SOC 2 Tipo II, em avaliações de certificação ISO 27001 e em revisões de conformidade regulatória. Demonstrar a devida diligência exige evidências de que a implementação da governança foi testada em relação aos requisitos das políticas, e não apenas de que a documentação de governança foi revisada.
- Registros de evidências de implementação dos requisitos de políticas relevantes para o cliente
- Documentação das constatações de auditoria interna e do status da correção
- Registros de acompanhamento da correção das lacunas identificadas entre política e implementação
- Documentação do programa de testes de conformidade da governança
Principal conclusão
A política de governança descreve o que a organização pretende fazer com os dados. Os controles determinam o que realmente acontece. Uma política de quarenta páginas aprovada pelo conselho que nunca foi testada em relação à prática real é um documento sobre intenções. O sistema de classificação que deveria ter sido implantado: nunca foi implantado. A automação da retenção que deveria ter sido configurada: nunca foi configurada. Os DPAs que deveriam existir com todos os suboperadores: faltavam para doze deles. A política descrevia tudo isso como implementado. A auditoria não encontrou nada disso. Avaliar a governança de dados significa pedir evidências de controles, e não evidências de documentação. A política é a especificação. A evidência é a garantia. Peça a evidência.