Má gestão do ciclo de vida dos dados

A auditoria de governança de dados de uma empresa de energia constatou que um antigo fornecedor de análise de dados, cujo contrato havia terminado três anos antes, ainda mantinha os dados operacionais da empresa em seu ambiente. A empresa havia enviado, no término do contrato, um e-mail de desligamento solicitando a eliminação dos dados. A equipe de gestão de contas do fornecedor o recebeu e o encaminhou à equipe de dados. A equipe de dados não tinha um processo formal de eliminação para clientes desligados. O e-mail foi recebido, lido, confirmado e depois arquivado sem que nenhuma eliminação fosse executada, porque não havia sistema nem processo que transformasse um e-mail de solicitação de eliminação em um evento de eliminação real. Os dados ficaram nos sistemas do fornecedor por três anos, protegidos pelos controles de segurança que o fornecedor aplicava a todos os seus dados, acessíveis à equipe do fornecedor e incluídos em todos os ciclos de backup executados desde o fim da relação. A equipe de governança só descobriu isso quando cruzou sua lista de fornecedores com uma solicitação de inventário de dados motivada por uma nova auditoria regulatória. Três anos de retenção não autorizada. Ninguém havia feito nada de errado intencionalmente. O processo simplesmente não tinha mecanismo de encerramento.

O que é, de fato, a má gestão do ciclo de vida dos dados?

A gestão do ciclo de vida dos dados é a governança dos dados desde a criação ou a coleta, passando pelo uso, pela retenção e pelo arquivamento, até a eventual eliminação ou destruição. Um ciclo de vida bem gerido garante que os dados sejam coletados apenas para finalidades definidas, retidos apenas pelo tempo que essas finalidades exigirem e eliminados quando a finalidade for cumprida ou o período de retenção expirar, com documentação de que cada etapa foi concluída. O ciclo de vida se aplica a todas as cópias dos dados em todos os sistemas em que existem, e não apenas ao registro principal.

O padrão de má gestão surge de uma assimetria estrutural entre a governança da criação de dados e a governança da eliminação de dados. A criação de dados costuma ser bem governada, porque criar um novo registro de cliente, iniciar um novo contrato ou integrar uma nova relação com fornecedor aciona atividades visíveis e documentadas que exigem autorização, documentação e confirmação. A eliminação de dados não tem governança equivalente na maioria das organizações: ou é acionada por uma solicitação manual sem mecanismo automatizado de execução, ou é automatizada por políticas de retenção que podem não abranger todos os locais de dados, ou simplesmente não é acionada, porque ninguém é responsável por garantir que a eliminação ocorra.

O cenário de fim de relação é onde a má gestão do ciclo de vida produz com mais frequência uma exposição residual significativa de dados. Quando uma relação com fornecedor termina, as obrigações de governança de dados não terminam: os dados acumulados durante a relação devem ser devolvidos ou eliminados, a eliminação deve abranger todas as cópias em todos os sistemas e a eliminação deve ser verificada, e não apenas solicitada. A maioria dos processos de desligamento trata da metade dessa obrigação referente à solicitação: enviar o aviso de eliminação e receber a confirmação. Pouquíssimos tratam da metade referente à verificação: confirmar, por meio de evidências, que a eliminação foi de fato executada em todos os sistemas, inclusive backups, ambientes de desenvolvimento, réplicas de análise e dados mantidos por suboperadores.

A má gestão do ciclo de vida dos dados se concentra em cinco lacunas específicas de governança:

Solicitação de eliminação sem mecanismo de execução: avisos de eliminação enviados e confirmados sem um processo formal que transforme a solicitação em eliminações executadas em todos os locais de dados
Processo de desligamento sem verificação: desligamento de fornecedores que confirma que a solicitação foi enviada, mas não verifica se a eliminação foi concluída em todos os sistemas
Lacunas na política de retenção para dados inativos: políticas de retenção que regem os dados ativos, mas não têm mecanismo para acionar a eliminação quando os dados se tornam inativos pelo término da relação ou pelo cumprimento da finalidade
Governança do ciclo de vida que termina nos sistemas principais: processos de eliminação que abrangem os bancos de dados principais, mas não os backups, as réplicas de análise, os ambientes de desenvolvedores e os dados mantidos por suboperadores
Nenhuma responsabilidade pelo ciclo de vida: gestão do ciclo de vida dos dados tratada como responsabilidade compartilhada, o que faz com que ninguém seja especificamente responsável pela execução e pela verificação da eliminação

Por que isso importa

A má gestão do ciclo de vida dos dados é importante para TPRM porque a retenção não autorizada de dados, ou seja, manter dados além do período autorizado pela finalidade do tratamento, cria risco residual puro, sem nenhum valor de negócio correspondente. Cada dia em que os dados persistem além do período de retenção autorizado é um dia em que podem ser violados, acessados por partes não autorizadas, incluídos em uma auditoria regulatória ou tornar-se objeto de uma solicitação de direitos do titular que o fornecedor não consegue atender porque não sabe que os dados ainda existem. O risco se acumula continuamente. O valor gerado pelos dados chegou a zero quando o período de retenção expirou.

A dimensão regulatória é direta e cada vez mais fiscalizada. O princípio da limitação do armazenamento do GDPR, a restrição de retenção do CCPA e os requisitos de retenção do HIPAA criam obrigações de eliminar os dados quando deixam de ser necessários para a finalidade para a qual foram coletados. A retenção não autorizada de dados pessoais além do período autorizado viola esses princípios, independentemente de ter ocorrido qualquer incidente de segurança. A existência dos dados no sistema do fornecedor após o período autorizado, sem o conhecimento do cliente e sem governança por parte do fornecedor, é em si a falha de conformidade.

Para profissionais de TPRM, a avaliação da má gestão do ciclo de vida exige ir além de perguntar se o fornecedor tem uma política de retenção e perguntar se a política tem um mecanismo de encerramento: como a eliminação é acionada, como é executada em todos os locais de dados e como é verificada. Uma política de retenção que existe no papel, mas não tem mecanismo automatizado de execução, é uma política sem controle. A eliminação solicitada há três anos e nunca executada demonstra exatamente o que uma política sem mecanismo de encerramento produz.

Onde a maioria das equipes erra

A falha mais recorrente é tratar a solicitação de eliminação e sua confirmação de recebimento como o fim da obrigação de governança do ciclo de vida dos dados. A solicitação confirma que o cliente cumpriu sua obrigação de solicitar a eliminação. A confirmação de recebimento confirma que o fornecedor recebeu a solicitação. Nenhuma delas confirma que a eliminação foi executada. A etapa de verificação, a evidência de que a eliminação de fato ocorreu em todos os sistemas, é a etapa de governança que a maioria dos processos de desligamento não inclui e que a maioria dos programas de TPRM não exige.

A segunda falha é não estabelecer a governança do ciclo de vida antes do início da relação. Os períodos de retenção, os mecanismos de eliminação e os requisitos de verificação devem ser especificados no acordo de tratamento de dados, e não negociados no desligamento, quando a relação já terminou e o poder de negociação diminuiu. Um DPA que especifica que os dados devem ser eliminados em até trinta dias após o término do contrato, que a eliminação deve abranger todos os sistemas, inclusive backups, e que a evidência da eliminação deve ser fornecida ao cliente cria uma obrigação de ciclo de vida exigível. Um DPA que silencia sobre o ciclo de vida cria uma relação em que as práticas de retenção do fornecedor são inteiramente discricionárias.

Tratar a solicitação de eliminação e a confirmação de recebimento como a conclusão do ciclo de vida: a solicitação foi enviada, a eliminação precisa ser verificada
Nenhum mecanismo de verificação da eliminação: processos de desligamento que confirmam a comunicação, mas não a execução
Requisitos do ciclo de vida ausentes do DPA: períodos de retenção, escopo da eliminação e obrigações de verificação não especificados contratualmente
Escopo da eliminação limitado aos sistemas principais: solicitações de eliminação que abrangem os bancos de dados principais sem acionar a eliminação em backups, réplicas de análise e suboperadores
Nenhuma responsabilidade pelo ciclo de vida: responsabilidade pela eliminação compartilhada em vez de atribuída, resultando em nenhuma execução

Como é uma boa prática

Programas maduros de governança do ciclo de vida dos dados tratam a eliminação como um fluxo de trabalho com gatilho definido, escopo de execução definido, prazo definido e requisito de verificação definido, e não como uma solicitação que pode ou não resultar em ação, conforme o destinatário tenha ou não um processo para dar seguimento a ela.

Aplicação automatizada da retenção: políticas de retenção com gatilhos de eliminação automatizados que são executados sem depender de processos manuais de solicitação
Escopo abrangente da eliminação: eliminação no desligamento que abrange sistemas principais, backups, ambientes de DR, réplicas de análise, ambientes de desenvolvedores e suboperadores
Evidência de verificação da eliminação: evidência documentada da conclusão da eliminação fornecida ao cliente, abrangendo todos os locais dos sistemas
Obrigações do ciclo de vida no DPA: períodos de retenção, escopo da eliminação, prazo e requisitos de verificação especificados contratualmente antes do início da relação
Responsabilidade clara pelo ciclo de vida: função nomeada responsável por executar a eliminação e fornecer evidências de verificação no término do contrato

Ferramentas

A gestão do ciclo de vida dos dados exige tanto os controles técnicos para aplicar a retenção quanto a infraestrutura de processos para verificar a conclusão da eliminação.

Gestão do ciclo de vida dos dados: Microsoft Purview, Veritas, OpenText

As plataformas de gestão do ciclo de vida dos dados oferecem aplicação automatizada das políticas de retenção e fluxos de trabalho de eliminação, acionando a eliminação quando os períodos de retenção expiram e gerando registros de auditoria dos eventos de eliminação. Os recursos de gestão do ciclo de vida dos dados do Microsoft Purview aplicam políticas de retenção em ambientes Microsoft 365. Para profissionais de TPRM, perguntar se o fornecedor utiliza uma plataforma automatizada de DLM com fluxo de trabalho de eliminação e log de auditoria revela se a governança do ciclo de vida é sistemática ou manual.

Gestão do ciclo de vida de contratos: Ironclad, Icertis

As plataformas de CLM com recursos de fluxo de trabalho de desligamento acionam automaticamente os processos de solicitação de eliminação quando os contratos terminam, garantindo que a eliminação seja solicitada no momento certo e acompanhando se as respostas e as evidências de verificação foram recebidas. Para programas de TPRM que gerenciam grandes carteiras de fornecedores, a automação do CLM evita que solicitações de eliminação sejam esquecidas quando os contratos terminam sem um processo de acompanhamento manual.

Inventário e linhagem de dados: Collibra, Alation, BigID

As plataformas de governança de dados mantêm registros de onde os dados existem nos sistemas, fornecendo o inventário que permite que a governança do ciclo de vida abranja todos os locais de dados, e não apenas os sistemas principais. Para profissionais de TPRM, perguntar se o fornecedor mantém um inventário de dados atualizado que permita a eliminação completa em todos os locais é uma pergunta específica sobre a capacidade de governança.

Desafios de governança

O desafio de governança da gestão do ciclo de vida dos dados é o problema do encerramento. Os programas de governança de dados têm práticas bem desenvolvidas para o início do ciclo de vida (entrada de dados, classificação, provisionamento de controles de acesso) porque essas atividades são acionadas por eventos visíveis que exigem ação. O fim do ciclo de vida, a eliminação que deve ocorrer quando a finalidade é cumprida ou o período de retenção expira, é acionado por condições de tempo e de eventos que podem não gerar a mesma atenção automática da governança. A eliminação exige alguém responsável por ela, um mecanismo para executá-la e uma etapa de verificação para confirmá-la. As três coisas costumam estar ausentes.

Para programas de TPRM, a resposta prática de governança é tratar o encerramento do ciclo de vida como um requisito contratual, e não como uma obrigação de cortesia. Os requisitos de prazo, escopo e verificação da eliminação especificados no DPA transformam a eliminação de uma solicitação que o fornecedor pode ou não atender em uma obrigação que o fornecedor deve cumprir e cujo cumprimento deve demonstrar. A cláusula do DPA é o mecanismo de governança. A evidência de verificação é a garantia.

Especificar as obrigações do ciclo de vida no DPA antes do início da relação: períodos de retenção, escopo da eliminação abrangendo todos os sistemas, prazo e requisitos de evidência de verificação
Incluir a verificação da eliminação na lista de verificação de desligamento: evidência da execução da eliminação em todos os sistemas, e não apenas a confirmação do recebimento da solicitação
Acompanhar as eliminações pendentes por meio da gestão do ciclo de vida dos contratos: fluxo de trabalho automatizado do término do contrato ao recebimento da evidência de eliminação
Fazer periodicamente o cruzamento dos fornecedores atuais com o inventário de dados: identificar dados de antigos fornecedores que persistem em ambientes de dados ativos
Exigir dos fornecedores uma responsabilidade nomeada pelo ciclo de vida: quem é responsável por executar a eliminação e fornecer evidências de verificação

Se você faz parte de uma equipe pequena

Faça uma auditoria que a maioria dos programas de TPRM nunca fez: cruze sua lista de relações encerradas com fornecedores com o seu inventário de dados para identificar antigos fornecedores que ainda possam manter seus dados. Para toda relação encerrada há mais de três meses em que você não consiga apresentar um certificado de verificação da eliminação (não uma solicitação de eliminação, mas uma verificação da eliminação), abra uma solicitação de acompanhamento. Os dados que a empresa de energia encontrou três anos após o término do contrato não foram descobertos por uma governança proativa. Foram descobertos por uma auditoria que comparou o que deveria ter sido eliminado com o que se sabia que ainda existia.

Cruzar as relações encerradas com fornecedores com o inventário de dados: identificar retenção não autorizada
Distinguir, em seus registros, as solicitações de eliminação da verificação da eliminação: a primeira é comunicação, a segunda é garantia
Acrescentar requisitos de escopo e verificação da eliminação na próxima renovação do DPA
Atribuir a responsabilidade pelo ciclo de vida a uma função nomeada nos procedimentos de desligamento de fornecedores

O que exigir

Pergunte diretamente:

“Quando nosso contrato terminar e solicitarmos a eliminação dos nossos dados, qual é o seu processo formal para executar essa eliminação em todos os sistemas (bancos de dados principais, backups, ambientes de desenvolvimento e suboperadores) e que evidência vocês fornecem para verificar a conclusão?”

“Quem, especificamente, é responsável por executar a eliminação dos dados e fornecer evidências de verificação no término do contrato? É uma função nomeada com um processo definido ou uma responsabilidade compartilhada que depende de as pessoas certas receberem o e-mail certo?”

“Vocês podem confirmar que não mantêm dados de relações com clientes encerradas há mais tempo do que o período de retenção especificado? E quando fizeram pela última vez uma verificação de inventário para confirmar isso?”

O que esperar como evidência

Documentação do processo de eliminação: fluxo de trabalho formal da solicitação à execução e à verificação
Responsabilidade nomeada pelo ciclo de vida: função específica responsável pela execução e pelo fornecimento de evidências
Evidência de verificação da eliminação de um desligamento recente de cliente, demonstrando que o processo funciona
Confirmação do inventário de retenção não autorizada: quando foi verificado pela última vez e com que resultado

Um fornecedor que responde à pergunta sobre o processo de eliminação com “processamos as solicitações de eliminação assim que as recebemos” descreveu uma intenção de agir sobre as solicitações. Pergunte especificamente qual é o fluxo de trabalho formal que transforma uma solicitação recebida em eliminação executada em todos os sistemas e gera evidências de verificação. A intenção de agir é o ponto de partida. O fluxo de trabalho que garante que a ação ocorra é o controle.

Como comprovar

A limitação do armazenamento do GDPR, os direitos de exclusão do CCPA e os requisitos de descarte do HIPAA criam obrigações que se estendem à verificação da eliminação, e não apenas à sua solicitação. Demonstrar a devida diligência exige evidências de que a eliminação foi executada e verificada, e não apenas solicitada.

Documentação das obrigações do ciclo de vida no DPA: períodos de retenção, escopo da eliminação e requisitos de verificação especificados
Evidência de verificação da eliminação para relações encerradas com fornecedores: certificados ou equivalentes que abranjam todos os sistemas
Registros da lista de verificação de desligamento, incluindo a conclusão da etapa de verificação
Registros da auditoria do inventário de retenção não autorizada

Principal conclusão

Os programas de governança de dados são construídos em torno da criação. A classificação acontece na integração. Os controles de acesso são provisionados no início da relação. As revisões de segurança acontecem durante a relação. A eliminação é a etapa de governança que encerra o ciclo de vida, e é a que a maioria dos programas não tem mecanismo confiável para concluir. A solicitação de eliminação é enviada. A confirmação de recebimento chega. Os dados persistem por três anos porque a confirmação de recebimento não era uma eliminação e ninguém era responsável por verificar a diferença. A má gestão do ciclo de vida não resulta de negligência nem de intenção. Resulta de um processo que governa o início e o meio e trata o fim como opcional. O fim não é opcional. É onde o risco criado pela relação é resolvido ou carregado adiante indefinidamente.