A resposta de uma empresa global de varejo à notificação de violação de um fornecedor demonstrou um padrão de falha que a revisão pós-incidente chamou de “responsabilidade distribuída sem nenhum responsável”. Quando o fornecedor notificou a empresa de varejo sobre uma violação que afetava dados do programa de fidelidade de clientes, a notificação chegou às 9:14 da manhã. Ao meio-dia, duas horas e quarenta e seis minutos depois, três equipes diferentes haviam analisado a notificação, confirmado que dados de clientes estavam envolvidos e estabelecido que a violação acionava as obrigações regulatórias de notificação da empresa. A questão de quem era responsável pela decisão de notificar os clientes afetados, a decisão específica com um prazo regulatório associado, havia sido escalonada quatro vezes sem solução. A equipe jurídica a escalonou para a unidade de negócio porque a comunicação com clientes era uma função de negócio. A unidade de negócio a escalonou para a equipe de IR porque se tratava de um incidente de segurança. A equipe de IR a escalonou para o jurídico porque exigia uma decisão jurídica de divulgação. O jurídico a escalonou de volta para a unidade de negócio. Cada equipe era responsável em parte por aspectos relevantes: o jurídico, pela interpretação regulatória; a unidade de negócio, pelo relacionamento com os clientes; e a equipe de IR, pela avaliação técnica do escopo. Ninguém era responsável pela decisão em si, a decisão integrada que exigia contribuições das três equipes e a autoridade de uma só. A decisão foi finalmente tomada às 5:47 da tarde, oito horas e trinta e três minutos após a chegada da notificação, pelo diretor jurídico da empresa, que não havia participado de nenhuma das cadeias de escalonamento.
O que é, de fato, o problema da confusão sobre a responsabilidade por incidentes?
A confusão sobre a responsabilidade por incidentes é a ausência de uma única pessoa ou equipe com autoridade clara e previamente atribuída para tomar decisões específicas de alto impacto durante um incidente de segurança. Ela se manifesta quando os incidentes exigem contribuições de várias equipes (jurídico, segurança, negócio, comunicação) e a integração dessas contribuições em uma decisão exige uma autoridade que não foi atribuída explicitamente a nenhuma das equipes envolvidas. O resultado é o escalonamento circular: cada equipe escalona para outra que tem autoridade sobre uma dimensão diferente da decisão, e a decisão circula sem solução até que uma pessoa suficientemente sênior seja contatada diretamente.
O problema de uma única decisão com várias contribuições é a causa estrutural. As decisões de alto impacto em incidentes (notificar ou não os clientes, notificar ou não os reguladores, aceitar ou não uma exigência de resgate, tirar ou não um serviço do ar) exigem contribuições de vários domínios: a interpretação jurídica das obrigações de notificação, a avaliação técnica do escopo do que foi efetivamente acessado, a avaliação de negócio do impacto operacional e a avaliação de comunicação da abordagem de divulgação. Cada uma dessas contribuições vem de uma equipe diferente. A decisão em si, que integra todas as contribuições e exige um curso de ação firme, requer uma autoridade separada de quem fornece as contribuições.
O mecanismo do ciclo de escalonamento é o padrão de falha operacional. Quando a autoridade não é atribuída previamente, as equipes que recebem pedidos de decisão além da sua autoridade escalonam para a equipe seguinte, que também não tem a autoridade integrada, e esta escalona novamente. Cada escalonamento acrescenta atraso. Cada escalonamento sem solução aumenta a pressão sobre quem acaba decidindo, que é contatado sem se beneficiar da deliberação anterior à cadeia de escalonamento. O diretor jurídico que toma a decisão oito horas depois a toma com menos tempo e menos contexto do que a decisão merecia, porque a cadeia de escalonamento consumiu oito horas que deveriam ter sido usadas para uma deliberação estruturada.
- Autoridade de decisão não atribuída: funções atribuídas, mas sem autoridade de decisão
- Decisão com várias contribuições e sem autoridade integradora
- Escalonamento circular: três equipes escalonando umas para as outras
- Prazo regulatório correndo durante o escalonamento: oito horas consumidas pela ambiguidade sobre a responsabilidade
- Autoridade sênior ausente da cadeia de escalonamento: o GC só é contatado depois que o ciclo de escalonamento termina
Por que isso importa
A confusão sobre a responsabilidade por incidentes é importante para TPRM porque a notificação de violação do fornecedor inicia o prazo regulatório do cliente, e o ciclo de escalonamento do cliente é o mecanismo que determina quanto desse prazo é consumido antes que uma decisão de notificação seja tomada. Oito horas de escalonamento circular em uma janela de notificação de setenta e duas horas do GDPR representam onze por cento do tempo de resposta disponível consumidos por uma lacuna interna de responsabilização. Resolver a confusão sobre a responsabilidade por incidentes está inteiramente sob o controle do cliente, antes da notificação de violação do fornecedor que a desencadeia.
Onde a maioria das equipes erra
A falha mais recorrente é confundir a atribuição de funções com a atribuição de autoridade de decisão. Planos de IR que atribuem equipes aos incidentes não atribuem automaticamente a autoridade para tomar as decisões integradas que exigem as contribuições de todas as equipes.
- Atribuição de funções confundida com autoridade de decisão
- Nenhum responsável único pelas decisões de alto impacto em incidentes
- Cadeia de escalonamento não definida previamente: quem é chamado quando as três equipes chegam a um impasse
- Autoridade sênior ausente do primeiro caminho de notificação em incidentes graves
- Matriz de autoridade de decisão não testada antes que os incidentes exponham as lacunas
Como é uma boa prática
Modelos maduros de responsabilidade por incidentes designam autoridades de decisão específicas para tipos definidos de decisão em incidentes (pessoas específicas com autoridade previamente atribuída para tomar decisões integradas de notificação, de contenção e de escalonamento) e testam essas designações por meio de exercícios de mesa antes que os incidentes as exijam.
- Responsável específico pela decisão para cada tipo de decisão de alto impacto em incidentes
- Matriz de autoridade de decisão: qual pessoa é responsável por qual tipo de decisão
- Autoridade sênior no primeiro caminho de notificação em incidentes graves
- A cadeia de escalonamento termina em um nome: uma pessoa específica que decide se os responsáveis pelas decisões não puderem decidir
- Autoridade de decisão testada em exercício de mesa: exercícios que envolvem especificamente a decisão, e não apenas as contribuições
Ferramentas
Gestão de incidentes: ServiceNow, PagerDuty com fluxo de decisão
Plataformas de gestão de incidentes com políticas de escalonamento configuráveis podem implementar o roteamento por autoridade de decisão, acionando automaticamente o responsável designado pela decisão quando um incidente chega a um ponto de decisão definido. Para profissionais de TPRM, perguntar se a plataforma de gestão de incidentes do fornecedor implementa o roteamento por autoridade de decisão é uma pergunta específica sobre a automação da responsabilidade na resposta interna do próprio fornecedor.
Desafios de governança
O desafio de governança na responsabilidade por incidentes é a conversa sobre a atribuição de autoridade. Designar pessoas específicas com autoridade para tomar decisões de notificação, decisões com consequências jurídicas, financeiras e reputacionais, exige conversas explícitas sobre o escopo da autoridade, a responsabilização e o apoio da alta liderança. Essas conversas são mais fáceis antes de um incidente do que durante ele.
- Designar responsáveis nomeados específicos para cada tipo de decisão de alto impacto
- Incluir o responsável pela decisão no primeiro caminho de notificação em incidentes graves
- Testar a autoridade de decisão em exercício de mesa: exercícios que chegam ao ponto de decisão, e não apenas às contribuições
- Definir o ponto final do escalonamento: quem é contatado quando os responsáveis pelas decisões não estão disponíveis
- Revisar a autoridade de decisão anualmente: o responsável muda quando o pessoal muda
Se você faz parte de uma equipe pequena
Identifique as três decisões de maior impacto que a sua organização precisará tomar em um cenário de violação em um fornecedor: se deve notificar os clientes, se deve notificar os reguladores e se deve aceitar uma exigência de resgate. Para cada uma dessas três decisões, escreva um nome: a pessoa específica que tem autoridade para tomar essa decisão. Não uma equipe. Não uma função. Um nome. Teste se essa pessoa sabe que tem essa autoridade e se dispõe das informações de que precisa para exercê-la. Esse exercício, feito em trinta minutos antes de um incidente, fecha o ciclo de escalonamento circular antes que ele comece.
- Identificar as três decisões de maior impacto em uma violação em um fornecedor
- Escrever um nome para cada decisão: a autoridade, e não a equipe
- Confirmar que a pessoa nomeada sabe que tem essa autoridade
- Testar a autoridade de decisão no próximo exercício de mesa
O que exigir
Pergunte diretamente:
“Quando a notificação de violação do seu fornecedor chegar, quem especificamente, uma única pessoa nomeada, tem autoridade para tomar a decisão de notificar os clientes, e com que rapidez essa pessoa pode ser contatada às 21h de uma terça-feira?”
O que esperar como evidência
- Responsável nomeado pela decisão de notificar os clientes
- Responsável nomeado pela decisão de notificação regulatória
- Contatos fora do horário comercial dos responsáveis pelas decisões
- Confirmação, em exercício de mesa, de que os responsáveis pelas decisões foram testados
Um fornecedor cuja notificação de violação inicia o prazo regulatório do cliente deve suscitar internamente uma pergunta imediata: quem é responsável pela decisão? Responda a essa pergunta antes que a notificação chegue. Um nome. Para cada decisão. Testado antes de ser necessário.
Como comprovar
- Documentação da matriz de autoridade de decisão
- Registros dos responsáveis nomeados pelas decisões
- Registros de exercícios de mesa que demonstram os pontos de decisão
- Documentação da cadeia de escalonamento com os pontos finais de decisão
Principal conclusão
Três equipes. Quatro escalonamentos. Oito horas e trinta e três minutos. O prazo regulatório estava correndo desde as 9:14 da manhã. O diretor jurídico tomou a decisão às 5:47 da tarde. A decisão levou trinta minutos depois que chegou à autoridade certa. Oito horas foram consumidas até chegar a essa autoridade, em um ciclo de escalonamento que não tinha um ponto final definido. Funções são contribuições para as decisões. A autoridade é a função de tomar a decisão. Atribuir funções sem atribuir autoridade produz o escalonamento circular que consome o tempo regulatório. Identifique as decisões. Nomeie os responsáveis. Teste a autoridade antes que a notificação do fornecedor inicie a contagem do prazo.