Compliance e GRC

Para que serve esta prateleira

Software que acompanha obrigações de segurança e privacidade: os controles que você afirma operar, as evidências de que funcionam, as políticas que as pessoas precisam ler e os questionários que os clientes enviam antes de assinar.

Os compradores chegam aqui por um de dois motivos. Um negócio está travado por falta de um certificado, ou um órgão regulador passou a se interessar. O primeiro é comum e vem com um prazo, e é por isso que esta categoria vende tanto a velocidade.

Ferramentas que realmente aplicam controle de acesso e de segredos ficam em segurança. Assinatura de contratos e fluxos de aprovação pertencem a assinatura eletrônica e contratos.

O que esses produtos realmente fazem

Ninguém aqui emite um certificado. O software coleta evidências, as mapeia para um framework e as mantém atualizadas entre as auditorias. Um auditor credenciado ainda examina a sua prática e forma uma opinião.

Entender essa fronteira evita a decepção cara desta categoria. Uma plataforma pode eliminar meses de coleta de capturas de tela. Ela não consegue encurtar a janela em que um auditor precisa ver os seus controles em operação, e não consegue passar numa auditoria em nome de uma empresa que não faz o que afirma fazer.

O trabalho se divide em quatro partes: escrever políticas, implementar controles, provar que eles funcionam e responder a perguntas sobre os três. Os produtos diferem no quanto cobrem de cada parte.

Frameworks e quanto há de sobreposição

Comece pelos frameworks que os clientes realmente pedem, não pela lista mais longa de um site.

• Atestados de segurança exigidos em vendas corporativas, com uma janela de observação antes de o relatório existir.
• Padrões certificáveis com um ciclo formal de auditoria e visitas de acompanhamento entre elas.
• Regulamentação de privacidade, em que as obrigações são legais, e não certificadas.
• Regras setoriais para saúde, dados de cartões de pagamento, setor público ou finanças, que se sobrepõem aos conselhos gerais.
• Questionários de clientes, sem padrão, intermináveis e o motivo pelo qual existem bibliotecas de respostas.

A maioria dos controles se repete entre os frameworks. As boas plataformas mapeiam uma mesma evidência para todos os frameworks que ela satisfaz, o que torna o segundo padrão muito mais barato que o primeiro. Confira esse mapeamento para a sua combinação específica.

O monitoramento contínuo é a parte que vale pagar

Evidência coletada uma vez por ano é uma fotografia. Os controles se desviam no dia seguinte ao registro.

Conecte a plataforma ao seu provedor de identidade, às contas na nuvem, aos repositórios de código e às ferramentas de endpoint, e ela poderá verificar continuamente se as revisões de acesso aconteceram, se as máquinas estão criptografadas, se quem saiu foi removido e se as mudanças em produção foram revisadas.

Faça três perguntas sobre isso. Quais integrações existem para os sistemas que você realmente usa. O que acontece quando uma verificação falha, já que um alerta sem dono é decoração. E se os achados podem ser atribuídos, acompanhados e encerrados dentro da ferramenta, em vez de copiados para uma planilha.

Pessoas, políticas e treinamento

Políticas que ninguém lê são um achado à espera de acontecer.

Procure distribuição com confirmação de leitura, versionamento que resista a um auditor perguntando o que a política dizia em março e lembretes que vão para a pessoa e não para uma caixa de entrada compartilhada. O treinamento de conscientização em segurança vem incluído em alguns fornecedores e é vendido à parte em outros, e a versão incluída costuma ser adequada.

As listas de verificação de entrada e saída de pessoas amarram tudo isso, porque o acesso deixado para trás depois que alguém sai é o achado mais comum em uma primeira auditoria.

Quanto o ano realmente custa

A assinatura da plataforma é uma linha de três. O auditor é a segunda, com frequência maior. O teste de invasão, se o framework ou um cliente o esperar, é a terceira.

O preço da plataforma costuma escalar por número de funcionários, por framework e por sistemas conectados, com a coleta automática de evidências às vezes reservada a um plano acima do de entrada. Peça o valor completo do primeiro ano, incluindo qualquer taxa de implantação, e depois pergunte como fica a renovação quando a implementação termina. Os hábitos por trás desses números estão detalhados em o que as páginas de preços escondem.

Sequenciar uma primeira certificação

A ordem do trabalho importa mais que a plataforma, porque a maior parte do atraso vem de coisas que o software não consegue acelerar.

Comece pelo escopo. Quais sistemas, quais locais e quais partes do negócio estão cobertos define quantas evidências existem para coletar, e um escopo amplo demais é o custo autoinfligido mais comum.

Depois corrija os controles que vão claramente falhar: revisões de acesso que ninguém faz, ex-funcionários com contas ativas, máquinas sem criptografia e políticas escritas anos atrás e nunca lidas. Isso leva semanas e não pode ser encurtado por ferramentas.

Traga a plataforma quando isso estiver em andamento, para que ela colete evidências de práticas que já existem, em vez de documentar a ausência delas.

Marque o auditor cedo. A disponibilidade, e não a prontidão, é frequentemente o que define a data.