Um fornecedor de serviços financeiros de médio porte havia investido significativamente no desenvolvimento de políticas de governança de dados: um marco abrangente que cobria classificação de dados, cronogramas de retenção, procedimentos de revisão de acesso, mapeamento de dados e resposta a incidentes. O marco era bem estruturado, abrangia os domínios certos e havia sido avaliado favoravelmente por auditores externos, que destacaram o desenho abrangente do programa. O que os auditores não haviam testado era a infraestrutura operacional por trás do programa. O sistema de classificação era mantido em uma pasta de trabalho do Excel compartilhada, com atualizações manuais feitas por dois analistas de governança de dados. A eliminação por retenção era feita manualmente quando os analistas executavam uma consulta mensal e identificavam os registros a eliminar, um processo que atrasava com frequência por causa de outras prioridades. As revisões de acesso eram feitas pela circulação, por e-mail, de listas de usuários exportadas: os gestores respondiam aos e-mails para confirmar ou negar o acesso, e as respostas eram acompanhadas manualmente em uma planilha. O mapeamento de dados era um diagrama do Visio atualizado pela última vez catorze meses antes. O programa descrevia uma capacidade de governança madura. A realidade operacional eram processos manuais em uma escala que exigia automação, geridos por uma equipe de dois analistas usando software de produtividade de escritório.
Qual é, de fato, o problema das lacunas nas ferramentas de governança de dados?
As ferramentas de governança de dados são a infraestrutura técnica que operacionaliza as políticas de governança: as plataformas, ferramentas e sistemas automatizados que executam a classificação, aplicam a retenção, gerenciam as revisões de acesso, mantêm os inventários de dados e monitoram a conformidade de forma contínua, em vez de depender de processos manuais periódicos. A lacuna de ferramentas surge quando as políticas de governança são desenhadas com o rigor de um programa automatizado e implementadas com os recursos de um programa manual: quando a política especifica a eliminação automatizada por retenção, mas a implementação é uma consulta mensal feita por um analista; quando a política especifica classificação contínua, mas a implementação são atualizações manuais periódicas em uma planilha.
O problema da escala é o desafio fundamental da governança manual. Os ambientes de dados corporativos geram dados continuamente, em dezenas de sistemas, em volumes que exigem processamento automatizado para serem governados de forma consistente. Um programa de classificação que depende da revisão manual de analistas para classificar novos elementos de dados ficará para trás em qualquer ambiente que crie dados mais rápido do que os analistas conseguem revisá-los, o que vale para a maioria dos ambientes. Um programa de retenção que depende de consultas manuais mensais terá atrasos de eliminação que crescem nos períodos de maior demanda e diminuem quando os analistas colocam o trabalho em dia. Um programa manual de revisão de acesso levará mais tempo do que um apoiado por ferramentas, estará mais sujeito a aprovações automáticas e terá menor garantia de qualidade em seus resultados.
O problema da consistência é igualmente significativo. Os processos manuais de governança produzem resultados que variam conforme a atenção, a carga de trabalho e a especialização dos analistas. Uma ferramenta de classificação automatizada aplica regras de classificação consistentes a todos os elementos de dados, sempre. Um analista que classifica dados manualmente aplica sua compreensão das regras, que pode variar entre analistas, entre dias e entre contextos de dados. A consistência em escala exige automação, não porque as pessoas não consigam aplicar as regras corretamente, mas porque não conseguem aplicá-las de forma consistente no volume e na frequência que os ambientes de dados corporativos exigem.
- Classificação manual sem ferramentas de descoberta: classificação mantida pelo esforço de analistas, sem descoberta e rotulagem automatizadas
- Retenção manual sem automação do ciclo de vida: eliminação feita por consultas periódicas de analistas, em vez da aplicação automatizada de políticas
- Revisões de acesso por e-mail: revisões de acesso feitas pela circulação de e-mails, em vez de plataformas de IGA com aplicação de fluxos de trabalho
- Mapas de dados estáticos: mapeamento de dados mantido como diagramas atualizados manualmente, em vez de ferramentas de linhagem de dados e catálogo
- Relatórios de conformidade sem ferramentas de monitoramento: evidências de conformidade produzidas por amostragem manual, em vez de monitoramento automatizado contínuo
Por que isso importa
As lacunas nas ferramentas de governança de dados são importantes para TPRM porque determinam a consistência e a escala reais da execução do programa de governança: a distância entre o que a política descreve e o que os processos manuais conseguem entregar. Um fornecedor com políticas de governança abrangentes e nenhuma ferramenta de governança desenhou um programa que não pode ser executado de forma consistente na escala que seu ambiente exige. O programa funcionará quando a atenção dos analistas for suficiente e atrasará quando não for, criando uma postura de governança excelente no desenho e variável na prática.
A implicação regulatória decorre diretamente disso. Um regulador que pede evidências da cobertura da classificação de dados perguntará sobre a cobertura em todo o ambiente de dados, e não apenas na parte que os analistas classificaram manualmente no período atual. Um fornecedor capaz de mostrar cobertura de classificação automatizada em todo o seu ambiente fornece evidências abrangentes. Um fornecedor que classifica elementos de dados manualmente conforme o tempo permite fornece evidências de uma cobertura parcial e intermitente, o que é honesto, mas não é conformidade.
Para profissionais de TPRM, a avaliação das ferramentas transforma a avaliação do programa de governança de uma revisão do desenho em uma avaliação da capacidade operacional, perguntando não apenas se os elementos certos do programa estão presentes, mas se as ferramentas que tornam esses elementos executáveis em escala foram implantadas.
Onde a maioria das equipes erra
A falha mais recorrente é revisar o desenho do programa de governança sem avaliar a infraestrutura operacional de governança. Um desenho de programa que abrange todos os domínios certos é uma evidência positiva da intenção de governança. Se esse desenho é sustentado por ferramentas capazes de executá-lo de forma consistente e em escala é uma questão distinta, que a maioria das avaliações de governança nunca faz.
- Revisar o desenho do programa sem a infraestrutura operacional
- Nenhuma pergunta sobre ferramentas na avaliação de governança: aceitar processos manuais como equivalentes aos automatizados
- Escala não avaliada: dois analistas gerenciando a governança corporativa ou ferramentas automatizadas
- Consistência não avaliada: execução manual ou automatizada da classificação e da retenção
- Roteiro de ferramentas não examinado: se as lacunas de ferramentas conhecidas têm planos de correção
Como é uma boa prática
Programas de governança maduros têm ferramentas implantadas em cada um dos principais domínios de governança: ferramentas de descoberta e classificação, automação da gestão do ciclo de vida, IGA para revisões de acesso, catálogo de dados para inventário e mapeamento e plataformas de GRC ou de monitoramento de conformidade para evidências contínuas de conformidade.
- Ferramentas de descoberta e classificação implantadas: cobertura de classificação automatizada em todo o ambiente de dados
- Automação da gestão do ciclo de vida: aplicação da política de retenção por meio de eliminação automatizada com logs de auditoria
- IGA para revisões de acesso: revisões de acesso com fluxo de trabalho obrigatório e revogação automática de contas não certificadas
- Catálogo de dados para o inventário: inventário de dados mantido continuamente por meio de descoberta automatizada
- Monitoramento de conformidade: monitoramento contínuo de controles, em vez de amostragem manual periódica
Ferramentas
Conjunto de plataformas de governança de dados: Microsoft Purview, Collibra, BigID, SailPoint
As plataformas corporativas de governança de dados oferecem ferramentas integradas de classificação, inventário, gestão do ciclo de vida e governança de acessos. O Microsoft Purview oferece classificação, mapa de dados, proteção da informação e gestão do ciclo de vida em uma plataforma integrada. O Collibra oferece gestão de fluxos de trabalho de governança de dados, catálogo de dados e gestão de políticas. O SailPoint oferece IGA com fluxo de trabalho de revisão de acesso, provisionamento automatizado e gestão do ciclo de vida. Para profissionais de TPRM, perguntar se o fornecedor implantou ferramentas corporativas de governança, em vez de gerenciar a governança por processos manuais e planilhas, revela a lacuna entre o desenho do programa e a capacidade operacional.
Automação de conformidade: Drata, Vanta, Secureframe
As plataformas automatizadas de monitoramento de conformidade coletam continuamente evidências da implementação de controles, substituindo a amostragem manual periódica por painéis de conformidade em tempo real. Para profissionais de TPRM, perguntar se o fornecedor utiliza monitoramento automatizado de conformidade revela se as evidências de conformidade são coletadas continuamente ou reunidas periodicamente por meio de esforço manual.
Desafios de governança
O desafio de governança das lacunas de ferramentas é o problema da priorização de investimentos. As ferramentas de governança (plataformas de classificação, sistemas de IGA, software de gestão do ciclo de vida) exigem orçamento significativo, esforço de implementação e manutenção operacional. Organizações que investiram no desenvolvimento de políticas de governança podem enfrentar restrições orçamentárias que impedem um investimento equivalente em ferramentas de governança, produzindo a lacuna entre desenho e implementação ilustrada pelo cenário de abertura. O caminho a seguir normalmente envolve a adoção gradual de ferramentas, começando pelos domínios de maior impacto (classificação automatizada e IGA para revisões de acesso), seguidos pela gestão do ciclo de vida e pelo monitoramento de conformidade.
- Perguntar se cada domínio de governança conta com ferramentas de apoio: classificação, retenção, revisão de acesso, inventário
- Perguntar sobre a escala: quantos analistas gerenciam o programa de governança e qual volume cobrem manualmente
- Perguntar sobre o roteiro de ferramentas: lacunas conhecidas e planos de aquisição
- Solicitar evidências automatizadas: evidências de conformidade obtidas por monitoramento automatizado ou por amostragem manual
- Distinguir a maturidade do desenho da maturidade operacional: uma política abrangente sem ferramentas é diferente de uma política abrangente com ferramentas implantadas
Se você faz parte de uma equipe pequena
Faça aos fornecedores que alegam ter governança duas perguntas que distinguem a maturidade do desenho da maturidade operacional. Primeira: na classificação de dados, qual ferramenta varre o seu ambiente e aplica rótulos de classificação, e qual porcentagem do seu ambiente de dados tem cobertura atual de classificação automatizada? Segunda: nas revisões de acesso, vocês usam uma plataforma de IGA que revoga automaticamente acessos não certificados, ou as revisões são feitas por e-mail e acompanhadas em planilhas? Essas duas perguntas revelam a realidade das ferramentas por trás da documentação de governança.
- Perguntar qual ferramenta oferece cobertura de classificação automatizada e qual porcentagem do ambiente está coberta
- Perguntar se as revisões de acesso usam uma plataforma de IGA com revogação automática
- Perguntar qual ferramenta de gestão do ciclo de vida aplica a automação da política de retenção
- Solicitar evidências do monitoramento de conformidade: painel automatizado ou relatório de amostragem manual
O que exigir
Pergunte diretamente:
“Na classificação de dados, qual ferramenta automatiza a descoberta e a rotulagem em todo o seu ambiente? E qual porcentagem do total do seu patrimônio de dados tem atualmente classificação automatizada aplicada?”
“Nas revisões de acesso, vocês usam uma plataforma de IGA que revoga automaticamente o acesso de contas não certificadas, ou as revisões são feitas por processos manuais baseados em e-mail ou planilhas?”
“Na gestão do ciclo de vida da retenção, qual ferramenta automatiza a eliminação quando os períodos de retenção expiram? E vocês podem mostrar um log recente de eliminação automatizada que demonstre que o processo é executado?”
O que esperar como evidência
- Nome da ferramenta de classificação e porcentagem de cobertura
- Nome da plataforma de IGA com confirmação da revogação automática
- Ferramentas de gestão do ciclo de vida com log de eliminação automatizada
- Ferramenta de monitoramento de conformidade e painel de conformidade recente
Um fornecedor que responde à pergunta sobre ferramentas de classificação com “nossa equipe de governança gerencia a classificação” confirmou que a classificação é um processo gerenciado. Pergunte especificamente qual ferramenta a automatiza e que porcentagem de cobertura ela alcançou. A equipe de governança descreve a responsabilidade. A ferramenta descreve a escala em que ela opera.
Como comprovar
- Evidências da implantação e da cobertura das ferramentas de classificação
- Confirmação da plataforma de IGA com fluxo de trabalho de revisão de acesso
- Automação da gestão do ciclo de vida com log de eliminação
- Evidências das ferramentas de monitoramento de conformidade
Principal conclusão
Um programa de governança de dados funciona na escala que suas ferramentas suportam. Um marco de políticas abrangente sem ferramentas automatizadas é um processo manual tentando governar um ambiente automatizado, e processos manuais não conseguem igualar o volume, a consistência ou a cobertura que os sistemas automatizados oferecem. A classificação atrasa. A retenção se acumula. As revisões de acesso viram meras formalidades. As evidências de conformidade são reunidas por amostragem, em vez de monitoradas continuamente. A política descrevia um programa maduro e automatizado. A implementação são dois analistas com planilhas. A distância entre elas não é um problema de desenho do programa. É um problema de infraestrutura operacional que a documentação de governança não consegue resolver. Pergunte sobre as ferramentas. As ferramentas determinam o que o programa realmente consegue fazer.