Conformidade em TI para Indústrias Regulamentadas Serviços de Consultoria

Operar em um ambiente regulamentado significa que sua tecnologia deve atender a um conjunto de requisitos externos, não apenas às suas preferências internas. Esse trabalho é contínuo: você precisa demonstrar que seus controles, registros e decisões de acesso suportam a revisão auditoria e manter essa situação ao longo do tempo.

O que envolve

• Controles documentados: as medidas de segurança e privacidade que você aplica, descritas de forma que um auditor ou a contraparte possa verificar.
• Registros e trilhas de auditoria: quem fez o quê, quando e a quais recursos teve acesso. A trilha é a evidência, e ela precisa existir e ser legível.
• Gestão de acesso: quem pode acessar o quê, concedido com justificativa, revisado e revogado quando a função termina.
• Regras de tratamento de dados: retenção, localização, exclusão e as condições de transferência aplicáveis aos dados que você possui.

Onde isso se manifesta no dia a dia

• Arquivos de fornecedores: cada provedor que toca nos seus dados faz parte do cenário. Seus termos, sub-processadores e regiões são relevantes.
• Admissão e desligamento: a conta aberta para um novo colaborador e a encerrada quando ele sai. O problema geralmente está nas extremidades, não no sistema principal.
• Ciclos de revisão: a verificação periódica de controles e acessos que mantém a posição atualizada conforme o ambiente muda.

O que as organizações devem considerar

• Escopo da regra: o que exatamente se aplica, a quais dados e sob quais circunstâncias. O requisito define o padrão; o esforço define o custo.
• Provar vs Prometer: uma política escrita é um compromisso. Um log que demonstra que foi executado é evidência. Os auditores verificam o segundo.
• Disciplina de mudanças: a maioria das falhas surge após uma alteração. Um novo fornecedor, uma nova ferramenta, uma reestruturação. O controle que funcionou ontem é o que precisa ser reavaliado hoje.

Como a NobleConsul pode ajudar

Onde for relevante, a NobleConsul pode auxiliar no mapeamento dos requisitos aplicáveis à sua estrutura, na identificação das lacunas entre o que existe e o que é exigido, e no fechamento dessas lacunas, como possíveis atividades de consultoria.