Cada regulamentação à qual sua organização está sujeita — incluindo o GDPR, a HIPAA ou qualquer outra que se aplique ao seu setor — existe na forma de um texto jurídico denso. Transformar esse texto em um programa de governança funcional significa que alguém mapeia manualmente os requisitos aos controles, acompanha esse mapeamento em uma planilha e espera que essa interpretação se mantenha válida à medida que tanto a regulamentação quanto o ambiente mudam. Nesse processo, surgem lacunas. As auditorias avaliam um momento específico no tempo. Elas não medem se o programa de governança subjacente realmente se mantém válido.
É isso que a RSA chama de “Paradoxo da Auditoria Limpa”: uma organização é aprovada na auditoria, embora apresente lacunas de governança e riscos que a auditoria nunca revela.
O Compliance Advisor é a solução da RSA: um recurso nativo de IA que mapeia as regulamentações diretamente para o seu programa de governança e monitora continuamente seu desempenho.
Atualmente, ele oferece suporte a cinco regulamentações principais: o Regulamento Geral sobre a Proteção de Dados (RGPD), a Política de Segurança dos Serviços de Informação da Justiça Criminal (CJIS), a Lei de Portabilidade e Responsabilidade do Seguro Saúde (HIPAA), a estrutura do Instituto Nacional de Padrões e Tecnologia (NIST) e a Lei de Proteção de Informações Pessoais (POPIA), mapeadas até o nível de requisitos, com mais regulamentações a serem adicionadas em versões futuras.
Para cada requisito, o Compliance Advisor acompanha os KPIs que medem o grau de conformidade do seu programa com os procedimentos desse requisito e recomenda o que deve ser alterado nos pontos em que há falhas, de forma contínua, e não como um relatório que você gera uma única vez e arquiva. Cada requisito mapeado está vinculado diretamente ao texto da regulamentação em si, para que sua equipe possa verificar o mapeamento por conta própria, em vez de confiar apenas na palavra do fornecedor.
da RSA Governança de Defesa Ativa O artigo (ADG) explica por que a governança periódica, as revisões trimestrais e as certificações anuais não podem mais servir como principal mecanismo de controle. O acesso muda constantemente entre os ciclos de revisão, mas os ciclos de revisão permanecem os mesmos. A distância entre o que a documentação estática de políticas de uma organização estabelece e o que seus sistemas dinâmicos estão realmente fazendo é o que nosso artigo descreve como a “Lacuna de Negligência”: uma exposição que existe no momento em que o acesso muda, mas permanece invisível até que a próxima revisão a identifique. Governança e ciclo de vida da RSA ajuda as organizações a preencher essa lacuna.
O Compliance Advisor aplica essa mesma lógica ao mapeamento de conformidade. Uma regulamentação mapeada uma única vez e, posteriormente, verificada em um ciclo de revisão, apresenta o mesmo ponto cego. O Compliance Advisor elimina esse ponto cego, oferecendo a você visibilidade contínua sobre o desempenho real do seu programa de governança em relação a esse mapeamento, e não apenas um instantâneo do último ciclo de auditoria.
Nenhuma solução de governança atende a todas as cláusulas de todas as regulamentações, e o Compliance Advisor não finge o contrário. Ele mostra exatamente em que pontos o RSA Governance & Lifecycle atende a um requisito e quais requisitos estão fora do escopo típico de um programa de IGA, como os requisitos de segurança física. Ao mapear o que está coberto e o que não está, sua equipe sabe exatamente o que ainda precisa de cobertura de controle separada.
Resolver o paradoxo da auditoria sem ressalvas não significa esperar pela próxima auditoria para descobrir em que pé você está. Significa já saber, no dia em que o auditor chegar, e em todos os dias antes e depois disso. Essa é a mudança de um programa que parece estar em conformidade uma vez por ano para um que pode demonstrar seu trabalho a qualquer momento entre uma auditoria e outra.
Assista a uma demonstração do RSA Governance & Lifecycle Compliance Advisor para ver o mapeamento regulatório, o acompanhamento de KPIs e as recomendações em ação.
Para conhecer o panorama completo sobre por que a governança periódica não consegue acompanhar as mudanças e o que é necessário para preencher essa lacuna, baixe o documento sobre Governança da Defesa Ativa.
O “Paradoxo da Auditoria Sem Irregularidades” é a discrepância entre ser aprovado em uma auditoria de conformidade e, de fato, implementar um programa de governança sólido. Como as auditorias avaliam uma única instância no tempo, uma organização pode responder corretamente a todas as perguntas da auditoria e, ao mesmo tempo, apresentar lacunas de governança e riscos de acesso que a auditoria nunca detecta — lacunas que permanecem invisíveis até o próximo ciclo de revisão.
O RSA Compliance Advisor é um recurso nativo de IA integrado ao Governança e ciclo de vida da RSA que mapeia as regulamentações diretamente para o seu programa de governança e avalia continuamente o grau de conformidade desse programa com cada requisito. Nos casos em que o programa apresenta lacunas, ele recomenda alterações específicas — e cada requisito mapeado inclui um link para o texto da regulamentação em si, para que sua equipe possa verificar o mapeamento por conta própria.
Atualmente, o Compliance Advisor oferece suporte a cinco regulamentações principais: GDPR, Política de Segurança CJIS, HIPAA, a estrutura do NIST e POPIA — cada uma delas mapeada ao nível de exigência correspondente. Está prevista a inclusão de regulamentações adicionais em versões futuras. Para cada regulamentação suportada, o Compliance Advisor monitora KPIs que medem a conformidade do programa de forma contínua, e não em um ciclo de revisão trimestral ou anual.
Uma auditoria tradicional avalia a conformidade em um único momento, o que significa que os resultados ficam desatualizados assim que houver alterações no acesso após o encerramento da auditoria. O monitoramento contínuo da conformidade acompanha, de forma contínua, o desempenho do seu programa de governança em relação a cada exigência regulatória, identificando lacunas à medida que elas surgem, em vez de esperar que um auditor chegue para procurá-las.
A “Lacuna de Negligência” é a exposição que existe entre os ciclos de revisão — o período em que o acesso sofreu alterações, mas a próxima revisão de acesso ainda não foi executada para detectá-las. A RSA’s Governança de Defesa Ativa esse quadro identifica isso como a principal limitação dos modelos de governança periódicos, e Governança e ciclo de vida da RSA foi projetado para eliminá-la por meio de um monitoramento contínuo de identidade.
Incluído