Um fornecedor de processamento de pagamentos na área da saúde tratava tanto dados demográficos e clínicos de pacientes (sujeitos à HIPAA) quanto informações de cartões de pagamento (sujeitas ao PCI-DSS). Seu programa de conformidade havia sido construído em torno da HIPAA, porque a saúde era o contexto regulatório principal na fundação da empresa. Quando a empresa acrescentou mais tarde recursos de processamento de pagamentos, a conformidade com o PCI-DSS foi tratada por uma iniciativa de conformidade separada, gerenciada por outra equipe. Os dois programas de conformidade operavam de forma praticamente independente: o programa da HIPAA era gerenciado pelo responsável pela privacidade e o programa do PCI-DSS, pela equipe de segurança de pagamentos. Quando os clientes perguntavam sobre a estrutura regulatória que regia seus dados, a equipe de conformidade do fornecedor recorria à estrutura correspondente ao tipo de dado em questão: “seus dados de saúde são regidos pela HIPAA, seus dados de pagamento são regidos pelo PCI-DSS”. Para os dados que eram as duas coisas, como uma transação de pagamento contendo tanto um código de serviço médico quanto dados de cartão de pagamento, nenhuma das equipes tinha uma resposta definitiva sobre qual estrutura se aplicava e como as duas interagiam. Na prática, vários requisitos de segurança se sobrepunham, mas divergiam nos detalhes: a HIPAA exigia identificação única de todos os usuários que acessassem PHI; o PCI-DSS exigia o mesmo, mas com requisitos de autenticação mais específicos. O fornecedor implementava a versão em conformidade com a HIPAA, que atendia à HIPAA, mas não aos requisitos mais específicos do PCI-DSS, em contas que também tinham acesso a dados de titulares de cartão.
O que é, de fato, o problema da confusão por sobreposição regulatória?
A sobreposição regulatória ocorre quando várias estruturas regulatórias se aplicam à mesma organização, aos mesmos dados ou aos mesmos sistemas, cada uma impondo requisitos que podem ser complementares, equivalentes ou conflitantes. A HIPAA e o PCI-DSS são a sobreposição mais comum no tratamento de dados de saúde. O GDPR e as regulamentações financeiras setoriais se sobrepõem para instituições financeiras europeias. A CCPA e a HIPAA se sobrepõem para prestadores de serviços de saúde da Califórnia. Cada sobreposição exige que a organização atenda a todos os requisitos aplicáveis simultaneamente, não escolhendo uma estrutura em detrimento de outra, mas implementando controles que atendam aos requisitos de todas as estruturas aplicáveis.
O princípio de resolução pelo requisito mais rigoroso é a abordagem padrão para a sobreposição regulatória quando os requisitos conflitam ou diferem em especificidade. Quando duas estruturas exigem o mesmo tipo de controle, mas o especificam de forma diferente (uma exigindo senhas de oito caracteres e outra de doze), a organização implementa o requisito de doze caracteres para atender a ambas. Esse princípio é simples na teoria e complexo na prática, porque exige saber onde as estruturas se sobrepõem, identificar onde as especificações diferem e determinar qual especificação é mais rigorosa. Essa análise exige conhecimento das duas estruturas ao mesmo tempo, uma capacidade fácil de alegar e difícil de manter quando os dois programas de conformidade são operados de forma independente por equipes diferentes.
O problema dos programas de conformidade independentes cria lacunas específicas de sobreposição. Quando a HIPAA e o PCI-DSS são gerenciados por equipes separadas, com ciclos de avaliação e processos de governança separados, as questões de sobreposição caem em uma lacuna organizacional: nenhuma equipe é responsável pela questão de como as duas estruturas interagem nos sistemas e dados sujeitos a ambas. O programa da HIPAA avalia os requisitos da HIPAA. O programa do PCI-DSS avalia os requisitos do PCI-DSS. A interseção, onde ambas se aplicam às mesmas contas de usuário, aos mesmos sistemas e aos mesmos dados, não é avaliada por nenhum dos programas, a menos que alguém pergunte especificamente.
- Programas de conformidade independentes: equipes separadas gerenciando estruturas separadas sem coordenar a sobreposição
- Pressuposto de prevalência de uma estrutura: supor que uma estrutura responde à questão quando ambas se aplicam
- Resolução pelo requisito mais rigoroso não aplicada: implementação do requisito menos rigoroso quando as duas estruturas se aplicam
- Sistemas com sobreposição não identificados: sistemas e dados sujeitos a várias estruturas não mapeados
- Requisitos conflitantes não resolvidos: áreas em que as estruturas especificam de forma diferente não analisadas para aplicação do requisito mais rigoroso
Por que isso importa
A confusão por sobreposição regulatória é importante para TPRM porque fornecedores que operam em contextos regulatórios sobrepostos podem ter lacunas de conformidade na interseção, áreas em que seu programa de HIPAA não atende aos requisitos do PCI-DSS e seu programa de PCI-DSS não trata das especificidades da HIPAA, deixando a sobreposição sem tratamento. Um cliente cujos dados estão sujeitos às duas estruturas herda a lacuna de conformidade do fornecedor na interseção, criando exposição regulatória tanto para o fornecedor quanto para o cliente.
O contexto regulatório específico do cliente é a dimensão prática. Um prestador de serviços de saúde que pergunta a um fornecedor se seus dados estão em conformidade com a HIPAA e o PCI-DSS ao mesmo tempo precisa de uma resposta unificada sobre como o fornecedor lida com dados sujeitos às duas estruturas simultaneamente. O fornecedor que diz “seus dados de saúde estão em conformidade com a HIPAA e seus dados de pagamento estão em conformidade com o PCI-DSS” não respondeu à pergunta sobre os dados que são as duas coisas ao mesmo tempo, nem tratou dos requisitos de autenticação nos pontos em que a HIPAA e o PCI-DSS diferem para as mesmas contas de usuário.
Onde a maioria das equipes erra
A falha mais recorrente é aceitar a confirmação de cada estrutura separadamente, sem perguntar como as estruturas interagem nos sistemas e dados sujeitos a ambas ao mesmo tempo. Confirmar separadamente a conformidade com a HIPAA e com o PCI-DSS deixa a interseção sem tratamento.
- Aceitar a conformidade com cada estrutura separadamente, sem perguntar sobre a sobreposição
- Nenhum mapeamento dos sistemas com sobreposição: sistemas sujeitos a várias estruturas não identificados
- Pressuposto de prevalência de uma estrutura aceito sem questionamento
- Equipes de programas independentes sem coordenação da sobreposição
- Requisito mais rigoroso não avaliado nas áreas de sobreposição
Como é uma boa prática
Programas maduros de governança da sobreposição regulatória mapeiam os sistemas e dados sujeitos a cada estrutura aplicável, identificam a interseção e avaliam especificamente como são resolvidos os requisitos conflitantes ou divergentes, aplicando o requisito mais rigoroso e documentando a solução.
- Mapeamento da aplicabilidade regulatória: quais estruturas se aplicam a quais sistemas e dados
- Identificação da sobreposição: sistemas e dados sujeitos a várias estruturas identificados especificamente
- Análise do requisito mais rigoroso: onde as estruturas diferem, o requisito mais rigoroso é identificado e implementado
- Avaliação de conformidade unificada para os sistemas com sobreposição: sistemas avaliados em relação a todas as estruturas aplicáveis ao mesmo tempo
- Coordenação entre programas: as equipes de conformidade das diferentes estruturas se coordenam nos sistemas com sobreposição
Ferramentas
GRC multiestrutura: MetricStream, ServiceNow GRC
As plataformas de GRC multiestrutura permitem a gestão simultânea de várias estruturas regulatórias, mapeando os controles para todos os requisitos aplicáveis e identificando onde os requisitos se sobrepõem ou conflitam. Para profissionais de TPRM, perguntar se o fornecedor usa uma plataforma de GRC que gerencia várias estruturas com identificação de sobreposições é uma pergunta específica sobre a governança da interseção regulatória.
Análise regulatória: comparação lado a lado das estruturas de conformidade
Para questões específicas de sobreposição (requisitos de autenticação da HIPAA versus os do PCI-DSS, direitos dos titulares no GDPR versus na CCPA, HIPAA versus leis estaduais de privacidade), tabelas comparativas das estruturas lado a lado identificam o requisito mais rigoroso em cada área. Para profissionais de TPRM, pedir ao fornecedor que descreva especificamente como seus controles atendem ao mais rigoroso de dois requisitos sobrepostos é a pergunta sobre a governança da interseção.
Desafios de governança
O desafio de governança da sobreposição regulatória é a exigência de conhecimento especializado. Analisar como várias estruturas interagem em sistemas e dados específicos exige conhecimento de cada estrutura e capacidade analítica para identificar onde elas diferem e determinar qual é mais rigorosa. Trata-se de uma análise complexa, que se beneficia de assessoria externa ou do apoio de plataformas especializadas de GRC quando a sobreposição envolve estruturas tecnicamente complexas, como a Security Rule da HIPAA e os requisitos técnicos do PCI-DSS.
- Identificar todas as estruturas regulatórias aplicáveis à relação com o fornecedor
- Perguntar sobre sistemas e dados sujeitos a várias estruturas
- Perguntar como os requisitos mais rigorosos são resolvidos onde as estruturas diferem
- Pergunte se as equipes de conformidade das diferentes estruturas se coordenam nos sistemas com sobreposição
- Solicitar uma avaliação de conformidade unificada para os seus dados, como cliente sujeito a várias estruturas
Se você faz parte de uma equipe pequena
Para os fornecedores que tratam seus dados sob várias estruturas regulatórias, identifique a área em que, na sua avaliação, as estruturas mais diferem para o seu tipo específico de dado, normalmente autenticação, prazos de notificação de incidentes ou retenção de dados. Peça ao fornecedor que descreva especificamente como seus controles atendem aos requisitos das duas estruturas nessa área e qual ele considera o requisito mais rigoroso. A resposta revelará se a sobreposição foi analisada ou se confirmações de conformidade separadas foram aceitas como substitutas da análise da interseção.
- Identificar a área em que as estruturas aplicáveis mais diferem para o seu tipo de dado
- Perguntar como o fornecedor atende aos requisitos das duas estruturas nessa área específica
- Pergunte qual estrutura o fornecedor considera mais rigorosa nessa área e o que ele implementou
- Pergunte se as equipes de conformidade das diferentes estruturas se coordenam nos sistemas aplicáveis aos seus dados
O que exigir
Pergunte diretamente:
“Nos sistemas e dados sujeitos simultaneamente à HIPAA e ao PCI-DSS, como vocês resolvem as áreas em que as duas estruturas especificam requisitos diferentes? Especificamente, vocês aplicam o requisito mais rigoroso de cada estrutura e podem descrever como resolveram os requisitos de autenticação nos pontos em que a HIPAA e o PCI-DSS diferem?”
O que esperar como evidência
- Mapeamento dos sistemas com sobreposição regulatória: sistemas sujeitos a várias estruturas identificados
- Análise do requisito mais rigoroso nas principais áreas de sobreposição
- Avaliação de conformidade unificada para os sistemas com sobreposição
- Mecanismo de coordenação entre programas
Um fornecedor que confirma separadamente a conformidade com a HIPAA e com o PCI-DSS deve ser questionado sobre como os dois programas interagem nos sistemas e dados sujeitos a ambas. Confirmações separadas deixam a interseção sem tratamento.
Como comprovar
- Registros do mapeamento da aplicabilidade regulatória
- Identificação e avaliação dos sistemas com sobreposição
- Documentação da resolução pelo requisito mais rigoroso
- Registros de coordenação entre programas
Principal conclusão
Duas estruturas que se aplicam ao mesmo sistema não se anulam. Ambas se aplicam simultaneamente. Onde diferem, prevalece o requisito mais rigoroso. Quando programas de conformidade separados tratam cada estrutura de forma independente, a interseção (onde ambas se aplicam às mesmas contas de usuário, aos mesmos sistemas e aos mesmos dados) cai em uma lacuna organizacional que nenhum dos programas assume. Confirmar separadamente a conformidade com a HIPAA e com o PCI-DSS resulta em duas respostas precisas, porém incompletas, a uma pergunta que exige uma resposta unificada. Mapeie a sobreposição. Analise as diferenças. Aplique o requisito mais rigoroso. Documente a solução. A sobreposição não se resolve sozinha.