Risco de dados estruturados versus não estruturados

A avaliação de segurança de dados de um fornecedor da área de saúde parecia minuciosa no papel: criptografia do banco de dados confirmada, controles de acesso baseados em funções documentados, logs de auditoria ativados, criptografia de backups verificada. O tratamento dos dados estruturados era bem governado. O que a avaliação não revelou, porque ninguém perguntou, foi que a equipe de atendimento ao cliente do fornecedor armazenava formulários de admissão de pacientes, documentos de seguro e correspondência em um canal compartilhado do Microsoft Teams vinculado a uma pasta do SharePoint. A pasta nunca havia sido classificada. Nunca havia sido incluída no programa de governança de dados. As permissões haviam sido definidas pela primeira pessoa que criou a pasta e nunca haviam sido revisadas. Os logs de acesso à pasta do SharePoint não existiam porque o log de auditoria do SharePoint nunca havia sido ativado para aquele espaço de trabalho. Uma investigação de violação de dados constatou mais tarde que a pasta estivera acessível a todos os duzentos funcionários do fornecedor, incluindo terceirizados, durante quatro anos. Os dados estruturados estavam seguros. Os dados não estruturados, de sensibilidade equivalente, nunca haviam estado no escopo de nenhum programa de governança.

Por que isso importa

A dimensão de risco dos dados não estruturados é importante para a TPRM porque as avaliações de fornecedores focadas na segurança de dados estruturados (criptografia de bancos de dados, controles de acesso, logs de auditoria) deixam sistematicamente de fora a maior parte da superfície de dados em que as informações sensíveis de clientes têm maior probabilidade de existir e menor probabilidade de serem governadas. Um fornecedor cujo banco de dados é excelentemente protegido e cujas plataformas de colaboração guardam anos de correspondência de clientes não governada tem uma postura de segurança de dados que a avaliação de dados estruturados descreve com precisão em vinte por cento do quadro e sobre a qual não diz nada quanto aos outros oitenta.

A implicação regulatória é direta. As regulamentações de proteção de dados, incluindo a GDPR, a CCPA e a HIPAA, aplicam-se aos dados pessoais independentemente de seu formato ou local de armazenamento. O nome de um paciente em um campo de banco de dados e o nome de um paciente em um formulário de admissão digitalizado armazenado em uma pasta do SharePoint são ambos dados pessoais sujeitos às mesmas proteções regulatórias. A investigação do regulador sobre o escopo da violação de dados perguntará sobre todos os locais em que as informações do paciente existiam, e não apenas sobre o banco de dados estruturado coberto pelo programa de governança de dados do fornecedor. Se os repositórios não estruturados não forem governados, seu escopo, seu histórico de acesso e o impacto da violação não poderão ser determinados, criando a mesma lacuna de investigação que um registro de logs inadequado cria, mas decorrente de uma falha na descoberta de dados, e não de uma falha de registro de logs.

Do ponto de vista da minimização de dados, o acúmulo de dados não estruturados é onde a maioria das organizações, e seus fornecedores, têm sua maior exposição a dados excedentes. Os bancos de dados estruturados normalmente têm políticas de retenção definidas e processos automatizados de exclusão. Os repositórios não estruturados acumulam dados indefinidamente porque não existe um processo automatizado para revisar a relevância dos documentos, aplicar políticas de retenção a arquivos individuais ou excluir documentos que ultrapassaram o período de retenção. Uma relação com um fornecedor iniciada há anos pode ter deixado um rastro de documentos de cadastro, chamados de suporte e correspondência contendo dados pessoais de clientes em repositórios não estruturados que nunca foram objeto de exclusão, nunca foram classificados e nunca foram avaliados.

Onde a maioria das equipes erra

A falha mais difundida é restringir a avaliação de segurança de dados aos sistemas de dados estruturados (bancos de dados, data warehouses e plataformas formais de gestão de dados) sem perguntar sobre os dados não estruturados que se acumulam nas interações operacionais do fornecedor com os dados dos clientes. A avaliação cobre a camada de dados que o fornecedor gerencia explicitamente e deixa de fora a camada que se acumula nas operações normais de negócio. A maioria dos questionários de TPRM pergunta sobre criptografia de bancos de dados, controles de acesso a bancos de dados e logs de auditoria de bancos de dados. Raramente perguntam sobre a governança da gestão de documentos, a segurança das plataformas de colaboração ou a retenção e os controles de acesso de e-mails.

A segunda falha é não pedir aos fornecedores que enumerem todos os locais em que os dados de clientes podem existir: não apenas o sistema de registro principal, mas todo sistema que possa conter uma cópia, um arquivo de trabalho, um chamado de suporte ou uma comunicação que mencione dados pessoais de clientes. Na maioria das organizações, o conjunto real de locais em que existem dados de clientes é significativamente maior do que o conjunto de locais que o programa de governança de dados cobre explicitamente. A diferença entre esses dois conjuntos é o risco de dados não estruturados que nenhuma avaliação de dados estruturados revelará.

Avaliação restrita aos sistemas de dados estruturados: bancos de dados e plataformas formais de dados avaliados sem cobertura equivalente dos repositórios de documentos, das plataformas de colaboração e dos sistemas de e-mail
Nenhum inventário de todos os locais de dados de clientes: avaliação dos sistemas principais sem perguntar onde mais os dados de clientes podem se acumular por meio dos processos operacionais
Governança das plataformas de colaboração não avaliada: Teams, Slack, SharePoint e plataformas equivalentes não incluídos no escopo da avaliação de segurança de dados
Armazenamento paralelo de arquivos não tratado: nenhuma avaliação sobre se os funcionários do fornecedor armazenam cópias de trabalho de dados de clientes em armazenamento pessoal ou não governado
Política de retenção restrita aos dados estruturados: governança de exclusão e retenção que cobre os bancos de dados, mas não os repositórios de documentos e comunicações em que os dados se acumulam indefinidamente

Como é uma boa prática

Programas maduros de governança de dados de fornecedores tratam os dados não estruturados com a mesma intencionalidade que os dados estruturados: descobrem onde eles existem, classificam-nos, aplicam controles de acesso, fazem cumprir as políticas de retenção e os incluem no escopo de auditoria e monitoramento. A cobertura é abrangente, e não seletiva, refletindo a realidade de que os dados sensíveis existem em documentos e comunicações tanto quanto em bancos de dados.

Inventário de dados abrangente: todos os locais em que os dados de clientes podem existir documentados, incluindo repositórios de documentos, plataformas de colaboração, arquivos de e-mail e sistemas de help desk, junto com os bancos de dados principais
Classificação e descoberta de dados não estruturados: ferramentas de descoberta de dados aplicadas aos repositórios de documentos e às plataformas de colaboração para identificar e classificar conteúdo sensível, e não apenas aos bancos de dados estruturados
Governança das plataformas de colaboração: controles de acesso, políticas de retenção e logs de auditoria ativados nas plataformas de colaboração que tratam dados de clientes, equivalentes à governança aplicada aos sistemas de dados principais
Automação da retenção para dados não estruturados: aplicação automatizada da política de retenção a documentos e comunicações, assim como a registros de bancos de dados, impedindo o acúmulo indefinido
Controles de armazenamento paralelo: políticas e controles técnicos que impedem os funcionários do fornecedor de armazenar dados de clientes em unidades pessoais ou em armazenamento em nuvem não governado
Escopo do incidente incluindo dados não estruturados: procedimentos de investigação de violações que incluem os repositórios não estruturados na avaliação do escopo, sem se limitar aos sistemas estruturados principais

Ferramentas

Governar dados não estruturados exige ferramentas capazes de descobrir, classificar e aplicar controles a conteúdos em repositórios heterogêneos, um desafio técnico fundamentalmente diferente da governança de bancos de dados estruturados.

Descoberta e classificação de dados não estruturados: Microsoft Purview, Varonis, BigID, Spirion

Essas plataformas aplicam análise de conteúdo a repositórios não estruturados, verificando documentos, e-mails e conteúdo de plataformas de colaboração em busca de padrões de dados sensíveis, incluindo identificadores pessoais, informações financeiras, dados de saúde e credenciais. O Microsoft Purview oferece integração nativa com as plataformas de colaboração do Microsoft 365, permitindo a classificação e a governança do conteúdo do Teams, do SharePoint e do Exchange. A Varonis é especializada na governança de sistemas de arquivos e plataformas de colaboração, oferecendo inteligência de acesso e alertas para repositórios de dados não estruturados. Para os profissionais de TPRM, perguntar se um fornecedor usa ferramentas de descoberta de dados que cobrem repositórios não estruturados junto com os bancos de dados revela se o programa de governança de dados dele reflete toda a superfície de dados.

Segurança de plataformas de colaboração: Microsoft Defender for Office 365, Google Workspace DLP, Nightfall

As ferramentas de segurança para plataformas de colaboração aplicam políticas de DLP ao Teams, ao Slack, ao Google Workspace e a plataformas equivalentes, detectando e impedindo que dados sensíveis sejam compartilhados por canais não controlados. O Nightfall oferece DLP baseado em API para plataformas de colaboração em nuvem que podem não ter ferramentas de segurança nativas. Para os profissionais de TPRM, perguntar se o fornecedor tem cobertura de DLP que se estende às plataformas de colaboração, e não apenas ao e-mail e ao armazenamento de arquivos, revela se o vetor mais comum de acúmulo de dados não estruturados está sob governança.

Gestão do ciclo de vida da informação: Microsoft 365 Compliance, OpenText, Micro Focus

As plataformas de gestão do ciclo de vida da informação aplicam políticas de retenção, retenções legais e governança de exclusão aos repositórios de dados não estruturados, garantindo que documentos e comunicações sejam mantidos pelos períodos exigidos e excluídos quando os requisitos de retenção forem cumpridos. A aplicação automatizada das políticas de retenção é o único mecanismo prático para gerenciar o volume de dados não estruturados que se acumula nas operações normais de negócio. Para os profissionais de TPRM, perguntar se o fornecedor aplica de forma automatizada as políticas de retenção aos repositórios não estruturados, junto com os sistemas de dados estruturados, revela se a governança da retenção é sistemática ou seletiva.

DLP de endpoint: Microsoft Purview Endpoint DLP, CrowdStrike, Forcepoint

As ferramentas de DLP para endpoints impedem que dados sensíveis sejam copiados de dispositivos de funcionários para mídias removíveis, armazenamento pessoal em nuvem ou locais de arquivos não governados, tratando o problema do armazenamento paralelo de arquivos no nível do endpoint. Para fornecedores cujos funcionários acessam dados de clientes em dispositivos gerenciados, o DLP para endpoints oferece o controle técnico que impede o acúmulo de cópias não controladas fora da governança corporativa. Para os profissionais de TPRM, perguntar se o fornecedor tem DLP para endpoints que impeça o armazenamento de dados de clientes em locais não governados trata do risco de armazenamento paralelo que a governança das plataformas de colaboração, por si só, não cobre.

Desafios de governança

O desafio de governança dos dados não estruturados é o problema da descoberta: não é possível governar o que não se consegue encontrar, e os dados não estruturados existem em um cenário heterogêneo de repositórios que podem não ser totalmente conhecidos nem pela própria equipe de TI da organização. Um novo espaço de trabalho colaborativo criado por uma equipe de produto, uma pasta pessoal do OneDrive usada por um gerente de sucesso do cliente, uma instância de help desk criada para um segmento específico de clientes: cada um deles pode acumular conteúdo sensível de clientes fora da estrutura formal de governança da organização sem disparar nenhum alerta nem exigir nenhuma aprovação. Governar os dados não estruturados exige tanto capacidade técnica de descoberta quanto uma expectativa cultural de que os dados sensíveis sejam armazenados apenas em locais governados.

Para os programas de TPRM, a questão prática de governança é se o fornecedor tem um inventário de dados abrangente que inclua os repositórios não estruturados e se seu programa de governança de dados se aplica a esse inventário completo, e não apenas aos sistemas estruturados principais. O padrão de evidência para a governança de dados não estruturados é necessariamente diferente do aplicado aos dados estruturados: os logs de acesso a bancos de dados oferecem evidências precisas, enquanto as evidências da governança de dados não estruturados podem incluir os resultados das ferramentas de descoberta de dados, a documentação das políticas de DLP e a configuração da política de retenção. Ajustar as expectativas de evidência à natureza diferente da governança de dados não estruturados é necessário para uma avaliação significativa.

Solicitar um inventário de dados abrangente: todos os locais em que os dados de clientes podem existir, e não apenas o sistema de registro principal
Incluir as plataformas de colaboração no escopo da avaliação: Teams, Slack, SharePoint e os sistemas de e-mail são os principais repositórios de dados não estruturados na maioria das organizações
Perguntar sobre a cobertura das ferramentas de descoberta de dados: se as ferramentas de descoberta e classificação cobrem os repositórios não estruturados junto com os bancos de dados
Exigir evidências da política de retenção para dados não estruturados: confirmação de que a governança da retenção se aplica a documentos e comunicações, e não apenas a registros de bancos de dados
Perguntar sobre os controles de armazenamento paralelo: o que impede os funcionários do fornecedor de armazenar dados de clientes em locais pessoais ou não governados

Se você faz parte de uma equipe pequena

Acrescente à sua avaliação de segurança de dados uma pergunta que abra a conversa sobre dados não estruturados: além dos seus sistemas de banco de dados principais, que outros locais do seu ambiente podem conter dados de clientes que compartilhamos com vocês, incluindo armazenamento de documentos, plataformas de colaboração, sistemas de e-mail, ferramentas de help desk e quaisquer arquivos de trabalho em dispositivos de funcionários? Essa pergunta força uma resposta com um inventário de dados abrangente, em vez de uma resposta focada no banco de dados, e quase sempre revelará repositórios não estruturados que antes não estavam no escopo da sua avaliação. Para os fornecedores de maior risco, pergunte em seguida que governança se aplica especificamente a esses repositórios.

Acrescentar à avaliação uma pergunta abrangente sobre a localização dos dados: todos os repositórios, e não apenas os bancos de dados principais
Perguntar especificamente sobre as plataformas de colaboração (Teams, Slack, SharePoint e e-mail) como repositórios de dados
Para fornecedores que tratam dados sensíveis a longo prazo, perguntar especificamente sobre a cobertura da política de retenção para dados não estruturados
Perguntar se as ferramentas de descoberta de dados cobrem os repositórios não estruturados junto com os bancos de dados

O que exigir

Pergunte diretamente:

“Além dos seus sistemas de banco de dados principais, em que outros locais do seu ambiente podem existir dados que vocês receberam de nós, incluindo sistemas de gestão de documentos, plataformas de colaboração, sistemas de e-mail, ferramentas de help desk e dispositivos de funcionários, e que governança de dados se aplica a cada um desses locais?”

“Vocês aplicam ferramentas de descoberta e classificação de dados aos repositórios não estruturados (repositórios de documentos, plataformas de colaboração e sistemas de e-mail), além dos seus bancos de dados estruturados, e podem confirmar que os dados sensíveis nesses repositórios são governados com controles equivalentes?”

“Qual é a sua política de retenção e eliminação de dados não estruturados (documentos, e-mails e conteúdo de colaboração) que contêm dados pessoais de clientes, e como essa política é aplicada sem depender da exclusão manual?”

O que esperar como evidência

Inventário abrangente de dados, incluindo repositórios não estruturados junto com os bancos de dados principais
Confirmação da cobertura das ferramentas de descoberta de dados: repositórios não estruturados incluídos no escopo de descoberta e classificação
Evidências da governança das plataformas de colaboração: controles de acesso, políticas de DLP e logs de auditoria ativados
Documentação da política de retenção que cubra os dados não estruturados, com confirmação de aplicação automatizada

Um fornecedor que responde à pergunta abrangente sobre a localização dos dados com “todos os dados de clientes estão armazenados no nosso banco de dados” deve ser questionado sobre onde ficam os chamados de suporte, para onde vão os documentos de integração e onde fica a correspondência com os clientes. O banco de dados contém os registros. As operações acumuladas da relação contêm todo o resto.

Como comprovar

A GDPR, a CCPA e a HIPAA se aplicam aos dados pessoais independentemente do formato ou do tipo de armazenamento. As orientações regulatórias reconhecem cada vez mais que a governança de dados não estruturados é um elemento distinto e obrigatório da conformidade com a proteção de dados, e não uma extensão opcional dos programas de dados estruturados. Demonstrar a devida diligência exige evidências de que os repositórios de dados não estruturados foram avaliados como parte da avaliação de segurança de dados do fornecedor.

Registros de avaliação de fornecedores que documentam perguntas sobre o inventário abrangente de dados, incluindo repositórios não estruturados
Confirmação da governança das plataformas de colaboração para fornecedores que usam Teams, Slack ou plataformas equivalentes
Evidências da cobertura de descoberta de dados para repositórios não estruturados
Evidências de conformidade com a política de retenção para dados não estruturados
Confirmação dos controles de armazenamento paralelo para o acesso de funcionários do fornecedor aos dados de clientes

Principal conclusão

Oitenta por cento dos dados corporativos são não estruturados: estão em documentos, e-mails, plataformas de colaboração e nos artefatos acumulados de cada interação operacional entre a sua organização e os seus fornecedores. A maioria dos programas de segurança de dados de fornecedores governa os vinte por cento estruturados com considerável rigor e os oitenta por cento não estruturados quase sem nenhum. Os dados sensíveis em um banco de dados e os dados sensíveis em uma pasta do SharePoint estão igualmente sujeitos às obrigações de proteção de dados, são igualmente relevantes em uma investigação de violação e têm a mesma probabilidade de ser objeto de perguntas de um regulador. Avaliar a segurança de dados de um fornecedor significa avaliar onde os dados realmente estão, e não apenas onde o programa de governança foi concebido para olhar.