Um fornecedor de software em nuvem havia implantado o Drata como sua plataforma automatizada de conformidade dezoito meses antes, em preparação para sua primeira auditoria SOC 2. A implementação foi abrangente na configuração inicial: todos os sistemas de produção foram conectados, as principais ferramentas SaaS foram integradas e as verificações de conformidade cobriam o ambiente tal como existia no momento da implementação. Nos dezoito meses seguintes, o fornecedor adicionou uma região de nuvem europeia para fins de conformidade com o GDPR, migrou sua autenticação do Okta para uma configuração combinada de Okta e Microsoft Entra para o seu nível corporativo e implantou três novas ferramentas SaaS para as operações de suporte ao cliente. Nenhuma dessas adições havia sido integrada ao Drata. A nova região de nuvem não estava no escopo do Drata. Os novos sistemas de autenticação tinham cobertura parcial: o Okta continuava conectado, mas o Entra não. As três novas ferramentas SaaS não tinham nenhuma conexão com o Drata. O painel de conformidade estava verde: as verificações configuradas estavam sendo aprovadas. O ambiente adicionado desde a configuração inicial era invisível para a plataforma. Quando a auditoria anual SOC 2 foi realizada, os auditores constataram que a região de nuvem europeia e a implantação do Entra não estavam cobertas pelo programa de monitoramento de conformidade que o fornecedor havia descrito.
O que são, de fato, as lacunas da automação de conformidade?
As plataformas de automação de conformidade (Drata, Vanta, Secureframe e ferramentas semelhantes) automatizam a coleta de evidências de conformidade, o monitoramento da eficácia dos controles e a avaliação da prontidão para certificações de segurança. Elas fazem isso conectando-se a sistemas integrados (provedores de nuvem, plataformas de identidade, ferramentas SaaS e ambientes de desenvolvimento) e verificando continuamente as configurações, as políticas de acesso e os logs de atividade desses sistemas conectados em relação aos requisitos de conformidade definidos. A cobertura é abrangente para os sistemas integrados e inexistente para os não integrados.
O problema do escopo de integração é a lacuna central da automação de conformidade. As plataformas automatizadas de conformidade exigem a configuração explícita da integração de cada sistema que monitoram. Cada conta de nuvem deve ser conectada por meio de acesso API. Cada ferramenta SaaS deve ter sua integração configurada. Cada plataforma de identidade deve ser autorizada a fornecer à plataforma os dados de que ela precisa para avaliar os controles. Um ambiente que cresce (novas regiões de nuvem, novas ferramentas SaaS, novos sistemas de identidade, novos ambientes de desenvolvimento) ultrapassa a cobertura da automação de conformidade, a menos que cada nova adição seja explicitamente integrada à plataforma.
O problema do ambiente dinâmico é o que faz da manutenção do escopo de integração um requisito contínuo de governança, e não uma tarefa de configuração única. Os ambientes de nuvem modernos mudam continuamente: novas contas criadas, novas regiões ativadas, novas ferramentas SaaS implantadas. Cada mudança que ocorre sem a correspondente atualização da integração da automação de conformidade gera uma lacuna crescente entre o ambiente monitorado e o ambiente real. A lacuna é invisível no painel de conformidade: o painel mostra o ambiente monitorado como conforme sem indicar que existe um ambiente não monitorado. O painel verde confirma a conformidade da parte do ambiente que está conectada à plataforma.
- Novos sistemas adicionados não integrados: regiões de nuvem, plataformas de identidade e ferramentas SaaS implantadas após a configuração inicial
- Painel verde com cobertura incompleta: sistemas monitorados conformes sem indicação de sistemas não monitorados
- Nenhuma revisão do escopo de integração: configuração da plataforma de conformidade não revisada em relação ao inventário atual do ambiente
- Divergência de escopo do SOC 2: o escopo da automação de conformidade diverge do escopo pretendido da auditoria SOC 2
- Automação aceita como cobertura abrangente: painel verde interpretado como conformidade de todo o ambiente
Por que isso importa
As lacunas da automação de conformidade são importantes para TPRM porque o monitoramento automatizado de conformidade é cada vez mais citado pelos fornecedores como evidência da eficácia contínua dos controles. Um fornecedor que diz "usamos o Drata para o monitoramento contínuo de conformidade" está fornecendo evidência genuína de uma capacidade significativa para os sistemas integrados à plataforma. A pergunta que essa afirmação de capacidade não responde é se o escopo integrado da plataforma de conformidade corresponde aos sistemas relevantes para o risco do cliente. Uma região de nuvem europeia que contém dados de clientes da UE e não está integrada à plataforma de monitoramento de conformidade não é monitorada, independentemente da capacidade de monitoramento contínuo da plataforma para a região dos EUA integrada.
A dimensão da divergência de escopo da auditoria SOC 2 é a consequência regulatória. Quando o escopo integrado de uma plataforma de automação de conformidade diverge do escopo pretendido da auditoria SOC 2, os auditores encontrarão sistemas e serviços que o fornecedor descreveu como monitorados continuamente, mas que não estão conectados à plataforma de monitoramento. Isso gera constatações de auditoria que o painel de conformidade verde do fornecedor não indicava que viriam, porque o painel mostrava apenas a parte integrada do ambiente.
Onde a maioria das equipes erra
A falha mais recorrente é aceitar a implantação de uma plataforma de automação de conformidade como monitoramento contínuo abrangente, sem perguntar sobre o escopo integrado da plataforma em relação ao ambiente completo. A implantação da plataforma confirma que a ferramenta está em uso. O escopo de integração determina o que a ferramenta está monitorando.
- Aceitar a implantação da automação como cobertura abrangente
- Escopo de integração não solicitado: quais sistemas estão conectados à plataforma
- Inventário do ambiente não comparado ao escopo da automação
- Adições recentes sem verificação de integração à plataforma de conformidade
- Painel verde interpretado como conformidade de todo o ambiente
Como é uma boa prática
Programas maduros de governança da automação de conformidade mantêm inventários explícitos do escopo de integração, revisam o escopo de integração em relação aos inventários do ambiente com uma periodicidade definida e exigem a integração de novos sistemas à plataforma de conformidade como condição para a implantação em produção.
- Inventário do escopo de integração mantido: quais sistemas estão conectados à plataforma de conformidade
- Comparação entre o ambiente e o escopo da automação: revisão periódica que confirma que todos os sistemas de produção estão no escopo
- Integração de novos sistemas exigida antes da implantação em produção
- Monitoramento de lacunas de integração: detectar quando as adições ao ambiente ultrapassam o escopo da automação de conformidade
- Verificação do alinhamento do escopo do SOC 2: escopo da automação de conformidade confirmado como correspondente ao escopo pretendido da auditoria
Ferramentas
Automação de conformidade: Drata, Vanta, Secureframe
As plataformas de automação de conformidade normalmente fornecem inventários do escopo de integração, ou seja, listas de sistemas conectados com seu status de integração. Para profissionais de TPRM, pedir aos fornecedores o inventário do escopo de integração da sua plataforma de conformidade e compará-lo com a descrição do sistema do SOC 2 declarada pelo fornecedor é a pergunta de alinhamento de escopo que o painel verde, por si só, não consegue responder.
Inventário de ativos: AWS Config, Azure Resource Manager, Infraestrutura como Código
Os inventários de ativos de nuvem fornecem a referência real dos sistemas que existem no ambiente do fornecedor, permitindo compará-los com o escopo integrado da plataforma de automação de conformidade. Para profissionais de TPRM, perguntar se o fornecedor compara o escopo de integração da sua plataforma de conformidade com o seu inventário de ativos de nuvem com uma periodicidade definida é uma pergunta específica sobre a manutenção do escopo.
Desafios de governança
O desafio de governança do escopo da automação de conformidade é o problema da velocidade operacional. Em ambientes com implantação contínua e infraestrutura como código, novos sistemas podem ser criados e promovidos para produção mais rapidamente do que os fluxos de integração podem ser iniciados e concluídos. Uma governança que exige a integração como condição para a implantação em produção cria um ponto de controle no processo que reduz a velocidade de implantação, mas mantém a integridade do escopo de conformidade.
- Solicite o inventário do escopo de integração da plataforma de conformidade
- Compare o escopo de integração com o inventário de ativos de nuvem
- Pergunte se as adições recentes de regiões de nuvem e ferramentas SaaS estão integradas
- Pergunte se a integração de novos sistemas é exigida antes da implantação em produção
- Verifique se a descrição do sistema do SOC 2 corresponde ao escopo da automação de conformidade
Se você faz parte de uma equipe pequena
Faça duas perguntas ao seu fornecedor com conformidade automatizada. Primeira: vocês podem fornecer a lista de sistemas integrados à sua plataforma de monitoramento de conformidade, ou seja, quais contas de nuvem, plataformas de identidade e ferramentas SaaS estão conectadas atualmente? Segunda: alguma região de nuvem, sistema de identidade ou ferramenta SaaS foi implantada nos últimos doze meses e ainda não está integrada à plataforma de conformidade? A segunda pergunta revela diretamente a lacuna do ambiente dinâmico que a lista da primeira pergunta não consegue revelar por si só.
- Solicite o inventário do escopo de integração da plataforma de conformidade
- Pergunte se as adições recentes estão integradas à plataforma de conformidade
- Compare o inventário de escopo com a descrição do sistema do SOC 2
- Pergunte se a integração de novos sistemas é exigida antes da implantação em produção
O que exigir
Pergunte diretamente:
"Vocês podem fornecer a lista dos sistemas atualmente integrados à sua plataforma de automação de conformidade (especificamente, quais contas de nuvem, regiões de nuvem, plataformas de identidade e ferramentas SaaS estão conectadas) e há algum sistema no seu ambiente de produção que não esteja integrado à plataforma no momento?"
O que esperar como evidência
- Inventário do escopo de integração da plataforma de conformidade
- Confirmação do status de integração das adições recentes
- Confirmação do alinhamento do escopo com a descrição do sistema do SOC 2
- Processo de integração de novos sistemas antes da implantação em produção
Um fornecedor cujo painel de conformidade está verde deve ser solicitado a fornecer a lista de sistemas integrados e a informar se algum sistema de produção está fora dessa lista. Verde significa conforme para o que é monitorado. O inventário de escopo revela o que é monitorado.
Como comprovar
- Registros do inventário do escopo de integração da automação de conformidade
- Registros de comparação entre o ambiente e o escopo da automação
- Documentação do processo de integração de novos sistemas
- Verificação do alinhamento do escopo do SOC 2
Principal conclusão
O painel de conformidade está verde. A região de nuvem europeia não está conectada à plataforma. A implantação do Entra está parcialmente conectada. As três novas ferramentas SaaS não têm integração. O painel verde confirma que os sistemas conectados à plataforma na configuração inicial continuam conformes. Ele não confirma que o ambiente que cresceu desde então é monitorado. A automação de conformidade é tão abrangente quanto o seu escopo de integração. O escopo de integração deve corresponder ao ambiente real para que a automação ofereça uma garantia contínua significativa. Solicite o inventário do escopo de integração. Compare-o com o inventário do ambiente. A lacuna entre os dois é o ambiente não monitorado que o painel verde não consegue ver.