O fornecedor de análise de dados de uma empresa de serviços financeiros de varejo tinha um SLA contratual de resposta a incidentes que exigia notificação em até quarenta e oito horas após uma violação de dados confirmada. Quando o fornecedor sofreu uma violação significativa (o comprometimento de um servidor de banco de dados que expôs várias semanas de dados analíticos de transações), emitiu a notificação ao cliente com quarenta e sete horas e cinquenta e nove minutos, um minuto antes do prazo do SLA. O texto da notificação foi redigido com cuidado para atender aos requisitos contratuais: confirmava um incidente de segurança, confirmava o envolvimento de dados do cliente e se comprometia a fornecer um relatório detalhado do incidente em até cinco dias úteis. A notificação não continha nenhuma informação sobre o escopo da violação (quantos registros, que tipos de dados, que período), porque a investigação ainda estava em andamento no momento da notificação. A equipe de resposta a incidentes do cliente recebeu a notificação, percebeu imediatamente que não conseguiria avaliar sua própria exposição regulatória sem informações de escopo e enviou uma resposta de emergência solicitando os detalhes de escopo necessários para sua avaliação de notificação regulatória. A resposta do fornecedor chegou no horário comercial do dia seguinte, cerca de dezoito horas após a notificação, com informações preliminares de escopo. O cliente passou dezenove horas após a notificação em conformidade com o SLA em um estado de violação confirmada com escopo desconhecido, sem poder iniciar a avaliação regulatória, sem poder quantificar a exposição e sem poder determinar se seu próprio prazo de notificação regulatória já estava correndo. O SLA foi cumprido. A notificação não serviu a nenhum propósito para a resposta do cliente.
Quais são, de fato, os problemas dos SLA de resposta a incidentes?
Os SLAs de resposta a incidentes em contratos com fornecedores definem os requisitos de prazo para ações de resposta específicas: prazos de notificação, compromissos de atualização da investigação e prazos de conclusão da correção. A conformidade com o SLA é medida pela ocorrência das ações dentro dos prazos definidos. A eficácia do SLA é medida pela capacidade dessas ações, quando ocorrem, de permitir que o cliente cumpra suas próprias obrigações de resposta dentro dos prazos aplicáveis. SLAs que definem o prazo sem o conteúdo podem ser cumpridos sem oferecer nenhum apoio efetivo à resposta.
A lacuna nos requisitos de conteúdo é a principal falha de desenho do SLA. SLAs de notificação que especificam o prazo sem requisitos de conteúdo permitem que o fornecedor cumpra o SLA com uma notificação mínima viável, confirmando que ocorreu um incidente e que a investigação está em andamento, sem fornecer as informações de escopo, tipo de dados e cronologia necessárias para a avaliação de notificação regulatória do cliente, o acionamento do seguro ou o informe à liderança executiva. Um SLA que exige notificação em quarenta e oito horas é cumprido por uma notificação que chega com quarenta e sete horas e cinquenta e nove minutos sem nenhuma informação de escopo.
O descompasso com os prazos regulatórios é a consequência operacional. As obrigações de notificação regulatória do cliente (GDPR, comunicação de incidentes no setor de serviços financeiros, avaliação de risco de violação da HIPAA) exigem informações específicas sobre o escopo da violação para serem cumpridas. Uma notificação que confirma a ocorrência de uma violação sem fornecer informações de escopo inicia o processo de resposta do cliente, mas não permite sua conclusão. O cliente fica na pior posição regulatória possível: conhecimento confirmado de uma violação e nenhuma capacidade de concluir a avaliação regulatória que determina se deve comunicar e o quê.
- SLA que define o prazo, mas não o conteúdo: notificação mínima viável que cumpre o prazo sem fornecer nenhum escopo
- Informações de escopo não exigidas no SLA de notificação: violação confirmada, nenhum dado sobre os registros afetados
- Prazo regulatório correndo com base no prazo de entrega, e não na conclusão do conteúdo
- Cliente incapaz de concluir a avaliação de exposição a partir de uma notificação em conformidade com o SLA
- Conclusão da investigação desvinculada do SLA de notificação: notificação antes de o escopo ser conhecido
Por que isso importa
Os SLAs de IR importam para TPRM porque são o principal mecanismo contratual de proteção do prazo de resposta do cliente; porém, SLAs que protegem o prazo sem exigir o conteúdo que viabiliza a resposta protegem a relação contratual sem proteger a capacidade do cliente de efetivamente responder. Um SLA de notificação de quarenta e oito horas que admite notificações com conteúdo mínimo produz a aparência de prazos protegidos sem a substância.
Onde a maioria das equipes erra
A falha mais recorrente é negociar requisitos de prazo sem requisitos de conteúdo. SLAs de notificação que especificam quarenta e oito horas sem especificar o que a notificação deve conter permitem que os fornecedores cumpram a letra do SLA sem atender à sua finalidade.
- SLA de notificação que especifica o prazo sem o conteúdo
- Nenhum requisito mínimo de conteúdo no SLA de notificação
- Nenhum SLA de atualização complementar: quando a confirmação do escopo vem após a notificação inicial
- SLA concebido para a conformidade contratual, e não para viabilizar a resposta do cliente
- Prazo de atualização da investigação não especificado
Como é uma boa prática
Estruturas maduras de SLA de IR especificam tanto o prazo quanto requisitos mínimos de conteúdo, incluindo avaliação preliminar do escopo, categorias de tipos de dados afetados e cronologia do acesso, e exigem notificações complementares em um cronograma definido à medida que a investigação avança.
- Requisitos de conteúdo da notificação especificados: escopo preliminar, categorias de dados afetados, cronologia do acesso
- Notificação em duas etapas: preliminar dentro de um número definido de horas, escopo confirmado dentro de um número adicional definido de horas
- Cronograma de atualizações complementares: frequência definida para as atualizações da investigação
- SLA de confirmação de escopo: prazo máximo para informar o escopo confirmado após a notificação preliminar
- SLA calibrado ao prazo regulatório: prazo total de notificação que permite ao cliente cumprir as exigências regulatórias
Ferramentas
Gestão de contratos: Ironclad, LinkSquares
Plataformas de gestão de contratos que acompanham o desempenho do SLA e sinalizam notificações para revisão de conteúdo oferecem o mecanismo de supervisão para garantir que os SLAs de notificação sejam cumpridos com conteúdo adequado. Para profissionais de TPRM, acompanhar o conteúdo das notificações recebidas em relação a requisitos mínimos de conteúdo definidos oferece uma revisão específica da eficácia do SLA.
Desafios de governança
O desafio de governança nos requisitos de conteúdo do SLA de IR é a tensão entre investigação e notificação descrita em outras partes deste pilar. Os fornecedores podem não conhecer o escopo no momento em que precisam notificar. A solução de governança é um desenho de SLA em duas etapas: uma notificação preliminar dentro do SLA principal, que confirma a violação e se compromete com a confirmação do escopo, seguida de um SLA de confirmação de escopo que completa a notificação com as informações de que o cliente precisa.
- Definir requisitos mínimos de conteúdo no SLA de notificação, não apenas o prazo
- Exigir avaliação preliminar do escopo na notificação, mesmo que estimada e não confirmada
- SLA de notificação em duas etapas: preliminar e de confirmação de escopo, com prazos separados
- Frequência das atualizações complementares: com que frequência chegam as atualizações da investigação
- Testar a adequação do SLA em relação ao prazo de avaliação regulatória do cliente
Se você faz parte de uma equipe pequena
Para a sua relação mais crítica com um fornecedor, revise o SLA de notificação quanto aos requisitos de conteúdo. O SLA especifica o que a notificação deve conter (estimativa preliminar do escopo, tipos de dados potencialmente afetados, cronologia do acesso) ou apenas especifica que uma notificação deve ocorrer dentro de um prazo definido? Se o SLA especifica o prazo, mas não o conteúdo, acrescente um requisito mínimo de conteúdo e um SLA complementar de confirmação de escopo. Uma notificação que informa a ocorrência de uma violação sem dizer o que foi violado não pode viabilizar uma resposta regulatória.
- Revisar o SLA de notificação quanto aos requisitos de conteúdo
- Acrescentar requisitos mínimos de conteúdo, se ausentes: escopo preliminar, tipos de dados, cronologia
- Adicionar um SLA complementar de confirmação de escopo: prazo máximo para informar o escopo após a notificação preliminar
- Calibrar o SLA total à exigência de resposta regulatória do cliente
O que exigir
Pergunte diretamente:
"Pelo seu SLA de notificação de quarenta e oito horas, que conteúdo mínimo é exigido na notificação e, se vocês não puderem confirmar o escopo em quarenta e oito horas, qual é o prazo para a confirmação do escopo após a notificação inicial?"
O que esperar como evidência
- Requisitos de conteúdo da notificação: o que a notificação conterá
- SLA de confirmação de escopo: quando o escopo confirmado vem após a notificação preliminar
- Cronograma de atualizações complementares
- Compromisso de atualização da investigação
Um fornecedor que confirma um SLA de notificação de quarenta e oito horas deve ser questionado sobre o que a notificação conterá quando chegar. O prazo é uma dimensão do SLA. O conteúdo é a outra. Ambos são necessários para que a notificação viabilize a resposta que foi concebida para proteger.
Como comprovar
- Documentação dos requisitos de conteúdo do SLA de notificação
- Registros do procedimento de notificação em duas etapas
- SLA de confirmação de escopo
- Avaliação da eficácia do SLA em relação ao prazo regulatório
Principal conclusão
A notificação chegou com quarenta e sete horas e cinquenta e nove minutos. O SLA foi cumprido. A notificação confirmou que ocorreu uma violação. Confirmou que a investigação estava em andamento. Não descreveu o escopo, os tipos de dados, o período nem a estimativa preliminar de registros afetados. O cliente passou mais dezenove horas em um estado de violação confirmada e escopo desconhecido que impediu a avaliação regulatória. O SLA protegeu o prazo. Não protegeu a resposta. Os requisitos de conteúdo no SLA de notificação não são acréscimos opcionais: são a especificação que determina se a notificação tempestiva viabiliza a resposta ou apenas dispara um cronômetro.