Documento técnico de negócios Automatize a conformidade da TI

Transcrição

1 Documento técnico de negócios Automatize a conformidade da TI Quatro etapas para minimizar seus riscos

2 Documento técnico de negócios Índice 3 Desafios tradicionais da conformidade de TI 3 A nova era da conformidade 4 Automatização da conformidade: proteja seus negócios contra custos e retrocesso 4 Abordagem da HPE para automatização da conformidade 6 Automação da conformidade de TI da HPE 7 Resumo

3 Documento técnico de negócios Página 3 Desafios tradicionais da conformidade de TI O gerenciamento da conformidade de TI em grandes empresas pode ser um processo desanimador, com vários padrões de conformidade e requisitos específicos para vários tipos de recursos. Há três formas básicas de conformidade regulamentar, comercial e interna. Conformidade regulamentar inclui regulamentações legais e do setor e com frequência varia com base em requisitos locais, regionais ou globais. Conformidade comercial inclui termos de licenciamento, políticas de privacidade e outros acordos com parceiros, fornecedores e clientes. Conformidade interna inclui políticas corporativas relacionadas à ética, segurança, recursos humanos e muito mais. Esses requisitos de gerenciamento da conformidade continuam a crescer: PCI, FISMA, SOX, HIPAA, ISO a lista de exigências regulamentares, comerciais e internas só fica cada vez mais longa. Fazer auditoria para a conformidade e remediar variações é um processo caro e demorado. As informações necessárias com frequência são espalhadas entre silos de TI, e são difíceis de encontrar e coletar porque a responsabilidade para a conformidade geralmente é dividida entre várias organizações. Esses esforços de conformidade normalmente resultam em relatórios incompletos e inconsistentes que já estão atualizados antes mesmo de estarem concluídos. Muitas organizações de TI têm tentado lidar com essa complexidade usando processos manuais onerosos, demorados e complexos. Muitas ainda dependem de políticas escritas em papel que são difíceis de disseminar e de atualizar e fáceis de ignorar. Processos de remediação manuais, além de exigirem muita mão de obra, não possuem controle ou validação de processos. A coleta de dados é ineficiente, propensa a erros, não pode ser repetida e é limitada a pontos no tempo que imediatamente se tornam desatualizados. A nova era da conformidade A conformidade continua a ser uma questão que envolve altos valores. A falha em atender a requisitos de conformidade pode criar enormes repercussões legais e financeiras. E, atualmente, as violações de segurança e outros incidentes de não conformidade viram notícia instantaneamente. O dano à marca de uma empresa e a perda da confiança dos clientes podem ser piores do que todas as outras consequências. Considere apenas dois exemplos recentes: Uma violação de dados em uma grande empresa de seguros nos EUA comprometeu mais de 80 milhões de registros com informações confidenciais dos clientes e provavelmente custará à empresa mais de US$ 100 milhões mais do que sua política de seguro cibernético irá cobrir. Uma empresa de mídia global foi hackeada, liberando informações privadas da empresa, incluindo salários de executivos e filmes não lançados. A empresa espera que os custos diretos alcancem US$ 35 milhões no primeiro ano e estima que os custos indiretos de danos à marca se aproximarão de US$ 1 bilhão nos próximos anos.

4 Documento técnico de negócios Página 4 Tendências com rápida evolução também estão aumentando os valores e as complexidades da conformidade de TI, particularmente em áreas que podem ser novas ou não familiares para os auditores. Por exemplo: Desenvolvimento e operações mudam radicalmente a velocidade, as ferramentas e os processos do desenvolvimento e testes de software, mas muitos padrões de conformidade e ferramentas não estão acompanhando, tornando difícil demonstrar que métodos de desenvolvimento e operações podem atender aos requisitos de conformidade em uma auditoria. Na nova era dos testes contínuos, pode ser incrivelmente difícil atender aos padrões de conformidade de maneira contínua, particularmente quando se trata de segurança e proteção contra ameaças avançadas. O ambiente BYOD de hoje torna mais difícil do que nunca atender aos requisitos de conformidade para segurança de dados, e-discovery e padrões do setor sem ameaçar a privacidade dos usuários. Portanto, os problemas tradicionais de gerenciamento da conformidade ainda continuam, e as novas tendências de tecnologia complicam esses problemas ainda mais. No entanto, a conformidade de TI sustentável pode ser alcançada. A automação é a chave para proteger sua empresa dos custos excessivos da busca pela conformidade, bem como as consequências de não conseguir alcançá-la. Automatização da conformidade: proteja seus negócios contra custos e retrocesso Automatize, automatize, automatize. A automação é a primeira etapa para garantir conformidade de TI sustentável. 1 1 SOX Compliance Journal, 2008 Uma das principais responsabilidades da TI é estar em conformidade com todos os padrões, regulamentações, políticas e procedimentos aplicáveis; e estar pronta e ser capaz de demonstrar conformidade sob demanda. O gerenciamento da conformidade é a prática de garantir que atividades coordenadas para todos os elementos dos negócios incluindo processos, funcionários, parceiros e ativos sigam estritamente os requisitos estabelecidos. O que é necessário, portanto, é uma maneira de aproveitar os recursos de automação do desenvolvimento de software e processos de testes e usá-los para otimizar o processo de conformidade. O que é necessário é uma maneira de: Unificar políticas e fazer auditoria entre silos e tipos de recursos. Focar nos serviços comerciais em vez de ativos individuais. Fornecer a assinatura de políticas para serviços comerciais com objetivos de níveis de serviço (SLOs) integrados para atender aos requisitos para frequência de verificação de conformidade e tempo para remediação. Otimizar a auditoria e os processos de remediação com relatórios de todas as mudanças de políticas e estado de conformidade agora e historicamente. Abordagem da HPE para automatização da conformidade As organizações de TI podem usar a automação para substituir tentativas de conformidade manuais ineficientes e onerosas por verificações de conformidade contínuas e exigíveis, além de remediação rápida e eficaz. Obtenha as informações de conformidade necessárias, quando precisar. Simplesmente abra um navegador para visualizar seu estado atual de conformidade de TI entre silos de TI e visualize os detalhes sobre prazos de remediação. Com base na HPE IT Operations Compliance (ITOC), a mais recente tecnologia em automação de conformidade de TI, desenvolvemos um processo de quatro etapas (figura 1) para começarmos rapidamente. Isso abrange os elementos de tecnologia para reunir informações relevantes para a conformidade e inclui tipos de recursos entre silos de TI.

5 Documento técnico de negócios Página 5 Defina as políticas de conformidade de TI uma vez para todos os tipos de recursos 1 Defina facilmente os serviços com sincronização de catálogos de serviço 2 3 Assine serviços para políticas para automatizar a verificação e a remediação Desfrute de informações de conformidade de TI 4 otimizadas entre silos Figura 1: A abordagem da HPE para automação da conformidade fornece um modelo de gerenciamento de políticas único e flexível para uso em todos os tipos de recursos 1. Defina as políticas de conformidade A primeira etapa é determinar quais padrões seguir e definir suas políticas. Você pode ter vários requisitos regulamentares, comerciais ou outros, mas cada política pode ser definida apenas uma vez para cobrir todos os tipos de recursos entre silos de TI. A HPE fornece conteúdo pronto para uso para requisitos comuns e práticas recomendadas como PCI, HIPAA, CIS etc. Isso fornece uma configuração rápida e fácil com as mais precisas e confiáveis verificações de auditoria e etapas de remediação. Além das ações necessárias de verificação e remediação, você também pode definir objetivos de nível de serviço (SLOs) como a frequência que executa verificações de auditoria, tempo permitido para remediação e quando os períodos de manutenção permitem que essas ações sejam realizadas. 2. Defina serviços comerciais Essa etapa deve ser fácil, porque você provavelmente já tem seus serviços definidos em um banco de dados de gerenciamento de configurações (CMDB) ou catálogo de serviço. Em caso afirmativo, não comece do zero. Simplesmente importe as informações que possui e sincronizeas para captar mudanças contínuas para seus serviços comerciais. Se você ainda não possui seus serviços definidos, comece com os serviços que têm os requisitos de conformidade mais críticos. 3. Assine serviços para políticas Com seus serviços e políticas definidos, você apenas os vincula ao utilizar seus processos existentes para mudança de aprovações, notificações etc. Ao assinar um serviço para uma política, você pode querer modificar os SLOs e os períodos de manutenção para alguns serviços e alguns recursos podem requerer exceções a algumas regras. Esses detalhes podem ser incluídos facilmente na assinatura. Você também pode escolher vincular políticas a serviços no catálogo, então a conformidade da TI começa quando o serviço é criado. 4. Visualize o status de conformidade da TI A configuração está completa, então a última etapa é simplesmente rever seu status de conformidade para seus serviços comerciais em toda a organização. A HPE IT Operations Compliance irá determinar quais regras executar para qual recurso em qual momento, digitalizando e remediando todos os recursos diferentes em um serviço comercial, independentemente do tipo de recurso.

6 Documento técnico de negócios Página 6 Para o serviço comercial completo Qualquer relatório Qualquer política Qualquer ambiente Qualquer tipo de recurso Figura 2: Desenvolvida para garantir a conformidade da TI no nível de serviço comercial, a HPE IT Operations Compliance unifica o gerenciamento de políticas entre silos de TI e fornece visibilidade para a conformidade dos serviços comerciais Automação da conformidade de TI da HPE Com uma estratégia de conformidade unificada disponibilizada em toda a sua infraestrutura de TI, você pode alcançar continuidade em gerenciamento da conformidade, remediação rápida e eficaz e relatórios precisos que permitem que você lide com os desafios de conformidade em infraestruturas físicas e virtuais tradicionais e na nuvem (figura 2). As soluções da HPE fornecem tudo o que você espera da automação da conformidade de TI. Você pode controlar as mudanças em todos os níveis, desde a política até o serviço e até os detalhes da assinatura com uma cadeia completa de histórico de evidência. Você obtém conteúdo pronto para uso para normas de conformidade comuns como PCI e HIPAA, além de conteúdo de práticas recomendadas com base em recomendações de CIS. Ela também inclui uma biblioteca de verificações de conformidade e ações de remediação que podem ser usadas para políticas personalizadas sem necessidade de scripts. Mas, atualmente, tudo diz respeito ao aplicativo. Assim, a HPE assumiu a liderança nesse mundo centrado em aplicativos ao criar a primeira solução de conformidade focada no aplicativo de serviços comerciais completo. Ele fornece visibilidade para a conformidade de TI geral de todos os serviços comerciais em vez de focar em ativos individuais. A HPE IT Operations Compliance fornece gerenciamento de políticas unificado entre silos de TI para conformidade contínua e econômica no nível de serviços comerciais.

7 Documento técnico de negócios Página 7 Além de focar na conformidade de nível de serviço, essa nova oferta fornece outras vantagens sobre ferramentas de conformidade de TI tradicionais. Ela oferece automação inteligente que permite que você configure e esqueça. Você configura ao selecionar as políticas e definir SLOs e períodos de manutenção. Em seguida esquece e deixa a ITOC fazer o resto. Ela irá determinar quais regras executar, para qual recurso, em qual momento, ajudando você a atender a seus SLOs para medir a conformidade e remediar as variações. Finalmente, a ITOC proporciona uma experiência de usuário final projetada para todas as funções de usuário. A primeira etapa, definição de políticas, foi desenvolvida para que as políticas sejam expressadas em uma linguagem natural em vez do jargão de plataformas de TI. Isso permite que a equipe de conformidade e de segurança corporativa identifique o conteúdo de políticas prontas para uso ou crie requisitos personalizados sem conhecimento detalhado dos sistemas e plataformas de TI. O proprietário de serviços comerciais pode ver uma representação gráfica do serviço e revisar as informações do status de conformidade para o serviço em um painel conciso. O detalhe técnico para as verificações de conformidade e ações de remediação está disponível para os engenheiros da plataforma, e eles podem personalizar os controles existentes ou criar seus próprios controles para abordar os requisitos atípicos. Resumo Seus negócios não podem se dar ao luxo de não estar em conformidade com normas e leis, acordos de privacidade e licenciamento e políticas internas. Mas se você estiver tentando lidar com o número crescente de requisitos de conformidade com processos em silos manuais, a falha é provável. Por outro lado, a automação da conformidade de TI com base na mais recente tecnologia da HPE combinada com um longo histórico de soluções de conformidade comprovadas e líderes do setor em todos os silos de TI pode oferecer a você a tranquilidade de que seus negócios estão protegidos das consequências da não conformidade. A automatização de processos de conformidade também pode reduzir riscos ao reforçar a conformidade contínua e aumentar a produtividade ao reduzir seus processos de auditoria e remediação de semanas e meses para horas e dias.

8 Documento técnico de negócios Saiba mais em hpe.com/software/opscompliance Inscreva-se para obter atualizações Avalie esse documento Copyright 2012, 2016 Hewlett Packard Enterprise Development LP. As informações contidas neste documento estão sujeitas a alterações sem aviso. As únicas garantias para os produtos e serviços da Hewlett Packard Enterprise são as estabelecidas nas declarações de garantia expressa que acompanham tais produtos e serviços. Nenhuma parte deste documento deve ser interpretada como garantia adicional. A Hewlett Packard Enterprise não se responsabiliza por omissões, erros técnicos ou erros editoriais contidos neste documento. 4AA2-9515PTL, fevereiro de 2016, Rev. 1