Risco e Conformidade

O gerenciamento de riscos e conformidade para adoção da nuvem refere-se ao conjunto de políticas, procedimentos e práticas que garantem a identificação, avaliação e mitigação dos riscos associados às soluções de tecnologia baseadas em nuvem. Envolve entender os riscos potenciais associados à adoção da nuvem, estabelecer estruturas de gerenciamento de riscos e implementar controles para minimizar a exposição ao risco de sua organização.

O gerenciamento de riscos e conformidade também inclui garantir que as soluções de tecnologia baseadas em nuvem cumpram os requisitos regulatórios e as políticas e padrões internos. O gerenciamento eficaz de riscos e conformidade é essencial para garantir o uso seguro e compatível da tecnologia de nuvem e para proteger seus ativos e reputação.

Seu programa security risk management de informações deve incorporar o conceito de responsabilidade compartilhada. O Oracle Cloud Infrastructure (OCI) fornece funções e matrizes de responsabilidades claras para métodos de conformidade, incluindo o Payment Card Industry (PCI) e controles complementares de entidade do usuário para Controles de Sistema e Organização (SOC) e Catálogo dos Controles de Conformidade do Cloud Computing (C5). Faça download desses documentos na Console usando o serviço OCI Compliance Documents.

Objetivo

O objetivo do risco e da conformidade na adoção da nuvem é minimizar possíveis ameaças, vulnerabilidades e problemas legais associados ao ambiente de nuvem, garantindo que suas iniciativas de nuvem estejam alinhadas com regulamentos e padrões relevantes do setor.

Atribuições

A responsabilidade pelo risco e pela conformidade geralmente se enquadra em várias funções envolvidas na modelagem do processo durante a adoção da nuvem.

Equipe de governança na nuvem

Responsável pela criação e implementação de políticas, procedimentos e controles que garantam o risco e a conformidade no ambiente de nuvem.

Equipe de Segurança da Nuvem

Concentra-se em avaliar e mitigar riscos de segurança, implementar controles de segurança e garantir a proteção de dados.

Equipes Jurídicas e de Conformidade

Garanta que a adoção da nuvem esteja alinhada com os requisitos legais, as leis de privacidade de dados e os regulamentos do setor.

Equipe do Risk Management

Identifica, avalia e gerencia riscos relacionados à adoção da nuvem e desenvolve estratégias de mitigação de riscos.

Implementação

As informações a seguir descrevem funções e considerações sobre design ao implementar processos de risco e conformidade para adoção da nuvem:

Análise Normativa

A análise de regulamentos e padrões de conformidade relevantes que afetam a adoção da nuvem envolve uma abordagem sistemática para identificar, interpretar e atender aos requisitos legais e regulatórios aplicáveis às suas iniciativas de nuvem.

As informações a seguir descrevem as etapas para analisar efetivamente esses regulamentos:

Identifique os regulamentos aplicáveis:
- Identifique as regiões geográficas e jurisdições em que sua organização opera e onde os dados serão armazenados ou processados na nuvem.
- Determine os regulamentos específicos do setor ou do setor que podem se aplicar às suas atividades na nuvem, como assistência médica, finanças e governo.
Monte uma equipe de conformidade:
- Forme uma equipe multifuncional que inclua especialistas jurídicos, funcionários de conformidade, profissionais de TI e representantes de unidades de negócios relevantes.
- Garanta que a equipe tenha uma compreensão abrangente das tecnologias de nuvem, das leis de privacidade de dados e dos regulamentos específicos do setor.
Regulamentos de pesquisa e documentos:
- Pesquise e colete informações sobre regulamentos relevantes e padrões de conformidade nas jurisdições e setores identificados.
- Documente as principais provisões, requisitos e obrigações descritos no modelo de implementação em nuvem.
- Determine o modelo de implementação em nuvem que sua organização pretende usar (público, privado, híbrido) e considere como isso afeta a conformidade regulatória.
Identificar tipos de dados e categorias:
- Identifique os tipos de dados que serão processados, armazenados ou transmitidos no ambiente de nuvem.
- Categorize os dados com base em sua sensibilidade, como informações de identificação pessoal (PII), dados financeiros, registros de saúde etc.
Mapear fluxos e processos de dados:
- Entenda como os dados fluem por seus sistemas, incluindo interações entre ambientes on-premises e na nuvem.
- Documente atividades de processamento de dados, locais de armazenamento, transferências de dados e compartilhamento de dados com terceiros.
Interpretar e analisar:
- Revise os regulamentos e os padrões de conformidade reunidos para entender como eles se aplicam aos seus planos de adoção da nuvem.
- Interprete os requisitos no contexto de desafios e oportunidades específicos da nuvem.
Executar análise de lacuna:
- Compare suas políticas, práticas e controles técnicos existentes com os requisitos regulatórios identificados.
- Identifique lacunas entre as práticas atuais e as obrigações de conformidade.
Realizar uma Avaliação de Impacto de Privacidade de Dados (DPIA):
- Realize um DPIA para avaliar o impacto potencial da adoção da nuvem na privacidade e proteção de dados.
- Avalie riscos e mitigações relacionados ao processamento de dados, segurança e possíveis transferências de dados transfronteiriças.
Desenvolva uma estratégia de conformidade:
- Com base na análise, desenvolva uma estratégia de conformidade que descreva as ações necessárias para atender aos requisitos regulatórios no ambiente de nuvem.
- Defina medidas, controles e processos específicos para resolver as lacunas identificadas.
Colabore com especialistas legais e em conformidade:
- Colabore em estreita colaboração com especialistas legais e de conformidade para garantir a interpretação precisa dos regulamentos e o alinhamento dos esforços de conformidade.
Revise e aprove a estratégia:
- Revise a estratégia de conformidade com as principais partes interessadas, incluindo advogados e funcionários de conformidade, para garantir precisão e alinhamento.
Documento e relatório:
- Documente a análise, a estratégia de conformidade e quaisquer medidas de mitigação de maneira clara e organizada.
- Mantenha registros das medidas tomadas para atender aos requisitos regulatórios para futuras referências e auditorias.
Faça atualizações regulares:
- Mantenha a estratégia e a análise de conformidade atualizadas para refletir alterações nas regulamentações, nos padrões do setor e nos planos de adoção da nuvem.

Políticas de Conformidade

A configuração de políticas para requisitos de conformidade, como Regulamento Geral de Proteção de Dados (GDPR), PCI, Health Insurance Portability and Accountability Act (HIPAA), Sarbanes-Oxley Act (SOX), mascaramento de dados, retenção de dados etc., envolve as seguintes etapas:

Identificar os requisitos de conformidade relevantes: A primeira etapa é identificar os requisitos de conformidade que se aplicam à sua organização. Isso pode envolver a consulta com especialistas legais ou de conformidade para determinar quais regulamentos e padrões se aplicam ao seu setor e localização geográfica.
Determinar o escopo das políticas: depois de identificar os requisitos de conformidade relevantes, você deverá determinar o escopo das políticas. Isso envolve a identificação dos dados e sistemas que estão sujeitos aos requisitos de conformidade e aos controles específicos que devem ser implementados.
Desenvolver políticas e procedimentos: Com base nos requisitos de conformidade e no escopo das políticas, você pode desenvolver políticas e procedimentos que descrevam os controles que precisam ser implementados para atingir a conformidade. Essas políticas devem ser documentadas e comunicadas a todas as partes interessadas relevantes.
Implementar e impor políticas: depois de desenvolver as políticas, a próxima etapa é implementá-las e aplicá-las. Isso pode envolver a configuração de sua infraestrutura de nuvem e aplicativos para estar em conformidade com as políticas, o treinamento dos funcionários sobre as políticas e o monitoramento da conformidade.
Analise e atualize regularmente as políticas: os requisitos de conformidade e os padrões do setor estão em constante evolução, e é importante revisar e atualizar regularmente suas políticas para garantir que elas permaneçam atuais e eficazes.

As informações a seguir descrevem considerações específicas para configurar políticas para os requisitos de conformidade:

GDPR: As políticas do GDPR devem incluir medidas de proteção de dados, como criptografia de dados, controles de acesso e políticas de retenção de dados. Você também deve ter procedimentos em vigor para responder a violações de dados e lidar com solicitações do titular dos dados.
PCI: As políticas para conformidade com PCI devem se concentrar na proteção de dados do titular do cartão, incluindo criptografia, controles de acesso e monitoramento do acesso aos dados do titular do cartão. Você também deve ter procedimentos para responder a incidentes de segurança e realizar varreduras de vulnerabilidade regulares.
HIPAA: As políticas para conformidade com HIPAA devem incluir medidas para proteger informações de saúde protegidas eletrônicas (ePHI), como criptografia, controles de acesso e logs de auditoria. Você também deve ter procedimentos para responder a incidentes de segurança e realizar avaliações de risco regulares.
SOX: As políticas de conformidade com SOX devem se concentrar em garantir a precisão e a integridade dos relatórios financeiros. Isso pode incluir controles sobre acesso a sistemas financeiros, segregação de funções e monitoramento regular de transações financeiras.
Mascaramento de dados: As políticas para mascaramento de dados devem incluir procedimentos para identificar e proteger dados confidenciais, como informações de identificação pessoal (PII) e dados financeiros. Isso pode envolver mascarar ou ocultar dados confidenciais em ambientes de teste e desenvolvimento.
Retenção de dados: As políticas de retenção de dados devem especificar por quanto tempo os dados devem ser retidos e quando devem ser excluídos. Isso pode envolver a definição de períodos de retenção com base em requisitos regulatórios, necessidades de negócios e sensibilidade aos dados.

Leis locais

Aderir às leis locais é crucial para que sua organização permaneça em conformidade e evite penalidades legais e danos à reputação. As leis locais variam de acordo com a jurisdição e podem incluir regulamentos relacionados à proteção de dados, privacidade, práticas de emprego e tributação. Por exemplo, nos Estados Unidos, a HIPAA estabelece padrões para a proteção de informações pessoais de saúde, enquanto a Lei de Privacidade do Consumidor da Califórnia (CCPA) regula a coleta e o uso de dados pessoais por empresas que operam na Califórnia. A adesão às leis locais também se estende a jurisdições internacionais, onde sua organização pode precisar cumprir regulamentos, como o GDPR da União Europeia ou a Lei de Cibersegurança da China. O não cumprimento das leis locais pode resultar em penalidades legais e danos à sua reputação, como visto em casos de alto perfil, como a violação de dados da Equifax e o escândalo da Cambridge Analytica do Facebook.

Análise de Riscos

Identificação de Risco

O processo de identificação de riscos na arquitetura corporativa para adoção da nuvem envolve uma abordagem sistemática para identificar e avaliar os riscos associados à adoção de serviços em nuvem. A identificação e a avaliação eficazes de riscos são importantes porque ajudam você a entender os riscos e ameaças potenciais, priorizá-los e desenvolver estratégias para mitigá-los. As informações a seguir descrevem as etapas envolvidas no processo:

Definir o escopo: A primeira etapa é definir o escopo do processo de identificação de risco. Isso envolve identificar os serviços de nuvem que sua organização planeja adotar e os processos e sistemas de negócios que serão afetados.
Identificar as partes interessadas: Identifique as partes interessadas que serão afetadas pela adoção de serviços em nuvem, incluindo usuários comerciais, equipes de TI e provedores terceirizados.
Reunir informações: Reúna informações sobre os serviços de nuvem que estão sendo considerados para adoção, incluindo seus recursos, benefícios e riscos potenciais.
Identificar riscos potenciais: Use uma abordagem estruturada para identificar riscos potenciais associados à adoção de serviços em nuvem. Isso pode incluir o uso de estruturas e ferramentas de gerenciamento de riscos para identificar e priorizar riscos.
Avaliar riscos: Depois que os riscos potenciais forem identificados, avalie a probabilidade e o impacto de cada risco. Isso ajuda a priorizar os riscos e determinar quais riscos exigem ações adicionais.
Reduzir riscos: Desenvolva um plano para mitigar os riscos identificados. Isso pode envolver a implementação de controles, o desenvolvimento de planos de contingência ou a escolha de evitar ou transferir o risco.
Monitorar e revisar: Monitore a eficácia das medidas de mitigação de risco e revise regularmente o processo de identificação de risco para garantir que ele permaneça efetivo ao longo do tempo.

Registro de Risco

Um registro de risco é um documento ou banco de dados que captura e rastreia todos os riscos identificados, seu impacto potencial e seus planos para gerenciá-los. Na arquitetura empresarial para adoção da nuvem, um registro de riscos é uma ferramenta importante que ajuda você a identificar, avaliar e gerenciar riscos associados à adoção de serviços em nuvem.

As informações a seguir descrevem o processo de criação de um registro de risco:

Identificar riscos: A primeira etapa na criação de um registro de riscos é identificar possíveis riscos associados à adoção de serviços em nuvem. Isso pode ser feito usando uma variedade de métodos, incluindo avaliações de risco, avaliações de segurança e varreduras de vulnerabilidade.
Avaliar riscos: Depois que os riscos forem identificados, avalie a probabilidade e o impacto potencial de cada risco. Isso ajuda a priorizar os riscos e determinar quais riscos exigem ação imediata.
Priorizar riscos: Priorize os riscos com base em sua probabilidade e impacto potencial. Isso ajuda a garantir que os riscos mais críticos sejam abordados primeiro.
Desenvolver estratégias de mitigação: Desenvolva estratégias de mitigação para cada risco identificado. Isso pode incluir a implementação de controles, o desenvolvimento de planos de contingência ou a escolha de evitar ou transferir o risco.
Documentar riscos e estratégias de mitigação: Documente todos os riscos identificados e suas estratégias de mitigação associadas no registro de riscos. Isso garante que todas as partes interessadas tenham visibilidade de suas atividades de gerenciamento de riscos.
Monitorar e revisar: monitore e revise regularmente o registro de risco para garantir que ele permaneça atualizado e eficaz. Isso inclui a atualização de avaliações de risco, a revisão de estratégias de mitigação e o acompanhamento da implementação de medidas de mitigação.

A importância de um registro de risco na arquitetura empresarial para a adoção da nuvem não pode ser exagerada. Ele fornece um repositório central para todos os riscos identificados e suas estratégias de mitigação associadas, garantindo que todas as partes interessadas tenham visibilidade de suas atividades de gerenciamento de riscos. Isso ajuda nas seguintes áreas:

Identificar e priorizar riscos: Ao capturar todos os riscos identificados em um só lugar, você pode priorizar riscos com base em sua probabilidade e impacto potencial. Isso garante que os riscos mais críticos sejam abordados primeiro.
Desenvolva estratégias de mitigação eficazes: Ao documentar estratégias de mitigação no registro de riscos, você pode garantir que tenha um plano abrangente para gerenciar riscos identificados. Isso ajuda a minimizar o impacto dos riscos em suas operações e reputação.
Monitorar e revisar atividades de gerenciamento de riscos: Ao monitorar e revisar regularmente o registro de riscos, você pode garantir que suas atividades de gerenciamento de riscos permaneçam efetivas ao longo do tempo. Isso inclui a atualização de avaliações de risco, a revisão de estratégias de mitigação e o acompanhamento da implementação de medidas de mitigação.

Priorização e Pontuação de Risco

Avaliação de riscos, priorização e pontuação são atividades importantes na arquitetura empresarial para a adoção da nuvem. Essas atividades ajudam a identificar e gerenciar os riscos associados à adoção de serviços em nuvem. As informações a seguir fornecem uma visão geral dessas atividades e exemplos:

Avaliação de risco: A avaliação de risco é o processo de identificação de riscos potenciais associados à adoção da nuvem. Isso envolve a análise de vários fatores, como sensibilidade aos dados, requisitos de conformidade e impacto nos negócios. Você pode usar vários métodos para executar avaliações de risco, incluindo modelagem de ameaças, varreduras de vulnerabilidade e avaliações de segurança.

Exemplo: Se sua organização estiver planejando migrar um aplicativo de negócios crítico para a nuvem, a avaliação de risco poderá identificar riscos, como perda de dados, indisponibilidade de serviço e acesso não autorizado a dados confidenciais. - Priorização de Risco: Depois que os riscos forem identificados, a próxima etapa será priorizá-los com base em seu impacto potencial na organização. Isso ajuda a garantir que os riscos mais críticos sejam abordados primeiro. A priorização de riscos pode ser baseada em vários fatores, como a probabilidade de ocorrência do risco, o impacto potencial em sua organização e a disponibilidade de medidas de mitigação.

Exemplo: No cenário anterior, o risco de perda de dados pode ser priorizado maior do que o risco de acesso não autorizado a dados confidenciais, pois a perda de dados pode ter mais impacto significativo em suas operações e reputação. - Pontuação de Risco: A pontuação de risco é o processo de atribuir uma pontuação numérica a cada risco identificado com base em sua probabilidade e impacto potencial. Isso ajuda a priorizar riscos e determinar quais riscos exigem ação imediata. A pontuação de risco pode ser feita usando vários métodos, como uma matriz de risco ou uma calculadora de risco.

Exemplo: no cenário anterior, o risco de perda de dados pode ser atribuído a uma pontuação de 8 (em uma escala de 1 a 10) devido ao alto impacto potencial em suas operações e reputação, além de uma probabilidade moderada de ocorrência. O risco de acesso não autorizado a dados confidenciais pode ser atribuído a uma pontuação de 6 por causa de seu menor impacto potencial em sua organização e uma menor probabilidade de ocorrência.

Desenvolvimento da Política

O desenvolvimento de políticas que descrevem medidas de segurança, práticas de proteção de dados, controles de acesso e requisitos de conformidade para adoção da nuvem envolve um processo estruturado para garantir que seu ambiente de nuvem seja seguro, compatível e alinhado aos objetivos. As informações a seguir explicam as etapas desse processo:

Compreender as necessidades e objetivos organizacionais:
- Comece obtendo uma compreensão clara de suas metas de negócios, regulamentos do setor e objetivos específicos de adoção da nuvem.
- Identifique os tipos de dados confidenciais que serão processados e armazenados na nuvem, considerando os requisitos de privacidade de dados.
Identifique os regulamentos e padrões aplicáveis:
- Pesquise e identifique os padrões regulatórios e do setor relacionados à segurança e proteção de dados na nuvem.
- Entenda os requisitos de conformidade específicos que precisam ser atendidos, como GDPR, HIPAA ou regulamentos específicos do setor.
Forme uma equipe de desenvolvimento de políticas multifuncionais:
- Monte uma equipe com representantes de TI, jurídico, conformidade, segurança e unidades de negócios relevantes.
- Garanta que a equipe tenha uma compreensão abrangente das tecnologias de nuvem, práticas de segurança e obrigações de conformidade.
Definir o escopo e os objetivos da política:
- Defina claramente o escopo da política, especificando quais serviços de nuvem, tipos de dados e processos são cobertos.
- Defina objetivos claros para a política, como garantir a confidencialidade, a integridade e a disponibilidade dos dados, além do cumprimento de regulamentos específicos.
Desenvolver políticas:
- Crie de forma colaborativa documentos de políticas que descrevam as medidas de segurança, as práticas de proteção de dados, os controles de acesso e os requisitos de conformidade para adoção da nuvem.
- Aborde áreas-chave, como classificação de dados, padrões de criptografia, mecanismos de autenticação, resposta a incidentes e permissões de acesso.
Personalize políticas para serviços em nuvem:
- Adapte as políticas aos serviços de nuvem específicos que estão sendo usados, como infraestrutura como serviço (IaaS), plataforma como serviço (PaaS) e software como serviço (SaaS), considerando os recursos e controles de segurança exclusivos fornecidos por cada serviço.
Definir controles de acesso:
- Especifique mecanismos de controle de acesso, como acesso baseado em função, autenticação multifator (MFA) e princípios de privilégio mínimo.
- Detalhe como as atribuições e permissões do usuário serão gerenciadas no ambiente de nuvem.
Defina a proteção de dados e a criptografia:
- Descrever práticas de proteção de dados, incluindo requisitos de criptografia para dados em trânsito e em repouso.
- Especifique padrões de criptografia, procedimentos de gerenciamento de chaves e mascaramento de dados quando aplicável.
Desenvolva requisitos de conformidade:
- Detalhe como o ambiente de nuvem cumprirá as regulamentações relevantes, especificando as obrigações de tratamento, retenção e geração de relatórios de dados.
- Aborde trilhas de auditoria, registro em log e monitoramento de acesso a dados conforme exigido pelos padrões de conformidade.
Estabeleça a resposta e a geração de relatórios de incidentes:
- Defina procedimentos para detectar, relatar e responder a incidentes ou violações de segurança.
- Estabeleça um processo claro de escalonamento de incidentes e protocolos de comunicação.
Revisar e aprovar:
- Revise os projetos de políticas com as principais partes interessadas, buscando feedback e informações de especialistas em legalidade, conformidade e segurança.
- Revise as políticas com base no feedback e obtenha as aprovações necessárias das partes relevantes.
Comunique e forneça treinamento:
- Comunique as políticas a todos os funcionários, contratados e partes interessadas relevantes envolvidos na adoção da nuvem.
- Ofereça sessões de treinamento para informar os funcionários sobre as políticas, práticas de segurança e requisitos de conformidade.
Realizar revisão e atualizações periódicas:
- Estabeleça um cronograma para revisões e atualizações regulares de políticas para garantir que elas permaneçam alinhadas com a evolução das tecnologias de nuvem e as mudanças nos regulamentos.

Auditoria do fornecedor

O envolvimento de software e serviços de terceiros pode adicionar riscos de conformidade a uma organização. Fornecedores terceirizados podem ter acesso a dados ou sistemas confidenciais, e sua não conformidade com regulamentos ou padrões de segurança pode afetar sua organização.

As seguintes informações descrevem algumas etapas que você pode tomar para superar esses riscos externos adicionados de forma eficaz:

Conduzir due diligence: Antes de se envolver com fornecedores terceirizados, você deve conduzir due diligence para garantir que o fornecedor esteja em conformidade com os regulamentos e padrões de segurança relevantes. Isso pode incluir a revisão das políticas de conformidade do fornecedor e a realização de uma avaliação de segurança. Por exemplo, sua organização pode exigir que os fornecedores cumpram o PCI DSS e realizem uma avaliação para garantir que os sistemas e processos do fornecedor estejam de acordo com esses padrões.
Incluir requisitos de conformidade em contratos: Você deve incluir requisitos de conformidade em contratos com fornecedores terceirizados. Isso pode incluir requisitos para que o fornecedor cumpra regulamentos específicos ou padrões de segurança e relate regularmente seu status de conformidade. Por exemplo, um contrato com um fornecedor pode exigir que ele cumpra o GDPR e forneça relatórios regulares sobre seu status de conformidade.
Implemente o monitoramento contínuo: você deve implementar o monitoramento contínuo de fornecedores terceirizados para garantir que eles permaneçam em conformidade com os regulamentos e os padrões de segurança. Isso pode incluir avaliações regulares dos sistemas e processos do fornecedor e revisões regulares de relatórios de conformidade. Por exemplo, sua organização pode exigir que os fornecedores forneçam relatórios regulares sobre sua conformidade com o GDPR e conduzam avaliações regulares para garantir que o fornecedor permaneça em conformidade.
Fornecer treinamento em conscientização de segurança: Você deve fornecer treinamento em conscientização de segurança para funcionários e fornecedores terceirizados para garantir que eles estejam cientes dos riscos de segurança e das melhores práticas. Isso pode incluir treinamento sobre phishing, segurança de senha e melhores práticas de tratamento de dados. Por exemplo, sua organização pode exigir que os fornecedores concluam o treinamento de conscientização de segurança para garantir que estejam cientes dos riscos associados ao tratamento de dados confidenciais.

Acordos Contratuais

Estabelecer termos contratuais claros com os fornecedores é crucial para garantir que sua adoção da nuvem seja segura, compatível e bem gerenciada. Use as seguintes etapas para estabelecer esses termos contratuais de forma eficaz:

Identifique os principais requisitos do fornecedor:
- Determine os serviços e soluções de nuvem específicos que sua organização pretende adquirir do fornecedor.
- Identifique os aspectos críticos que devem ser abordados no contrato, incluindo responsabilidades, propriedade de dados, segurança e notificações de violação.
Colabore com equipes jurídicas e de compras:
- Envolva especialistas jurídicos e de compras em sua organização para ajudar na elaboração e negociação do contrato.
- Certifique-se de que o contrato adira aos requisitos legais e regulamentares e se alinhe aos seus padrões.
Defina atribuições e responsabilidades:
- Descreva claramente as funções e responsabilidades de ambas as partes no contrato.
- Especifique as obrigações do fornecedor relacionadas à proteção de dados, segurança, conformidade e entrega de serviços.
Definir propriedade e uso de dados:
- Defina claramente os direitos de propriedade de dados, incluindo quem possui os dados, quem tem acesso a eles e como eles podem ser usados pelo fornecedor.
- Especifique requisitos de retenção, transferência e exclusão de dados.
Obrigações de segurança detalhadas:
- Detalhar medidas e controles de segurança que o fornecedor deve implementar para proteger seus dados e garantir a confidencialidade, integridade e disponibilidade das informações.
- Aborde criptografia, controles de acesso, gerenciamento de vulnerabilidades e procedimentos de resposta a incidentes.
Especificar procedimentos de notificação de violação:
- Especifique os procedimentos e cronogramas para notificar sua organização em caso de violação de dados ou incidente de segurança.
- Defina as informações que devem ser incluídas nas notificações de violação.
Abordar o processamento de dados e a conformidade:
- Analise como o fornecedor processará os dados em seu nome e garantirá a conformidade com os regulamentos relevantes, como GDPR ou HIPAA.
Estabelecer contratos de nível de serviço:
- Estabeleça acordos claros de nível de serviço (SLAs) que definam o desempenho, a disponibilidade e o tempo de atividade esperados dos serviços em nuvem.
- Inclua soluções ou penalidades para quaisquer violações de SLA.
Determine o prazo e a renovação do contrato:
- Determine a condição do contrato, as opções de renovação e as cláusulas de rescisão.
- Inclua disposições para renegociação, escalabilidade e flexibilidade para acomodar as necessidades de negócios em constante mudança.
Especificar mecanismos de resolução de litígios:
- Elaborar procedimentos para a resolução de disputas, incluindo mediação, arbitragem ou ação legal, se necessário.
Revisar e aprovar:
- Revise o projeto de contrato com as principais partes interessadas, especialistas jurídicos e departamentos relevantes para garantir precisão e alinhamento com as necessidades organizacionais.
Negocie e finalize os termos:
- Envolva-se em negociações com o fornecedor para chegar a um acordo mutuamente aceitável sobre as condições do contrato.
- Certifique-se de que todas as partes envolvidas entendam e concordem com os termos antes da finalização.
Assine e execute o contrato:
- Após os termos do contrato serem acordados, ambas as partes assinam e executam o contrato.
Realizar revisões e atualizações periódicas:
- Estabeleça um cronograma para revisões e atualizações periódicas de contratos para garantir que os termos permaneçam relevantes e alinhados às crescentes necessidades de nuvem e às mudanças regulatórias.

Treinamento e Conscientização

O treinamento e a prontidão são cruciais para todas as partes envolvidas no tratamento de dados para garantir que estejam equipadas com os conhecimentos e habilidades necessários para lidar com os dados com segurança e evitar possíveis violações de dados e obrigações legais.

As seguintes informações descrevem os motivos pelos quais o treinamento e a prontidão são essenciais:

Proteção de informações confidenciais: As organizações coletam e armazenam informações confidenciais sobre clientes, funcionários e parceiros. Essas informações podem incluir informações de identificação pessoal (PII), informações financeiras, informações de saúde e outros dados confidenciais. Se essa informação cair em mãos erradas por causa de uma violação de dados, ela poderá resultar em perda financeira, roubo de identidade, danos à reputação e responsabilidades legais.
Conformidade com as regulamentações: muitos setores têm regulamentações que exigem que as organizações protejam a privacidade e a segurança de seus dados. Por exemplo, as organizações de saúde devem estar em conformidade com a HIPAA, que exige a proteção dos dados do paciente. As organizações financeiras devem cumprir a Lei Gramm-Leach-Bliley (GLBA), que exige a proteção das informações financeiras do consumidor. O não cumprimento desses regulamentos pode resultar em grandes multas e responsabilidades legais.
Mantendo a confiança: Os clientes confiam nas organizações para manter seus dados seguros. Se sua organização sofrer uma violação de dados devido a negligência ou falta de preparação, isso poderá corroer a confiança do cliente e resultar em perda de negócios.

Exemplos da Importância do Treinamento e da Prontidão no Tratamento de Dados

Ataques de phishing: Os ataques de phishing são uma maneira comum de os cibercriminosos obterem acesso a dados confidenciais. Os funcionários que não são treinados para reconhecer emails de phishing podem, inadvertidamente, clicar em links ou baixar anexos que contenham malware, dando aos invasores acesso a dados confidenciais. Ao fornecer treinamento sobre como reconhecer e evitar ataques de phishing, sua organização pode reduzir o risco de violações de dados.
Backup e recuperação de dados: no caso de uma violação de dados, sua organização deve estar preparada para recuperar rapidamente dados perdidos ou roubados. Isso requer backups regulares e um plano de recuperação testado. Se os funcionários não forem treinados sobre como fazer backup e recuperar dados corretamente, sua organização poderá não conseguir recuperar informações críticas após uma violação.
Controles de acesso a dados: Sua organização deve garantir que somente o pessoal autorizado tenha acesso a dados confidenciais. Isso requer a implementação de controles de acesso e o fornecimento de treinamento aos funcionários sobre como usá-los. A falha no controle adequado do acesso aos dados pode resultar em violações de dados e responsabilidades legais.

Implementação de Controles de Segurança

A implementação de medidas de segurança robustas, criptografia, controles de acesso e mecanismos de autenticação no ambiente de nuvem é essencial para proteger os dados e garantir um ambiente de computação seguro. As informações a seguir descrevem as etapas para implementar efetivamente essas medidas de segurança:

Realizar uma avaliação de segurança:
- Comece com uma avaliação de segurança abrangente para identificar vulnerabilidades, ameaças e riscos potenciais em seu ambiente de nuvem.
- Entenda os tipos de dados que você tratará e processará na nuvem, além do impacto potencial de uma violação de segurança.
Definir requisitos de segurança:
- Com base na avaliação, defina requisitos de segurança específicos que devem ser abordados no seu ambiente de nuvem.
- Identifique os tipos de criptografia, controles de acesso e mecanismos de autenticação que serão necessários.
Escolha métodos de criptografia fortes:
- Determine os métodos de criptografia apropriados para dados em repouso, dados em trânsito e dados em uso.
- Selecione algoritmos de criptografia fortes e práticas de gerenciamento de chaves para garantir a confidencialidade dos dados.
Implementar controles de acesso:
- Estabeleça controles de acesso granulares para limitar quem pode acessar, modificar ou excluir dados e recursos na nuvem.
- Implemente o princípio do privilégio mínimo para garantir que os usuários tenham apenas as permissões necessárias.
Implementar autenticação multifator (MFA):
- Implemente a MFA para adicionar uma camada extra de segurança para autenticação do usuário.
- Exija que os usuários forneçam várias formas de verificação antes de acessar dados ou sistemas confidenciais.
Implementar o controle de acesso baseado em atribuição (RBAC, role-Based Access Control):
- Defina funções e atribua permissões específicas aos usuários com base em suas responsabilidades e funções.
- Certifique-se de que os usuários tenham acesso apenas aos recursos e dados necessários para suas tarefas.
Implementar a segurança da rede:
- Configure firewalls, segmentação de rede e sistemas de detecção/prevenção de intrusão para proteger contra acesso e ataques não autorizados.
Implementar o gerenciamento de chaves de criptografia:
- Estabeleça práticas adequadas de gerenciamento de chaves para gerar, armazenar, girar e revogar chaves de criptografia de forma segura.
- Certifique-se de que as chaves estejam protegidas contra acesso não autorizado e possíveis violações.
Implemente soluções de segurança:
- Implemente soluções de segurança, como software antivírus, sistemas de detecção de invasão e ferramentas de prevenção de perda de dados.
Executar correções de segurança regulares:
- Mantenha todos os serviços de nuvem, sistemas operacionais e software atualizados com os patches de segurança mais recentes para resolver vulnerabilidades conhecidas.
Forneça programas de treinamento e conscientização dos funcionários:
- Forneça programas regulares de treinamento e conscientização para educar os funcionários sobre as melhores práticas de segurança, phishing e riscos de engenharia social.
Implementar o monitoramento contínuo:
- Implemente o monitoramento contínuo do seu ambiente de nuvem para detectar e responder a quaisquer incidentes ou anomalias de segurança.
Desenvolva um plano de resposta a incidentes:
- Desenvolva um plano de resposta a incidentes bem definido para resolver e mitigar rapidamente violações ou incidentes de segurança.
Realizar auditorias de terceiros:
- Considere auditorias e avaliações de segurança de terceiros para validar a eficácia de suas medidas de segurança.
Realizar auditorias regulares de segurança:
- Realizar auditorias e avaliações periódicas de segurança para avaliar a eficácia dos controles de segurança implementados e identificar áreas para melhoria.
Crie documentação e políticas:
- Documente todas as medidas, configurações e políticas de segurança em um repositório centralizado para facilitar a referência e a conformidade.
Alinhe-se com a conformidade regulatória:
- Certifique-se de que suas medidas de segurança estejam alinhadas com os regulamentos e padrões de conformidade relevantes do setor.
Melhoria contínua:
- Avalie e melhore continuamente suas medidas de segurança com base em ameaças emergentes, melhores práticas e mudanças em seu ambiente de nuvem.

Monitoramento Contínuo

A implementação de ferramentas e processos para monitoramento contínuo do ambiente de nuvem é essencial para detectar e responder a possíveis ameaças e anomalias de segurança em tempo hábil. As informações a seguir descrevem as etapas para implementar efetivamente o monitoramento contínuo:

Definir objetivos de monitoramento:
- Defina claramente as metas e os objetivos do monitoramento contínuo, como detectar acesso não autorizado, atividades incomuns, violações de dados e problemas de desempenho.
Selecionar ferramentas de monitoramento:
- Escolha ferramentas e soluções de monitoramento apropriadas que se alinhem com sua plataforma e serviços de nuvem.
- Considere o uso de serviços de monitoramento nativos da nuvem, ferramentas de gerenciamento de eventos e informações de segurança de terceiros (SIEM) e sistemas de detecção de invasão (IDS).
Definir a coleta de dados:
- Configure origens de dados para coletar logs, eventos e métricas de recursos de nuvem, aplicativos, redes e dispositivos de segurança.
- Certifique-se de que você está coletando dados relevantes para análise.
Estabelecer linhas de base:
- Crie perfis de desempenho e comportamento de linha de base para seu ambiente de nuvem para estabelecer um ponto de referência para atividades normais.
Implemente o monitoramento em tempo real:
- Configure o monitoramento em tempo real para rastrear atividades e eventos à medida que eles ocorrem, permitindo uma resposta rápida a anomalias.
Agregue e correlacione dados:
- Agregue e correlacione dados de várias fontes para obter uma visão abrangente do seu ambiente de nuvem.
- Identifique padrões e possíveis incidentes de segurança correlacionando diferentes tipos de dados.
Criar limites de alerta:
- Defina limites de alerta com base no comportamento da linha de base e nos padrões conhecidos de atividades normais.
- Estabeleça limites que acionem alertas quando ocorrerem desvios da linha de base.
Configurar alertas automatizados:
- Configure alertas automatizados para notificar a equipe ou equipes apropriadas quando anomalias forem detectadas.
- Inclua instruções claras de ação nos alertas.
Integração do plano de resposta a incidentes:
- Integre o monitoramento contínuo ao seu plano de resposta a incidentes para garantir uma resposta rápida e eficaz às anomalias detectadas.
Estabelecer escalonamento de incidente:
- Defina caminhos e responsabilidades de escalonamento para responder a diferentes tipos de alertas, garantindo que incidentes críticos sejam escalonados prontamente.
Use análise e visualização de dados:
- Use ferramentas de visualização e análise de dados para identificar tendências, anomalias e ameaças potenciais dos dados monitorados.
Realizar análises e análises regulares:
- Realizar análises regulares e revisão de dados de monitoramento para identificar ameaças persistentes ou padrões de ataque em evolução.
Implemente a correção automatizada:
- Implemente respostas automatizadas a determinados tipos de alertas, como bloquear endereços IP maliciosos ou acionar ações predefinidas.
Geração de relatórios periódicos:
- Gere e distribua relatórios regulares que fornecem insights sobre a postura de segurança geral e a eficácia do programa de monitoramento.
Melhoria contínua:
- Refinar e melhorar continuamente os processos de monitoramento e alertas com base nas lições aprendidas com incidentes e cenários de ameaças em evolução.
Alinhe-se com os requisitos de conformidade:
- Garanta que seus processos e ferramentas de monitoramento estejam alinhados com os regulamentos do setor e os padrões de conformidade.
Fornecer treinamento e desenvolvimento de habilidades:
- Forneça treinamento à equipe de monitoramento para garantir que eles possam interpretar e responder de forma eficaz aos alertas de monitoramento.

Planejamento de resposta a incidentes

O desenvolvimento de um plano abrangente de resposta a incidentes é crucial para garantir que você esteja preparado para responder efetivamente a violações de segurança, vazamentos de dados e violações de conformidade de forma sistemática e coordenada. As informações a seguir descrevem as etapas para criar um plano:

Estabeleça uma equipe de resposta a incidentes multifuncional:
- Reúna uma equipe de especialistas de TI, segurança, jurídico, conformidade, comunicação e unidades de negócios relevantes.
- Defina funções, responsabilidades e cadeia de comando dentro da equipe.
Definir categorias de incidentes e níveis de severidade:
- Categorize possíveis incidentes com base em seu impacto e gravidade, como baixo, médio e alto.
- Defina claramente tipos de incidente, como violações de dados, infecções por malware, acesso não autorizado e violações de conformidade.
Crie uma política de resposta a incidentes:
- Desenvolva um documento de política que descreva sua abordagem à resposta a incidentes, incluindo metas, princípios orientadores e objetivos.
Desenvolva procedimentos de resposta a incidentes:
- Detalhar procedimentos passo a passo para detectar, relatar, avaliar, conter, erradicar e recuperar de diferentes tipos de incidentes.
- Inclua procedimentos de comunicação, preservação de evidências e relatórios às autoridades reguladoras.
Estabeleça protocolos de comunicação:
- Defina canais de comunicação, tanto interna quanto externamente, para reportar e gerenciar incidentes.
- Determine como se comunicar com as partes interessadas, clientes, parceiros e o público em caso de um incidente significativo.
Definir caminhos de escalonamento:
- Descreva claramente os caminhos de escalonamento e as autoridades de tomada de decisão com base na gravidade do incidente.
- Certifique-se de que incidentes críticos sejam escalados prontamente para os níveis de gerenciamento apropriados.
Coordenar com legalidade e conformidade:
- Colabore com equipes legais e de conformidade para garantir que as atividades de resposta a incidentes estejam alinhadas com os requisitos legais e as obrigações regulatórias.
Implementar procedimentos de notificação de violação de dados:
- Desenvolver procedimentos para cumprir as leis e regulamentos de notificação de violação de dados.
- Especifique o cronograma e o método para notificar os indivíduos afetados e as autoridades reguladoras.
Fornecer treinamento e conscientização:
- Treine funcionários, membros da equipe de resposta a incidentes e partes interessadas relevantes sobre suas funções e responsabilidades durante a resposta a incidentes.
- Realizar exercícios regulares e simulações para garantir a prontidão.
Teste e refine o plano:
- Realizar exercícios de mesa e simulações para testar a eficácia do plano de resposta a incidentes.
- Identifique áreas para melhoria e atualize o plano com base nas lições aprendidas.
Documente ferramentas e recursos de resposta a incidentes:
- Compile uma lista de ferramentas, tecnologias, recursos e informações de contato que serão usados durante a resposta a incidentes.
Coleta e análise de dados de incidentes:
- Implementar mecanismos para coletar e analisar dados de incidentes para melhorar estratégias de resposta e medidas preventivas.
Análise e relatórios pós-incidente:
- Realizar uma análise pós-incidente para avaliar a eficácia da resposta e identificar áreas para melhoria.
- Documente as lições aprendidas e atualize o plano de resposta a incidentes adequadamente.
Considerações jurídicas e de relações públicas:
- Abordar aspectos legais e de relações públicas da resposta a incidentes, incluindo coordenação com assessoria jurídica e elaboração de declarações públicas.
Atualizações de conformidade regulatória:
- Atualize continuamente o plano de resposta a incidentes para se alinhar aos requisitos regulatórios em evolução e às melhores práticas do setor.
Integração de fornecedores e de terceiros:
- Certifique-se de que seu plano de resposta a incidentes inclua procedimentos de coordenação com provedores de nuvem, fornecedores e parceiros terceirizados.

Auditorias e avaliações regulares

A realização de auditorias periódicas de conformidade é uma parte essencial da manutenção da sanidade e da boa governança dentro de uma organização. As auditorias de conformidade ajudam a garantir que você esteja cumprindo os padrões, regulamentos e políticas internas do setor e podem ajudar a identificar possíveis riscos e vulnerabilidades.

As seguintes informações descrevem algumas maneiras pelas quais as auditorias de conformidade podem ajudar a manter a sanidade e a boa governança:

Garantir a conformidade regulatória: As auditorias de conformidade podem ajudar a garantir que sua organização esteja cumprindo os regulamentos e padrões relevantes, como GDPR, PCI DSS e SOX. Ao identificar áreas de não conformidade, você pode tomar medidas corretivas para evitar penalidades legais e danos à reputação. Por exemplo, uma auditoria de conformidade pode identificar que sua organização não está protegendo adequadamente os dados do cliente, levando à não conformidade com o GDPR. Ao tomar medidas corretivas, como implementar controles de criptografia ou acesso, sua organização pode melhorar sua postura de conformidade.
Identificação de riscos e vulnerabilidades: As auditorias de conformidade podem ajudar a identificar possíveis riscos e vulnerabilidades em seus sistemas e processos. Ao identificar esses riscos, você pode tomar medidas proativas para mitigá-los e evitar violações de dados. Por exemplo, uma auditoria de conformidade pode identificar que seus sistemas não estão adequadamente protegidos contra ameaças externas, como ataques de phishing ou malware. Ao implementar medidas de segurança adicionais, como autenticação de dois fatores ou software anti-malware, sua organização pode reduzir o risco de violação de dados.
Melhoria de políticas e processos internos: As auditorias de conformidade também podem ajudar a identificar áreas em que políticas e processos internos podem ser aprimorados. Ao identificar áreas de não conformidade ou ineficiência, você pode tomar medidas corretivas para melhorar a governança e reduzir o risco de erros ou má conduta. Por exemplo, uma auditoria de conformidade pode identificar que sua política de senha não é adequada, levando a senhas fracas e maior risco de violações de dados. Ao implementar uma política de senha mais forte e educar os funcionários sobre as melhores práticas de senha, sua organização pode melhorar sua postura de segurança e reduzir o risco de violação.

Estratégias de Mitigação de Riscos

Um plano de mitigação de riscos é um plano que descreve as etapas e ações que você tomará para reduzir ou eliminar os riscos identificados no processo de avaliação de riscos. Ele se baseia no processo existente de avaliação de risco, registro de risco, priorização e pontuação e envolve as seguintes etapas:

Identificar os riscos a serem mitigados: A primeira etapa é identificar os riscos que precisam ser mitigados. Isso envolve a revisão da avaliação de riscos e do registro de riscos para determinar quais riscos representam a maior ameaça à sua organização e devem ser priorizados para mitigação.
Determinar a resposta de risco apropriada: Depois que os riscos forem identificados, a próxima etapa será determinar a resposta de risco apropriada. Isso pode envolver evitar o risco, transferir o risco para um terceiro, mitigar o risco ou aceitar o risco.
Desenvolver um plano de mitigação de risco: Com base na resposta ao risco, um plano de mitigação de risco é desenvolvido. Este plano descreve as etapas e ações que devem ser tomadas para reduzir ou eliminar os riscos. Isso pode incluir a implementação de controles de segurança, o aumento da conscientização e do treinamento, a realização de avaliações regulares de vulnerabilidade e o monitoramento de logs de segurança.
Atribuir responsabilidade e responsabilidade: O plano de mitigação de risco deve identificar claramente os indivíduos ou equipes responsáveis pela implementação de cada medida de mitigação e o prazo para conclusão. Isso garante que todos entendam seu papel no processo de mitigação e sejam responsabilizados por suas ações.
Monitorar e revisar o plano: Após a implementação do plano de mitigação de risco, é importante monitorar e revisar regularmente o plano para garantir que as medidas de mitigação sejam eficazes e sejam implementadas corretamente. Isso pode envolver a realização de avaliações regulares de risco, a revisão de logs de segurança e a realização de auditorias.

Exemplos de Medidas de Mitigação de Risco

Implementando a autenticação multifator para acesso a dados e sistemas confidenciais
Realizar avaliações regulares de vulnerabilidade e testes de penetração para identificar e resolver deficiências de segurança
Criptografar dados em trânsito e em repouso para proteger contra acesso não autorizado
Implementando procedimentos de backup e recuperação de dados para garantir que os dados não sejam perdidos em caso de incidente de segurança
Estabelecer procedimentos de resposta a incidentes para permitir uma resposta rápida e eficaz a incidentes de segurança
Aumentar a conscientização dos funcionários sobre os riscos de segurança por meio de programas de treinamento e educação.

Identificação de Risco Contínuo

A configuração de um plano para identificação, avaliação e mitigação contínuas de riscos é fundamental para o sucesso de uma jornada de adoção da nuvem pelos seguintes motivos:

O cenário da nuvem está em constante evolução. A tecnologia de nuvem e os riscos associados estão em constante mudança, e é importante monitorar e avaliar continuamente os riscos para garantir que eles sejam mitigados adequadamente.
Novos riscos podem surgir. À medida que sua jornada de adoção da nuvem avança, novos riscos podem surgir. A identificação e avaliação regulares de riscos ajudam a garantir que novos riscos sejam identificados e tratados em tempo hábil.
Os requisitos de conformidade podem mudar. Os requisitos de conformidade, como GDPR, HIPAA e PCI DSS, são atualizados regularmente, e sua organização deve garantir que o ambiente de nuvem permaneça em conformidade com esses regulamentos. A avaliação contínua de riscos pode ajudar a identificar lacunas de conformidade e permitir que as organizações as resolvam antes que se tornem um problema.
Detecção precoce de incidentes de segurança. A identificação e a avaliação contínuas de riscos podem ajudar a detectar incidentes de segurança no início, permitindo que sua organização responda rapidamente e minimize o impacto de um incidente.
Otimização de custos. A avaliação regular de riscos pode ajudar sua organização a otimizar os custos da nuvem, identificando áreas em que medidas de economia de custos podem ser implementadas sem comprometer a segurança ou a conformidade.

Manutenção de rotina

A manutenção de rotina é essencial para manter a conformidade do sistema e reduzir o risco de exploração de dados e violações de ameaças de segurança inesperadas. As informações a seguir descrevem algumas maneiras pelas quais a manutenção de rotina pode ajudar:

Gerenciamento de patches: As vulnerabilidades de software são um alvo comum para cibercriminosos. A manutenção de rotina inclui a aplicação de patches de segurança para corrigir vulnerabilidades e impedir que invasores as explorem. O gerenciamento de patches pode ajudar a garantir que os sistemas permaneçam em conformidade com os padrões e regulamentos do setor, como o PCI DSS e o GDPR. Por exemplo, quando o ataque de ransomware WannaCry atingiu em 2017, as organizações que implementaram patches de rotina foram menos vulneráveis ao ataque.
Backups do sistema: A manutenção de rotina inclui o backup de dados e sistemas críticos para garantir que, em caso de violação, sua organização possa recuperar dados rapidamente. Os backups também podem ajudar a garantir a conformidade com regulamentos como o HIPAA, que exige que as organizações de saúde mantenham backups de informações eletrônicas de saúde protegidas. Por exemplo, quando a cidade de Atlanta foi atingida por um ataque de ransomware em 2018, os backups de rotina permitiram que a cidade recuperasse dados e sistemas sem pagar o resgate.
Gerenciamento de acesso do usuário: A manutenção de rotina inclui a revisão do acesso do usuário a sistemas e dados para garantir que somente pessoas autorizadas tenham acesso a informações confidenciais. Isso pode ajudar a evitar ameaças internas e violações de dados resultantes de erro humano. Por exemplo, se um funcionário sair de sua organização ou alterar funções, a manutenção de rotina poderá ajudar a garantir que o acesso a dados confidenciais seja revogado ou atualizado.
Atualizações de firewall e antivírus: Firewalls e software antivírus ajudam a prevenir e detectar ameaças de segurança. A manutenção de rotina inclui a atualização desses sistemas para garantir que eles sejam eficazes contra ameaças novas e emergentes.

Considerações Adicionais

Auditorias de terceiros: considere auditorias de terceiros para validar a conformidade com os padrões e regulamentos do setor.
Residência de dados: Atenda aos requisitos de residência de dados e garanta que os dados sejam armazenados e processados em conformidade com as leis relevantes.
Conformidade internacional: se estiver operando além-fronteiras, considere os regulamentos internacionais de proteção de dados e as leis de privacidade.

Constraints e Bloqueadores

Complexidade regulatória: Navegar em regulamentações complexas e em evolução em diferentes jurisdições pode representar desafios.
Limitações do fornecedor de nuvem: alguns provedores de nuvem podem ter restrições que afetam medidas de conformidade ou práticas de tratamento de dados.
Resistência à mudança: Os funcionários podem resistir à adoção de novos processos ou medidas de segurança, afetando os esforços de conformidade.

Documentação do Oracle Cloud Infrastructure