A governança, gestão de riscos e conformidade (GRC) em segurança da informação é a disciplina que define como uma organização protege suas informações, verifica se essa proteção é eficaz e comprova isso a terceiros. Uma equipe de GRC geralmente não configura firewalls nem escreve código; ela estabelece diretrizes, mensura riscos e reúne evidências.
Isso é importante porque ferramentas de segurança, por si sós, não conquistam confiança. Clientes exigem evidências, órgãos reguladores esperam disciplina e líderes precisam saber quais riscos devem receber investimento. O GRC transforma o trabalho técnico em decisões e registros nos quais se pode confiar.
Cada letra da sigla GRC responde a uma pergunta diferente.
Juntos, esses elementos geram segurança e confiabilidade (assurance), ou seja, a certeza fundamentada de que os controles existem e funcionam. Vamos associar cada área às entregas que ela tipicamente produz:
A área de GRC raramente executa diretamente o trabalho que supervisiona. Ela depende de outras equipes para realizá-lo; portanto, o relacionamento é fundamental para a função.
Considere, por exemplo, as revisões de acesso, nas quais gestores confirmam quem ainda precisa de acesso a quais sistemas. O GRC define o requisito e acompanha a conclusão. A TI executa o processo e extrai as listas de usuários. A Engenharia ajusta os acessos em seus próprios sistemas. As áreas Jurídica e de Privacidade orientam sobre as obrigações relacionadas a dados. A Auditoria Interna verifica posteriormente se o processo foi realizado. A área de Compras traz fornecedores que também precisam passar por essa mesma análise. Veja como essas responsabilidades são divididas para esse controle específico: