El cambio es la nueva realidad para los responsables actuales de la información y la gobernanza, la gestión de riesgos y el cumplimiento normativo (GRC). La rápida evolución de la normativa en materia de cumplimiento, el aumento de las sanciones económicas y una aplicación más rigurosa de la ley son la tónica general.
Este nuevo entorno se está desarrollando, en parte, como respuesta a la transformación digital de las organizaciones modernas. Sin embargo, la creciente complejidad de los sistemas tecnológicos, a su vez, hace que el cumplimiento normativo resulte cada vez más complicado.
Por ejemplo, First American fue sancionada (se abre en una nueva pestaña) por las autoridades reguladoras del estado de Nueva York por haber dejado expuestos durante más de 15 años cientos de millones de documentos de clientes que contenían información de identificación personal (PII). Este grave incidente relacionado con la privacidad se debió a un error básico de diseño en su página web.
Este incidente pone de manifiesto que las organizaciones se ven sometidas a una presión cada vez mayor para conocer qué datos sensibles poseen, dónde se encuentran y cómo se protegen. Pero esto no es más que una pieza del rompecabezas.
Cómo mejorar su estrategia de gestión de riesgos y privacidad de los datos
Veamos siete formas en las que puede mejorar su estrategia de gestión de riesgos y privacidad de datos de (se abre en una nueva pestaña) para minimizar el riesgo empresarial y optimizar las iniciativas de cumplimiento normativo.
1. Visibilidad en todas partes
En una empresa moderna, los datos están por todas partes. Esto plantea dificultades en materia de visibilidad, dado que el entorno de los dispositivos finales es heterogéneo. Podría extenderse a los activos heredados y actuales basados en Linux, Mac y Windows, así como a máquinas virtuales, contenedores e infraestructuras en la nube de muy diversa índole. Es fundamental conocer qué datos existen en esos dispositivos; si las autoridades reguladoras consideran que usted no dispone de esta información, podría enfrentarse a multas más elevadas en caso de que se produzca un incidente.
Por lo tanto, debe elaborar un inventario preciso y actualizado y, a continuación, identificar los controles necesarios para proteger dichos terminales y datos. La capacidad de realizar búsquedas de forma rápida, sencilla y rentable en este inventario resulta esencial para detectar datos que no cumplen con la normativa y propiedad intelectual (PI) sensible. No solo le ayudará a gestionar el riesgo de forma más eficaz, sino que también podría reducir los costes de terceros asociados a los certificados de destrucción de datos durante los proyectos de baja de empleados.
2. Cifre todos los datos en reposo
Una vez que haya elaborado un inventario preciso como el anterior, es el momento de plantearse de forma más integral los controles que puede aplicar a los datos y a los terminales. Las herramientas de prevención de pérdida de datos (DLP) (se abre en una nueva pestaña) resultan adecuadas en determinadas circunstancias. Sin embargo, no pueden hacer nada si los ladrones desconectan los ordenadores portátiles o dispositivos robados, o si extraen el disco duro. Por eso, un cifrado sólido de todos los discos duros de los dispositivos constituye una medida básica eficaz para mitigar los riesgos relacionados con los datos. Hoy en día, muchos sistemas operativos ya incorporan esta funcionalidad, por lo que no es necesario adquirir herramientas de terceros. Sin embargo, es necesario gestionarlos a gran escala.
3. La minimización de datos comienza con las políticas
La minimización de datos es un pilar fundamental del RGPD de la UE (se abre en una nueva pestaña) y cada vez más organismos reguladores de todo el mundo la consideran una buena práctica. Se basa en la idea de que las organizaciones deben recopilar y tratar únicamente los datos que sean adecuados y pertinentes para la finalidad en cuestión, y nada más. En pocas palabras: si no lo necesita, elimínelo. Junto con medidas más técnicas, como el cifrado y los sistemas de prevención de pérdida de datos (DLP), puede considerarse un control muy eficaz en sí mismo, ya que reduce al mínimo las posibilidades de que los datos confidenciales sean objeto de robo o uso indebido.
Aunque la tecnología es fundamental para ayudarle a localizar y eliminar cualquier dato innecesario, su trabajo siempre debe comenzar por la elaboración de políticas administrativas. Esto no solo se aplica a la minimización de datos, sino a todo, desde la gestión de contraseñas hasta la obtención del consentimiento informado de los clientes. A continuación, busque la forma de comunicar esa política de manera eficaz a sus empleados. Medidas sencillas como esta pueden resultar de gran ayuda, aunque, en última instancia, no logren evitar un incidente. Si las autoridades reguladoras determinan que los controles no se aplicaron de forma eficaz, el hecho de que haya reflexionado sobre las políticas y las haya comunicado a los empleados podría, aun así, limitar cualquier medida sancionadora.
4. Realizar evaluaciones de impacto en la privacidad
Las evaluaciones de riesgos para la privacidad o de impacto en la protección de datos son, asimismo, principios fundamentales del RGPD y de la CCPA. Si bien es fundamental comprender los flujos de datos en lo que respecta a las aplicaciones y los terminales existentes, también es importante que aborde de forma proactiva esos mismos riesgos en las nuevas aplicaciones o proyectos. Dedique tiempo a documentar qué datos se recopilarán y hacia dónde se canalizarán. A continuación, elabore las políticas administrativas que regulen dichos datos. Aplique el criterio de minimización de datos para determinar si realmente es necesario recopilar datos concretos o si ello supondrá un riesgo adicional innecesario y podría exponer a la empresa a importantes sanciones por incumplimiento normativo.
5. Comprender el riesgo geográfico
Más de 120 leyes internacionales (se abre en una nueva pestaña) regulan la protección de datos y la privacidad, y su número no deja de crecer. Solo en Estados Unidos, algunos estados han comenzado a aplicar su propia legislación. Esto supone una gran complejidad para los responsables de GRC. Sin embargo, en lo que la mayoría coincide es en que los datos deben almacenarse de forma local. De hecho, el RGPD establece normas estrictas que regulan las transferencias internacionales a «países terceros».
Por lo tanto, parte del proceso de identificación debe consistir en comprender dónde se almacenan geográficamente los datos en su organización y dónde deberían ubicarse para cumplir con la normativa local. Los controles tecnológicos y administrativos deben diseñarse de forma adecuada. Lamentablemente, algunas herramientas de gestión de riesgos y privacidad de datos pueden agravar el problema al copiar datos y enviarlos a un servidor centralizado, que puede encontrarse en otra jurisdicción. En este caso, las palabras clave deberían ser «minimización» y «localización».
6. Evaluación de los proveedores de servicios en la nube
En el mercado de la nube existe una variedad abrumadora de opciones para los responsables de TI de hoy en día. Sin embargo, también existen algunos riesgos ocultos. Aunque los proveedores más pequeños puedan ofrecer soluciones a precios atractivos, es posible que el nivel de madurez de sus procesos de gestión de datos y de protección de la privacidad no se ajuste a sus necesidades. La implementación de herramientas de terceros puede acarrear facturas elevadas, ya que la extracción de datos de entornos en la nube suele resultar costosa. Además, considere si el proveedor cuenta con centros de datos en las regiones pertinentes, de modo que pueda cumplir con las obligaciones relacionadas con la localización.
7. Forme un equipo
Por último, recuerde que el riesgo relacionado con los datos y la privacidad no es, ante todo, un reto técnico, sino un problema empresarial y normativo que la tecnología puede ayudar a resolver. Por eso es fundamental contar no solo con responsables técnicos, sino también con responsables jurídicos, de cumplimiento normativo y empresariales a la hora de elaborar una estrategia. Esto no es algo que ninguna de esas partes interesadas pueda resolver por sí sola. Es posible que necesite un equipo numeroso para identificar las distintas legislaciones internacionales a las que está sujeta su organización, diseñar las políticas administrativas adecuadas y, a continuación, aplicar los controles técnicos pertinentes.
También es importante rebatir la opinión de algunos consejos de administración de que se trata de un centro de costes en el que conviene reducir la plantilla. De hecho, los hombres y mujeres a los que decida incorporar para respaldar la estrategia de su organización en materia de riesgos relacionados con los datos y la privacidad le reportarán beneficios que superarán con creces su coste, al evitarle multas reglamentarias que podrían ser cuantiosas y daños a su reputación. Invertir en ellos es invertir en el futuro.
Para obtener más información sobre la solución «Tanium Data Risk and Privacy», lea nuestra entrada de blog « : 10 formas en las que Tanium mejora la gestión de riesgos y la privacidad de los datos» (se abre en una nueva pestaña).
Si está listo para verlo en acción, solicite una demostración (se abre en una nueva pestaña) hoy mismo.
