Las empresas interconectadas de hoy en día se enfrentan a un número cada vez mayor de amenazas a la ciberseguridad y de requisitos de cumplimiento normativo. Desde un punto de vista técnico, el cumplimiento normativo en materia de TI consiste en la forma en que su organización adapta sus sistemas y prácticas de tecnología de la información (TI) a las leyes, normativas del sector y estándares pertinentes.
Contar con una sólida estrategia de cumplimiento normativo en materia de tecnologías de la información es fundamental para hacer frente a este obstáculo cada vez mayor, tanto cibernético como normativo. Seamos realistas: las consecuencias del incumplimiento son graves y van desde multas cuantiosas y acciones legales hasta un daño irreparable a la reputación de su empresa.
Esta guía aborda las diferencias fundamentales entre el cumplimiento normativo en materia de TI y el cumplimiento de la seguridad de TI, explica por qué es esencial dar prioridad al cumplimiento normativo en materia de TI para el éxito de su organización mediante el análisis de ejemplos reales, ofrece una visión general de los tipos de cumplimiento más comunes que debe conocer y, a continuación, profundiza en los componentes imprescindibles para crear un programa eficaz de cumplimiento normativo en materia de TI.
Definición de cumplimiento normativo en el ámbito de las tecnologías de la información
En esencia, el cumplimiento normativo en materia de TI consiste en armonizar los sistemas, procesos y políticas de TI de su organización con la legislación pertinente, las normativas de cumplimiento y los estándares del sector, mediante la implementación de medidas de seguridad adecuadas, el mantenimiento de registros precisos y la realización de auditorías periódicas, así como la elaboración de informes sobre el estado del cumplimiento.
Los requisitos de cumplimiento normativo en materia de TI pueden variar considerablemente en función del sector, la ubicación y el tipo de datos con los que se trabaje. Por ejemplo:
- Las organizaciones sanitarias deben cumplir con la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) para proteger la privacidad de los pacientes
- Las entidades financieras deben cumplir la Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS) para garantizar la seguridad de las transacciones con tarjeta de crédito.
- Las organizaciones que colaboran con el Departamento de Defensa de los Estados Unidos deben cumplir los requisitos de la Certificación del Modelo de Madurez en Ciberseguridad (CMMC) de la Agencia de Seguridad de la Información de la Defensa ( ) para proteger la información no clasificada controlada (CUI).
El incumplimiento de estos requisitos puede acarrear sanciones importantes, acciones legales y daños a la reputación.
Cumplimiento normativo en materia de TI frente al cumplimiento normativo en materia de seguridad
Aunque las tecnologías de la información y el cumplimiento normativo en materia de seguridad están estrechamente relacionados, no son lo mismo.
El « » en materia de cumplimiento normativo de las tecnologías de la información se refiere, en general, a las leyes, normativas y directrices de ciberseguridad específicas que afectan al entorno informático de una organización. Consiste en garantizar que los sistemas y procesos cumplan con las normas específicas establecidas por los organismos reguladores, tales como las leyes de protección de datos —como el RGPD—, las normativas financieras —como la PCI DSS— y otras normativas específicas del sector, como la HIPAA. El cumplimiento normativo en materia de TI suele centrarse en la gestión de los sistemas y los datos de los usuarios con el fin de cumplir los requisitos legales y reglamentarios.
Por otra parte, el cumplimiento normativo en materia de seguridad informática se considera un subconjunto del cumplimiento normativo en materia de TI, ya que se centra en las medidas de seguridad utilizadas para proteger los activos y la información confidencial de su organización frente a las amenazas. Mediante el cumplimiento de protocolos de seguridad como SOC 2, normas como las del NIST y (cumplimiento con el CIS), y marcos de trabajo como (MITRE ATT&CK) y (Zero Trust), el cumplimiento de las normas de seguridad tiene como objetivo proteger los datos y la infraestructura informática mediante medidas que garanticen la funcionalidad y la fiabilidad operativas, identifiquen y subsanen las vulnerabilidades, y eviten el acceso no autorizado.
No obstante, existen solapamientos significativos entre ambos conceptos: muchas normas de cumplimiento en materia de TI, como el RGPD y la HIPAA, incluyen importantes aspectos relacionados con la seguridad que exigen a las organizaciones aplicar medidas de seguridad específicas para proteger los datos sensibles. Unas prácticas de seguridad sólidas también pueden ayudar a las organizaciones a cumplir con sus obligaciones de cumplimiento normativo, al reducir el riesgo de filtraciones de datos y otros incidentes de seguridad.
Tanto el cumplimiento normativo en materia de tecnologías de la información como el cumplimiento normativo en materia de seguridad son esenciales y se complementan mutuamente para ayudar a las organizaciones a operar de forma segura y conforme a la ley en el panorama digital actual. Aunque las normas de cumplimiento establecen directrices estrictas, ofrecen a las empresas una valiosa orientación sobre las mejores prácticas en materia de ciberseguridad y protección de datos.
¿Por qué es importante el cumplimiento normativo en el ámbito de las tecnologías de la información?
Los riesgos derivados del incumplimiento son considerables y pueden acarrear consecuencias de gran alcance para las organizaciones. Entre los riesgos más importantes se encuentran:
- Amenazas a la ciberseguridad: Las organizaciones que no cumplen con la normativa son más vulnerables a los ciberataques, ya que pueden carecer de las medidas de seguridad necesarias para protegerse frente a amenazas en constante evolución. Según las conclusiones del « » 2024 Thales Data Threat Report, el 31 % de las organizaciones encuestadas que no superaron una auditoría de cumplimiento en los últimos doce meses también sufrieron una filtración de datos ese mismo año.
- Sanciones legales y económicas: El incumplimiento de los requisitos de cumplimiento puede acarrear multas cuantiosas, acciones legales y otras sanciones. Por ejemplo, , en virtud del RGPD, las organizaciones pueden enfrentarse a multas de hasta 20 millones de euros o el 4 % de su volumen de negocio anual a nivel mundial, lo que sea mayor.
- Interrupción de la actividad empresarial: En caso de una filtración de datos, el incumplimiento de la normativa puede afectar negativamente a los resultados de su empresa. El estudio « » 2023 , realizado por IBM y el Ponemon Institute , reveló que los costes de notificación (actividades que permiten a las organizaciones informar a los interesados, a las autoridades reguladoras en materia de protección de datos y a otros terceros sobre una violación de datos) aumentaron un 19.4 % con respecto a 2022, y que el coste de la detección y la escalación (es decir, investigaciones, auditorías, gestión de crisis, etc.) se incrementó un 9.7 %.
Ejemplos de multas por incumplimiento normativo
En ocasiones, las marcas que conocemos y en las que confiamos cometen costosos errores en materia de cumplimiento normativo en el ámbito de las tecnologías de la información. A continuación se presentan algunos ejemplos reales de incumplimientos normativos ocurridos en los últimos años que ayudan a poner de relieve la importancia de dar prioridad al cumplimiento normativo en el ámbito de las tecnologías de la información:
- En January 2023, , la Comisión Europea impuso a Meta una multa de 390 millones de euros por infringir el RGPD al utilizar datos personales para publicidad personalizada sin el consentimiento adecuado de los usuarios. En mayo, el RGPD impuso a Meta una multa sin precedentes de 1.2 000 millones de euros por poner en riesgo los datos de los ciudadanos de la Unión Europea (UE) al enviarlos a Estados Unidos.
- En 2022, Robinhood Crypto acordó pagar 30 millones de dólares al Departamento de Servicios Financieros del Estado de Nueva York por no haber abordado adecuadamente los riesgos de cumplimiento en sus programas de lucha contra el blanqueo de capitales y de ciberseguridad.
- En 2021, la Oficina del Contralor de la Moneda de EE. UU. impuso una multa de 60 millones de dólares a Morgan Stanley por no haber supervisado adecuadamente el desmantelamiento de dos centros de datos.
- El September 6, 2018, British Airways (BA) anunció que se había producido una filtración de datos que afectaba a los dominios desde June 22 hasta September 5. BA tardó 76 días en detectar el ataque. Magecart, un grupo dedicado al skimming de tarjetas vinculado a Rusia, accedió a una pasarela de acceso remoto de Citrix utilizando las credenciales de inicio de sesión que BA había facilitado a la empresa de gestión de carga Swissport.
Según la Oficina del Comisionado de Información (ICO), , la autenticación multifactorial (MFA) no protegió la cuenta de Swissport que resultó comprometida. Una vez dentro de la red de BA, el atacante encontró una cuenta de administrador de dominio con privilegios de y un nombre de usuario que le concedía un acceso prácticamente ilimitado. A continuación, el atacante comenzó a buscar en los servidores y encontró archivos de texto sin cifrar que contenían datos de tarjetas de pago, los cuales BA había registrado y almacenado por error desde el 2015.
En su notificación de sanción, la ICO señaló un aspecto positivo: el periodo de conservación de los datos de los registros era de solo 95 días, por lo que el atacante solo tuvo acceso a unas 108,000 tarjetas de pago potenciales. Sin embargo, el atacante aprovechó otro error de BA: una vulnerabilidad de JavaScript bien documentada en la página web de pagos de BA. Magecart lo modificó y sustrajo los datos de los titulares de tarjetas de casi 400,000 clientes de BA. La revista Wired informó de que la página web de pagos que contenía el código JavaScript problemático se actualizó por última vez en 2012. La ICO se mostró tan consternada por el hecho de que BA no hubiera utilizado medidas de seguridad fácilmente disponibles para identificar y resolver rápidamente sus deficiencias en materia de seguridad que le impuso la multa más elevada hasta la fecha: £20 millones de.
«. Si se considera como un error aislado, podría considerarse bastante trivial. Sin embargo, el hecho de que [la brecha de seguridad] no se detectara durante tanto tiempo y de que [el] script no se hubiera actualizado apunta a un problema más sistémico en la gobernanza de las tecnologías de la información en BA, lo que significa que es poco probable que se trate de una vulnerabilidad aislada. Un seguimiento eficaz lo habría detectado rápidamente.»Andrew Dwyer, investigador en ciberseguridad de la Universidad de Oxford
10 tipos habituales de normas de cumplimiento en el ámbito de las tecnologías de la información
Las organizaciones deben cumplir con una amplia variedad de normas de cumplimiento en materia de tecnologías de la información, en función de su sector, su ubicación y los tipos de datos que gestionan.
Entre las normas más habituales se encuentran las siguientes:
- Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)
La HIPAA es una ley estadounidense que establece normas de privacidad y seguridad para la información sanitaria protegida (PHI). Se aplica a los prestadores de asistencia sanitaria, a las aseguradoras médicas, a los centros de intercambio de información sanitaria y a los socios comerciales con los que colaboran las entidades sujetas a la normativa. - Reglamento General de Protección de Datos (RGPD)
El RGPD es una ley integral de protección de datos que se aplica a las organizaciones que tratan datos personales de ciudadanos de la UE, independientemente de dónde tenga su sede la organización. Exige a las organizaciones que obtengan el consentimiento explícito para el tratamiento de datos, que garanticen a las personas el derecho a acceder a sus datos y a suprimirlos, y que notifiquen las violaciones de seguridad en un plazo de 72 horas. - Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS)
Las normas de seguridad PCI DSS protegen las transacciones con tarjeta de crédito y se aplican a cualquier organización que acepte, procese, almacene o transmita datos de tarjetas de crédito. - Ley Sarbanes-Oxley (SOX)
La SOX es una ley estadounidense que establece los requisitos en materia de información financiera y controles internos para las empresas que cotizan en bolsa. Exige llevar registros financieros precisos, aplicar controles internos y evaluar e informar periódicamente sobre la eficacia de dichos controles. - Ley Gramm-Leach-Bliley (GLBA)
La GLBA es una ley estadounidense que exige a las entidades financieras que protejan la privacidad y la seguridad de los datos de los clientes mediante medidas de seguridad, como controles de acceso y evaluaciones de riesgos. Exige a las organizaciones que faciliten avisos de privacidad y opciones de exclusión voluntaria. - Ley Federal de Gestión de la Seguridad de la Información (FISMA)
La FISMA es una ley de los Estados Unidos que establece los requisitos de seguridad de la información para los organismos federales, entre los que se incluyen evaluaciones de riesgos, planes de respuesta ante incidentes e informes periódicos sobre el estado del cumplimiento. - FedRAMP FedRAMP es un programa del Gobierno de los Estados Unidos que estandariza la evaluación de seguridad, la autorización y la supervisión obligatorias para los organismos federales que utilizan servicios en la nube para procesar, almacenar o transmitir datos federales.
- Control de Organizaciones de Servicios (SOC) 2
SOC 2 es una norma voluntaria de cumplimiento en materia de protección de datos elaborada por el Instituto Americano de Contables Públicos Certificados (AICPA) para organizaciones de servicios. Se centra en cinco principios fundamentales: seguridad, disponibilidad, integridad del tratamiento, confidencialidad y privacidad. - ISO 27001
La norma ISO 27001 es una norma internacional sobre sistemas de gestión de la seguridad de la información (SGSI). Proporciona un marco para identificar, evaluar y gestionar los riesgos relacionados con la seguridad de la información. La certificación demuestra la implantación de controles de seguridad adecuados y el compromiso de la organización con la mejora. - Instituto Nacional de Normas y Tecnología (NIST)
El NIST es un organismo no regulador dependiente del Departamento de Comercio de los Estados Unidos que elabora normas, directrices y buenas prácticas en materia de ciberseguridad. El Marco de Ciberseguridad del NIST, que se utiliza en numerosos sectores, ofrece un enfoque voluntario y basado en el riesgo para la gestión de los riesgos de ciberseguridad.
Lista de comprobación del programa de cumplimiento normativo en materia de TI
Aunque los requisitos específicos de cumplimiento varían en función de la norma y el sector, existen varios componentes clave que resultan esenciales para un programa eficaz de cumplimiento en materia de TI:
- Evaluación de riesgos: Evalúe periódicamente sus sistemas y procesos informáticos para identificar posibles riesgos de cumplimiento normativo y vulnerabilidades.
- Políticas y procedimientos: Elaborar y aplicar políticas de seguridad y procedimientos de gestión de riesgos claros que se ajusten a las normas de cumplimiento informático pertinentes.
- Formación y sensibilización del personal: Ofrezca programas periódicos de formación y sensibilización para garantizar que el personal comprenda la importancia de las políticas de cumplimiento en materia de TI y el papel fundamental que desempeña.
- Controles de acceso: Asegúrese de que solo las personas autorizadas puedan acceder a los datos y sistemas confidenciales mediante la autenticación multifactorial (MFA), los controles de acceso basados en roles y revisiones periódicas de los permisos de acceso.
- Recuperación ante desastres y prevención de la pérdida de datos : Las normas de cumplimiento en materia de recuperación ante desastres tienen por objeto minimizar el impacto en el negocio de los fallos de infraestructura, exigiendo a su organización que implemente procesos sólidos de copia de seguridad y recuperación.
- Cifrado y protección de datos: Los datos confidenciales deben cifrarse tanto en tránsito como en reposo para protegerlos contra el acceso o la divulgación no autorizados.
- Respuesta ante incidentes y notificación de los mismos: Elabore un plan para detectar, investigar y responder ante posibles incidentes. Incluya procedimientos para notificar las infracciones de seguridad a las autoridades y partes interesadas pertinentes.
- Supervisión y auditoría continuas: Supervise sus sistemas y procesos informáticos para detectar posibles problemas relacionados con la gestión del cumplimiento normativo y realice periódicamente auditorías de cumplimiento para evaluar la eficacia de su programa.
- Visibilidad de los terminales: . La información en tiempo real sobre el estado de sus activos de TI le permite identificar y resolver posibles problemas de cumplimiento normativo antes de que se agraven.
¿Cómo puede reducir el riesgo de incumplimiento normativo?
Para reducir el riesgo es necesario establecer un programa sólido de cumplimiento normativo en materia de TI que se ajuste tanto a las políticas internas como a los requisitos normativos externos, mediante auditorías periódicas, una supervisión continua y la actualización de las prácticas de cumplimiento para adaptarse a la evolución de las normas y las tecnologías. La formación de los empleados en materia de políticas de cumplimiento normativo en el ámbito de las tecnologías de la información, el mantenimiento de una documentación clara y la implantación de una gobernanza de datos eficaz pueden mitigar aún más los riesgos.
Mediante una gestión proactiva del cumplimiento normativo en materia de TI, las organizaciones pueden evitar costosas sanciones, proteger su reputación y garantizar la confianza de los clientes y las partes interesadas. Recuerde que el cumplimiento normativo no es una tarea puntual, sino un proceso continuo que requiere diligencia, capacidad de adaptación y un enfoque proactivo e integral.
[Véase también: Cumplimiento normativo frente a gestión de riesgos: definiciones y diferencias]
Tome el control, optimice sus procesos y garantice una gestión integral de los riesgos y el cumplimiento normativo con la solución « » de Tanium Risk & Compliance. Nuestra solución analiza en cuestión de minutos todos sus dispositivos de punto final de para detectar brechas de seguridad y riesgos de cumplimiento normativo. De este modo, podrá pasar de forma rápida y fluida de la evaluación a la mitigación y, posteriormente, a la corrección, todo ello dentro de una única plataforma. Asimismo, puede optimizar las tareas de cumplimiento normativo mediante la automatización de procesos clave, como las evaluaciones de vulnerabilidades, la gestión de parches y la aplicación de configuraciones, con la capacidad de aplicar controles a los terminales gestionados y no gestionados, tanto si se encuentran en las propias instalaciones como si están ubicados de forma remota.
La AEM es una categoría emergente de automatización basada en la inteligencia artificial, y nuestro objetivo es combinar componentes esenciales como , la gestión unificada de terminales y la IA compuesta para ofrecer capacidades integrales y autónomas. Obtenga más información sobre cómo la visión de Tanium respecto a la gestión autónoma de terminales (AEM) revolucionará la forma en que su organización gestiona los terminales de TI. Al incorporar datos en tiempo real y análisis basados en inteligencia artificial de que automatizan y recomiendan medidas en función de los objetivos y la tolerancia al riesgo de su organización, podrá tomar decisiones más fundamentadas y eficientes, reducir la carga de trabajo manual y mejorar sus capacidades operativas y de seguridad.
