Como si los responsables informáticos no tuvieran ya bastante con lo suyo, muchos se encuentran con otra gran responsabilidad que gestionar: el cumplimiento de las normativas.

Hay varios organismos reguladores que establecen requisitos de cumplimiento, que difieren de un país a otro o incluso de un estado a otro en Estados Unidos. Para que una empresa se ajuste a la normativa, debe cumplir todos los requisitos legales, reglamentarios y específicos del sector en materia de ciberseguridad. Sin embargo, debido al incesante flujo de normativas, a los constantes cambios en las mismas y al solapamiento de requisitos, el cumplimiento puede resultar desalentador para las organizaciones. A pesar de los desafíos, el cumplimiento de la ciberseguridad es crucial para el éxito de una organización y debe ser una prioridad para todas las organizaciones.

Un programa de cumplimiento ofrece numerosos beneficios, como reducir la posibilidad de que se produzca una infracción, facilitar las auditorías y certificaciones, y proporcionar una imagen más clara de la situación de riesgo de una empresa para que pueda tomar decisiones informadas sobre prioridades e inversiones en seguridad. El cumplimiento de las normas también genera confianza entre los clientes, ya que la empresa es considerada responsable y segura.

Por otro lado, las consecuencias del incumplimiento pueden ser graves y acarrear cuantiosas multas y sanciones legales. Las empresas pueden ser más vulnerables a los ataques, ya que los controles de seguridad pueden no ser lo suficientemente estrictos para proteger contra las constantes amenazas. A su vez, esto puede dar lugar a acciones legales por parte de los clientes o socios afectados por una brecha de datos y causar daños a la reputación, lo que dificulta que una empresa mantenga sus clientes y atraiga a otros nuevos.

Los resultados positivos y las repercusiones dejan claro que, independientemente del tamaño, el sector y la ubicación, su organización debe contar con un programa de cumplimiento, pero ¿cómo debe elaborarlo exactamente?

Cómo crear un programa de cumplimiento

Al igual que sucede con muchas otras cosas, no existe un enfoque único para todos los programas, aunque sí hay una serie de directrices generales y prácticas de sentido común que todas las empresas deberían tener en cuenta. 

Conviértase en un experto en cumplimiento

Como experto en cumplimiento normativo, debe asegurarse de que el entorno de la organización está bien mantenido y actualizado para hacer frente a todas las regulaciones y a todas las amenazas. Necesitará un conocimiento profundo del panorama normativo y de los requisitos de cumplimiento específicos de su sector, del país en el que opera y de los países de sus clientes.

Por ejemplo, podría estar obligado a cumplir las normativas PCI DSS, RGPD y CCPA si acepta o almacena información de tarjetas de crédito y tiene clientes en Europa y California. Para cumplir con las distintas normativas, tendrá que entender cada una de ellas, identificar los puntos en común para no duplicar el trabajo y, a continuación, cubrir las lagunas restantes en materia de protección. Si esto no es factible, puede recurrir a un consultor externo que le oriente sobre los requisitos y las mejores prácticas.

Establecer un marco de gestión de riesgos

El cumplimiento normativo y la gestión de riesgos están estrechamente relacionados. Cumplir la normativa protege a su empresa de los riesgos, mientras que la gestión de riesgos la protege de los riesgos que podrían hacer que no cumpliera la normativa. Existen varios marcos de gestión de riesgos ampliamente reconocidos, como ISO 31000, COSO ERM y NIST.

La elección del marco de gestión de riesgos adecuado para su empresa dependerá del tamaño y la complejidad de la organización, del sector industrial y de los requisitos normativos. Aun así, todos siguen el mismo proceso de alto nivel:

• Identificar los riesgos: Identifique los riesgos legales, reglamentarios, sectoriales, medioambientales o de otro tipo a los que podría estar expuesta su organización teniendo en cuenta los factores internos y externos que podrían afectar a la empresa.
• Analizar los riesgos: Determine el alcance de cada riesgo y examine su relación y el posible efecto en las actividades empresariales de toda la organización.
• Evaluar los riesgos: Clasifique y priorice los riesgos en función de su gravedad mediante una evaluación cualitativa o cuantitativa de los mismos.
• Tratar los riesgos: Entre las opciones de tratamiento del riesgo figuran evitarlo, transferirlo, reducirlo o aceptarlo. A la hora de decidir, considere los costos, los beneficios y la viabilidad en función de su presupuesto y sus recursos.
• Supervisar y revisar: Supervise y revise continuamente su proceso de gestión de riesgos, prestando atención a la eficacia de las opciones de tratamiento de riesgos y a los nuevos riesgos que puedan surgir.

Desafíos de la gestión de riesgos

Una gestión eficaz de los riesgos requiere una cantidad considerable de recursos, incluyendo tiempo, dinero, personal y herramientas, todo lo cual puede suponer un reto. Cada normativa de cumplimiento añade una capa adicional de complejidad a la gestión de riesgos, aunque cada una de ellas debe abordarse sin falta.

La naturaleza incierta de los riesgos puede plantear problemas internos, sobre todo cuando varias partes interesadas o unidades empresariales no se ponen de acuerdo sobre la gravedad y el tratamiento del riesgo. A su vez, esto puede dificultar la aceptación a nivel ejecutivo. El reto más difícil de afrontar es que los riesgos evolucionan constantemente, por lo que su estrategia debe adaptarse rápidamente y seguir contando con el apoyo de todos los integrantes de la empresa.

Evaluar la solidez de su programa de cumplimiento

Para evaluar la eficacia de su programa de cumplimiento, debería plantearse las siguientes preguntas:

• ¿Están documentados todos los procesos con descripciones claras de cómo ejecutarlos para mantener el cumplimiento? ¿Son accesibles a las partes interesadas y pueden revisarse, evaluarse y mejorarse con el fin de responder a las nuevas necesidades y desafíos?
• ¿Dispone de controles internos adecuados para prevenir y detectar incumplimientos, identificar aspectos susceptibles de mejora y fomentar una cultura de cumplimiento en toda la organización?
• ¿Supervisa, recopila y conserva pruebas físicas y digitales que puedan utilizarse para demostrar su cumplimiento en caso de auditoría?
• ¿Detalla su plan de respuesta a incidentes los procedimientos de notificación, investigación y resolución de incidentes?
• ¿Se está formando y concientizando a los empleados sobre su papel en el cumplimiento de las normas de seguridad?
• ¿Existen procedimientos para gestionar a los proveedores externos y garantizar que cumplen las normas y reglamentos pertinentes en materia de ciberseguridad?

Mejores prácticas para un programa de cumplimiento

Sea cual sea el marco que elija, los principios de gestión de riesgos de la norma ISO 31000 pueden servir como guía de buenas prácticas para crear un programa de cumplimiento eficaz. Según esta norma, el programa debe crear valor para la empresa, ser parte integrante de los procesos organizativos y de toma de decisiones, estar adaptado a su negocio y diseñarse utilizando la mejor información disponible. También debe ser sistemático, abordar cualquier duda, tener en cuenta el elemento humano, ser transparente y adaptable, y supervisarse y mejorarse continuamente. Si puede afirmar con seguridad que su programa cumple todos estos requisitos, estará en vías de garantizar que el programa de cumplimiento de su organización va por buen camino.

Con independencia del tamaño de su empresa, los clientes de CYREBRO refuerzan sus medidas de seguridad con las tecnologías innovadoras que ofrece CYREBRO en la actualidad, incluyendo la IA y el ML. Nuestros algoritmos de detección patentados supervisan, analizan e interpretan estratégicamente las consecuencias de los eventos en todos sus entornos empresariales, proporcionando seguridad y manteniendo las necesidades en materia de cumplimiento.