How to Operationalize Data Security at Scale (Without Slowing Down Growth)

Hacer crecer una empresa basada en datos ya es complicado. ¿Y hacerlo cumpliendo con los requisitos del RGPD, gestionando miles de clientes, dando herramientas a los equipos de análisis y poniendo en marcha una nueva infraestructura en menos de dos semanas? Eso’s un diferente nivel de complejidad.

En un episodio reciente de STRIVE, me reuní con Asif Dromi, de monday.com, y Ben Herzberg, de Commvault, para desentrañar lo que realmente se necesita para poner en práctica la seguridad de los datos a gran escala —no en teoría, sino en la práctica—. No se trata de una conversación general sobre buenas prácticas, sino de una visión realista de cómo se entrecruzan las decisiones sobre seguridad, cumplimiento normativo, automatización e infraestructura cuando el tiempo apremia.

Mira elepisodio completo. Si eres CISO, responsable de datos, arquitecto o responsable de cumplimiento normativo, este episodio te ofrece algo más valioso que la teoría. Te muestra cómo:

• Una empresa en rápido crecimiento supo hacer frente a las exigencias del RGPD sin frenar la innovación.
• La infraestructura como código puede simplificar las auditorías.
• La automatización reduce el riesgo en lugar de aumentar la complejidad.
• La seguridad y la agilidad empresarial no tienen por qué estar reñidas.

No es habitual escuchar directamente a los operadores que han llevado esto a cabo en condiciones reales. Eso es lo que hace que esta conversación de STRIVE sea diferente.

Puntos clave: Cómo poner en práctica la seguridad de los datos a gran escala

• El cumplimiento normativo y el crecimiento no tienen por qué estar reñidos. Monday.com demuestra cómo los requisitos del RGPD y la rápida expansión pueden coexistir cuando la seguridad se integra en la arquitectura desde el principio.
• Los permisos manuales no son escalables. La automatización sí lo es. La infraestructura como código y los controles de acceso basados en API pueden convertir la gobernanza de un cuello de botella en un multiplicador de fuerzas.
• El acceso basado en roles debe adaptarse a cómo se usan los datos. A medida que más equipos dependen de los análisis, la visibilidad y los controles detallados cobran importancia para evitar que los permisos se descontrolen.
• La seguridad operativa significa visibilidad. No se trata solo de establecer políticas – sino de supervisar, auditar y adaptar los controles de forma dinámica a medida que cambian los entornos.
• La rapidez es posible cuando la arquitectura está bien pensada. Se puso en marcha un almacén de datos que cumple con la normativa europea en menos de dos semanas porque la gobernanza, la automatización y las herramientas se diseñaron para poder escalar.
• La madurez en materia de seguridad permite la innovación. Cuando los permisos, la infraestructura y el cumplimiento normativo se pueden programar, las organizaciones pueden avanzar más rápido.

El verdadero reto: crecimiento + cumplimiento normativo + rapidez

Para monday.com, el reto no era solo almacenar los datos europeos en Europa. Era:

• Garantizar el cumplimiento del RGPD y la residencia de datos a nivel regional.
• Asegurarse de que los empleados solo accedieran a los datos relevantes.
• Mantener la transparencia y la auditabilidad.
• Ayudábamos a los analistas y desarrolladores que necesitaban un acceso rápido.
• Y todo ello bajo unos plazos de trabajo muy ajustados.

Como explica Asif en el episodio, convertirse en una organización basada en datos implica que el acceso interno se amplía rápidamente. Cuanto más recurren los equipos al análisis de datos, más complejos se vuelven los permisos. Y ahí es donde muchas organizaciones se topan con un obstáculo. La seguridad pasa a ser un proceso manual, los permisos se vuelven frágiles y el cumplimiento normativo se convierte en algo reactivo. Eso no es seguridad operativa. Es un castillo de naipes.

Incorporar la seguridad en la arquitectura desde el primer día 

Una de las partes más interesantes del episodio es cómo abordó monday.com el problema desde el punto de vista arquitectónico. En lugar de adaptar el sistema a posteriori para cumplir con la normativa, creó:

• Un almacén de datos europeo específico.
• Controles de acceso claros basados en roles.
• Modelos de permisos muy detallados.
• Capas de gobernanza automatizadas.

Ben describe lo que ocurre en muchas grandes organizaciones: con el tiempo, los permisos se acumulan en capas, a menudo sin una visibilidad centralizada. Al final, nadie sabe con certeza quién puede acceder a qué. Poner en práctica la seguridad significa evitar esa deriva. Significa crear sistemas en los que el control se adapte automáticamente a medida que crece el uso.

La automatización es el multiplicador de fuerzas

Si hay un tema que recorre todo este episodio, ese es la automatización. En lugar de tratar los permisos como «tickets» y actualizaciones manuales, monday.com envolvió su infraestructura en código. Las bases de datos, los roles y las políticas de acceso podían crearse y modificarse mediante programación.

¿El resultado? Se puso en marcha un entorno conforme a la normativa y escalable en menos de dos semanas. Eso no es suerte. Es arquitectura. Y es un poderoso recordatorio de que la seguridad no te frena cuando está bien implementada. De hecho, potencia la velocidad.

Qué significa realmente poner en práctica la seguridad de los datos

El término «poner en práctica» se usa mucho. En este episodio, se define como:

• Visibilidad constante de los datos confidenciales.
• Gestión centralizada y automatizada de permisos.
• Seguimiento de accesos.
• Integración con herramientas de colaboración.
• Políticas que se adaptan a medida que crecen los usuarios y los datos.

Los controles estáticos no son escalables. Los flujos de trabajo manuales no son escalables. La seguridad debe volverse dinámica, formar parte del tejido operativo de la organización. Y ese cambio es precisamente lo que hoy en día supone un reto para muchas empresas.

Mira el episodio completo de STRIVE

En el debate, te contarán más sobre:

• Cómo estructuró monday.com su almacén de datos europeo.
• Las principales lecciones aprendidas durante la implementación rápida.
• Por qué la automatización era imprescindible.
• Lo que las empresas suelen subestimar sobre la proliferación de permisos.
• Cómo plantearse la puesta en práctica de la gobernanza antes de que se amplíen las iniciativas de IA.

Ver ahora.

Preguntas frecuentes 

P: ¿Cómo pueden los equipos pequeños implementar una seguridad de datos escalable?

R: Empieza con un modelo de permisos claro y herramientas de «infraestructura como código». Automatiza la gestión de permisos desde el principio para evitar cuellos de botella manuales a medida que crezcas.

P: ¿Qué papel juega la automatización en el cumplimiento normativo?

R: La automatización ayuda a garantizar la coherencia, reducir los errores y simplificar las auditorías. Mediante el uso de API y scripts, puedes supervisar y ajustar los permisos de forma dinámica.

P: ¿Cuánto tiempo suele llevar crear un entorno de datos que cumpla con la normativa y sea escalable?

R: Con una buena planificación y las herramientas adecuadas, empresas como monday.com lo han conseguido en menos de dos semanas. La rapidez depende del alcance del proyecto y de la infraestructura existente.

P: ¿Cuáles son las mejores prácticas para poner en práctica la seguridad de los datos?

R: Implementa controles de acceso basados en roles, automatiza la gestión de permisos, supervisa los registros de acceso con regularidad e integra herramientas de seguridad con las plataformas de colaboración para tener una supervisión en tiempo real.

Chris Mierzwa es director sénior de marketing de cartera en Commvault.