En el episodio inaugural del podcast «Continuous Compliance» de Commvault, la directora de confianza, Danielle Sheer, recibió al director de operaciones de GigaOm, Howard Holton, para debatir sobre el panorama cambiante del cumplimiento normativo, las vulnerabilidades de las infraestructuras críticas y las implicaciones de la pérdida de datos y la ciberseguridad.
El debate resultó muy esclarecedor y estimulante, y ofreció valiosas perspectivas sobre cómo las organizaciones pueden protegerse mejor a sí mismas y a sus datos en un mundo cada vez más digital. Mira el episodio completo aquí.
El cambio en la percepción del cumplimiento normativo
Durante mucho tiempo, el cumplimiento normativo se ha considerado una función administrativa, una mera casilla que marcar en una lista de tareas pendientes. Sin embargo, esta mentalidad ha provocado que las infraestructuras críticas sean muy vulnerables debido a la falta de atención a las normas arquitectónicas adecuadas. Danielle destacó la importancia de considerar el cumplimiento normativo como un aspecto fundamental de la seguridad y la integridad de la organización.
Establece una comparación contundente entre el cumplimiento normativo en el ámbito físico y en el digital, señalando que, mientras que un fallo físico —como la carne de vacuno contaminada— puede acarrear consecuencias inmediatas y graves, un fallo digital —como una filtración de datos que afecte a 300 millones de personas— podría no tener el mismo nivel de repercusiones.
Esta disparidad y la falta de urgencia a la hora de abordar las cuestiones de seguridad digital ponen de relieve la necesidad de establecer sanciones más estrictas y marcos normativos más rigurosos para que las organizaciones se tomen en serio el cumplimiento normativo.
«El director general debería enfrentarse a las penas más severas, y el presidente del consejo de administración, en segundo lugar. Eso cambiaría las cosas de la noche a la mañana», sugirió Howard.
El Reglamento General de Protección de Datos (RGPD) de la UE se citó como modelo a seguir por Estados Unidos. El RGPD ha tenido un impacto significativo en el cumplimiento normativo, con más multas en su primer año que en toda la historia de la HIPAA en Estados Unidos. El éxito del RGPD subraya la importancia de la participación federal en la creación de un marco normativo unificado para la ciberseguridad en Estados Unidos.
La evolución del papel del CISO
El papel del CISO es cada vez más fundamental a la hora de tender puentes entre los conocimientos técnicos y la toma de decisiones a nivel directivo. Danielle y Howard hicieron hincapié en que el cargo de CISO debería ser un puesto a nivel del consejo de administración, con una comunicación periódica y transparente con este.
«Si tu CISO no se presenta ante el consejo de administración al menos una vez al trimestre, es como si no tuvieras CISO», afirmó Danielle. «Y si no permites que tu CISO se dirija al consejo de administración al menos una vez al trimestre para aportar información realmente útil y ser lo más abierto y transparente posible, es como si no tuvieras un programa de seguridad».
Howard también sugirió una composición equilibrada del consejo de administración, con un 60 % de titulados en Administración de Empresas y un 40 % de expertos en tecnología. Este equilibrio ayudaría a los miembros del consejo a comprender mejor y abordar los retos en materia de ciberseguridad.
El papel del CISO en la respuesta ante incidentes y en la planificación estratégica también es fundamental. «La mejor manera de lograr un cambio es contar con un CISO inteligente en tu organización cuando sufres un ataque de ransomware. Todo el mundo se queda pensando: “Vaya, deberíamos haberle hecho caso”, y esto es lo que haremos», señaló.
La complejidad de las normativas de cada estado
El mosaico de normativas que varían de un estado a otro en Estados Unidos plantea importantes retos para el cumplimiento efectivo de la ciberseguridad. Danielle explicó que, en lo que respecta al cumplimiento normativo, Estados Unidos es, en la práctica, como si fueran 51 países, ya que cada estado tiene la capacidad de promulgar sus propias leyes.
Esta complejidad puede generar confusión y una aplicación inconsistente de las medidas de seguridad. Los ponentes abogaron por la intervención del Gobierno federal para armonizar la normativa, lo que facilitaría el cumplimiento por parte de las organizaciones y permitiría adoptar un enfoque más coherente y eficaz en materia de ciberseguridad.
El potencial de la inteligencia artificial en la gestión de la información
La inteligencia artificial tiene el potencial de transformar profundamente los sectores, pero este potencial depende de la calidad y la madurez de las prácticas de gestión de datos de una organización.
«La IA acelera todo de una forma tan alucinante que no hay nada que acelere el potencial como lo hace la IA», afirmó Howard.
Las empresas que cuentan con un sistema de gestión de datos consolidado y datos de alta calidad disfrutan de una ventaja como pioneras en el panorama impulsado por la inteligencia artificial. «Si la calidad de tus datos no está a la altura y tu organización no tiene la madurez necesaria en materia de datos, eso podría costarte lo más importante», advirtió.
Puntos clave
- El cumplimiento normativo como función fundamental: El cumplimiento normativo debe considerarse un aspecto fundamental de la seguridad y la integridad de la organización, y no solo una tarea administrativa. La falta de normas adecuadas en el software ha dado lugar a importantes riesgos de seguridad.
- Se necesitan sanciones más estrictas: La disparidad en las sanciones entre los incumplimientos físicos y digitales pone de manifiesto la necesidad de una aplicación más rigurosa y coherente de las normas de seguridad digital. La imposición de sanciones severas a los directores generales y a los miembros del consejo de administración podría impulsar un cambio significativo.
- Reforzar el papel del CISO: El cargo de CISO debería elevarse al nivel del consejo de administración, con una comunicación regular y transparente. Una composición equilibrada del consejo de administración, que incluya a expertos en tecnología, puede ayudar a abordar los retos de ciberseguridad de forma más eficaz.
- Normalización federal: La complejidad de las normativas de cada estado dificulta el cumplimiento efectivo de las normas de ciberseguridad. Es necesaria la intervención federal para crear un marco normativo unificado y normalizado.
- La IA y la calidad de los datos: la IA tiene el potencial de potenciar las capacidades de las organizaciones, pero este potencial depende de la calidad y la madurez de las prácticas de gestión de datos de cada organización. Las empresas que cuentan con datos de alta calidad tienen una ventaja significativa.
