In the inaugural episode of Commvault’s Cumplimiento Continuode Commvault, la directora de confianza, Danielle Sheer, recibió al director de operaciones de GigaOm, Howard Holton, para debatir sobre el panorama cambiante del cumplimiento normativo, las vulnerabilidades de las infraestructuras críticas y las implicaciones de la pérdida de datos y la ciberseguridad.
El debate resultó muy esclarecedor y estimulante, y ofreció valiosas perspectivas sobre cómo las organizaciones pueden protegerse mejor a sí mismas y a sus datos en un mundo cada vez más digital. Mira el episodio completoaquí.
El cambio en la percepción del cumplimiento normativo
Durante mucho tiempo, el cumplimiento normativo se ha considerado una función administrativa, una mera casilla que marcar en una lista de tareas pendientes. Sin embargo, esta mentalidad ha provocado que las infraestructuras críticas sean muy vulnerables debido a la falta de atención a las normas arquitectónicas adecuadas. Danielle destacó la importancia de considerar el cumplimiento normativo como un aspecto fundamental de la seguridad y la integridad de la organización.
Establece una comparación contundente entre el cumplimiento normativo en el ámbito físico y en el digital, señalando que, mientras que un fallo físico —como la carne de vacuno contaminada— puede acarrear consecuencias inmediatas y graves, un fallo digital —como una filtración de datos que afecte a 300 millones de personas— podría no tener el mismo nivel de repercusiones.
Esta disparidad y la falta de urgencia a la hora de abordar las cuestiones de seguridad digital ponen de relieve la necesidad de establecer sanciones más estrictas y marcos normativos más rigurosos para que las organizaciones se tomen en serio el cumplimiento normativo.
“The CEO should face the worst penalties, the chairman of the board second. That would change things overnight,” Howard suggested.
The EU’s General Data Protection Regulation (GDPR) was cited as a model for the United States to follow. GDPR has had a significant impact on compliance, with more fines in its first year than in the entire history of HIPAA in the U.S. The success of GDPR underscores the importance of federal involvement in creating a unified regulatory framework for cybersecurity in the U.S.
La evolución del papel del CISO
El papel del CISO es cada vez más fundamental a la hora de tender puentes entre los conocimientos técnicos y la toma de decisiones a nivel directivo. Danielle y Howard hicieron hincapié en que el cargo de CISO debería ser un puesto a nivel del consejo de administración, con una comunicación periódica y transparente con este.
“If your CISO is not in front of your board on a minimum of a quarterly basis, you don’t have a CISO,” Danielle said. “And if you are not letting your CISO talk to the board on a minimum quarterly basis and really deliver useful information and be as open and transparent as possible, you don’t have a security program.”
Howard también sugirió una composición equilibrada del consejo de administración, con un 60 % de titulados en Administración de Empresas y un 40 % de expertos en tecnología. Este equilibrio ayudaría a los miembros del consejo a comprender mejor y abordar los retos en materia de ciberseguridad.
The CISO’s role in incident response and strategic planning is also critical. “The greatest way to make change is to have a smart CISO at your organization when you go through a ransomware attack. Everybody just goes, ‘Oh crap, we should have listened,’ and this is what we’ll do,” he observed.
La complejidad de las normativas de cada estado
El mosaico de normativas que varían de un estado a otro en Estados Unidos plantea importantes retos para el cumplimiento efectivo de la ciberseguridad. Danielle explicó que, en lo que respecta al cumplimiento normativo, Estados Unidos es, en la práctica, como si fueran 51 países, ya que cada estado tiene la capacidad de promulgar sus propias leyes.
Esta complejidad puede generar confusión y una aplicación inconsistente de las medidas de seguridad. Los ponentes abogaron por la intervención del Gobierno federal para armonizar la normativa, lo que facilitaría el cumplimiento por parte de las organizaciones y permitiría adoptar un enfoque más coherente y eficaz en materia de ciberseguridad.
El potencial de la inteligencia artificial en la gestión de la información
AI has the potential to significantly disrupt industries, but this potential is contingent upon the quality and maturity of an organization’s data management practices.
“AI accelerates everything so insanely much that there’s nothing that accelerates potential the way AI can accelerate potential,” Howard said.
Companies with mature data management and high-quality data have a first-mover advantage in the AI-driven landscape. “If your data quality isn’t up to snuff and your organizational maturity around your data just is not there, it’s going to cost you potentially everything,” he warned.
Puntos Clave
- El cumplimiento normativo como función fundamental: El cumplimiento normativo debe considerarse un aspecto fundamental de la seguridad y la integridad de la organización, y no solo una tarea administrativa. La falta de normas adecuadas en el software ha dado lugar a riesgos de seguridad significativos.
- Se necesitan sanciones más estrictas: La disparidad en las sanciones entre los incumplimientos físicos y los digitales pone de manifiesto la necesidad de una aplicación más rigurosa y coherente de las normas de seguridad digital. La imposición de sanciones severas a los directores generales y a los miembros del consejo de administración podría impulsar un cambio significativo.
- Elevating the CISO: The CISO’s role should be elevated to a board-level position, with regular and transparent communication. A balanced board composition, including technologists, can help address cybersecurity challenges more effectively.
- Normalización a nivel federal: La complejidad de las normativas de cada estado dificulta el cumplimiento efectivo de las normas de ciberseguridad. Es necesaria la intervención federal para crear un marco normativo unificado y normalizado.
- AI and data quality: AI has the potential to accelerate organizational capabilities, but this potential is contingent upon the quality and maturity of an organization’s data management practices. Companies with high-quality data have a significant advantage.
