La Semana de la Privacidad de los Datos es un evento anual cuyo objetivo es sensibilizar sobre la importancia de la privacidad y la seguridad de los datos. El objetivo de la Semana de la Privacidad de los Datos es concienciar a las personas y a las organizaciones sobre la importancia de proteger los datos personales y proporcionarles las herramientas y los recursos que necesitan para hacerlo de forma eficaz.

We’ve brought together three opinion leaders to discuss the key data privacy challenges that face businesses around the world and how to overcome them.

Bill Mew, Data Privacy Champion and CEO of the Crisis Team is joined by Jakub Lewandowski – Global Data Governance Officer, Commvault and Thomas Bryant – Product Marketing Director, Commvault as they discuss;

• Tendencias y retos actuales en materia de privacidad y seguridad de los datos
• Leyes y normativas relacionadas con la privacidad de los datos, como el Reglamento General de Protección de Datos (RGPD) de la Unión Europea y la Ley de Privacidad del Consumidor de California (CCPA) de Estados Unidos, así como la DORA y la NIS2
• Best Practices for protecting data – including a modern (and tested) data protection strategy and conducting regular risk assessments
• The current state of Data Privacy policy and legislation compliance/ enforcement  

Descubre más sobre estos temas en nuestra serie de entradas de blog sobre la Semana de la Privacidad de los Datos, ya disponible.

• 5 normativas esenciales sobre privacidad de datos
• Las 10 principales prioridades de las organizaciones en materia de privacidad y protección de datos en 2023
• Llamada de atención: El problema de la aplicación de la Privsec

El Día Mundial de la Privacidad, que se celebra cada año el 28 de enero, sirve para recordar la importancia de proteger los datos personales en la era digital actual. A medida que avanza la tecnología y se comparte cada vez más información personal en Internet, tanto las personas como las organizaciones deben tomar medidas para proteger sus datos.

New regulations, such as DORA (Digital Operational Resiliency ACT), mandate that organizations create plans for risk management, incident reporting, and resilience testing. These regulations outline policies for data management, including encryption, data locality, and data lifecycles. Gartner prevé, “by 2023, 65% of the world’s population will have its personal data covered under various privacy regulations, and companies need flexible solutions that can adapt to the multitude of legislation.” Navigating this complex environment can be challenging for both individuals and companies.

Data Privacy is protecting personal information and giving individuals control over how their data is collected, used, and stored.  On the other hand, data protection refers to the technical and organizational measures put in place to protect data (including personal data) from unauthorized access, use, alteration, or destruction. Data protection encompasses Data Privacy and other areas, including backup & recovery, disaster recovery, data security, and a host of other areas.

To help address that complexity, let’s spend some time reviewing the Top 10 topics to consider when managing Data Privacy and Data Protection.

1.Data Protection Strategy
2.Cifrado
3.Multi-Person Authentication
4.Almacenamiento inmutable
5.Soberanía de los datos
6.Data Governance & Discovery
7.Classification of data
8.Conservación de datos
9.Resilience plan testing & incident response
10.Risk Assessment

1. Data Protection Strategy

Organizations should start by creating or updating a Data Privacy, Backup & Recovery, and Disaster Recovery plan as part of an overall data protection strategy. There are many facets to a reliable data protection plan and how it specifically relates to protecting the private data your customers have shared with your organization.

2. Encryption

El cifrado es una característica fundamental para la protección de datos y la protección de la información privada. Permitir el cifrado de los datos en reposo y en tránsito ayuda a evitar el acceso no autorizado a la información personal. Esto es especialmente importante para las organizaciones que gestionan grandes cantidades de datos privados, como los proveedores de asistencia sanitaria y las entidades financieras. Los datos ya no residen únicamente en nuestros centros de datos corporativos, ya que la mayoría de las organizaciones cuentan con una o varias nubes públicas en las que se almacenan cargas de trabajo y datos. Proteger los datos mediante cifrado durante todo su ciclo de vida ayuda a mitigar las posibles amenazas de los atacantes.

3. Multi-person authentication

Además de proteger los datos mediante cifrado, las organizaciones deben proteger sus sistemas frente a ataques maliciosos. El uso de la autenticación multipersona (MPA) en los sistemas de protección de datos garantiza que las tareas críticas requieran varias aprobaciones por parte de usuarios previamente autorizados. Aunque a menudo se pasa por alto, esta es una de las formas más sencillas de evitar tareas como la filtración o la eliminación de datos.

4. Immutable Storage

El almacenamiento inmutable permite que los datos, ya sean privados o de otro tipo, se escriban y no puedan modificarse ni eliminarse posteriormente. El hecho de que los datos no puedan ser manipulados ni alterados garantiza el mantenimiento de la integridad de los mismos. Los requisitos de almacenamiento inmutable se están convirtiendo rápidamente en un elemento estándar de las normativas de gobernanza de datos, como el RGPD, la HIPAA y otras. Al combinarlo con la MPA, se pueden crear niveles de almacenamiento de datos de alta seguridad que resultan perfectos para almacenar datos confidenciales y privados.

5. Data Sovereignty

Organizations should consider regulations surrounding private data storage when developing a data protection strategy. This includes the location of data storage and compliance with regulations regarding data sovereignty. For example, a cloud-based workload on GCP in Europe or containing EU citizens’ data must comply with EU regulations. Anywhere that private data may reside, even if temporary, may be required to be in a specific region under regulatory requirements. Commvault helps to address this concern in its latest release, allowing customers to select which specific region they will leverage for snapshot & data protection storage vs. multiple regions that cost more and may have different regulatory requirements.

6. Data Governance & Discovery

In a recent survey, el 57 % de los CISO admit they don’t know where some or all their data is or how it is protected! As this amount of private data continues to grow, the sheer number of regulations expands exponentially, and we are confused about what and how we should protect our data.  As a result, organizations need to understand their data, where it is, and what is at risk.  Being able to prioritize data based on your organization’s policies, priorities, and applicable regulations is critical to protecting the data. You cannot protect what you don’t know about!

7. Classification of data

Saber qué datos existen y dónde se encuentran es solo una parte de la solución. Las organizaciones deben tener en cuenta qué datos son datos privados de los clientes, cuáles son críticos para el negocio, etc., en función de su importancia para tu empresa y tus clientes. Proteger únicamente los datos locales puede suponer pasar por alto algunos datos críticos de los clientes que se encuentran en su solución de CRM basada en SaaS. Hablando de ello, debe confiar en algo más que en su proveedor de SaaS o incluso en sus proveedores de nube IaaS para garantizar la protección de sus datos. Es posible que ofrezcan algunos acuerdos de nivel de servicio (SLA) y un cierto nivel de redundancia, pero eso no sustituye a un plan sólido de protección de datos. La gestión de la clasificación de datos no es una operación puntual, ya que los datos crecen exponencialmente cada año.

8. Retention

It is paramount to know what data exists and how important it is, but how long does it stay relevant? This is a hard question to answer for most organizations and one that can be seen every year when buying ever-increasing storage systems to house corporate data. The ability to assign an expected lifespan to data can significantly impact your organization’s bottom line AND protect your customers’ private data. Having systems in place to automatically find, classify, and set retention will reduce the likelihood of data sprawl, reduce the amount of time to recover unused data, and reduce costs. If you are looking for a great place to start efficiently managing your governance, risk, and compliance, read through Commvault’s unique approach to la gestión unificada de datos.

9. Resilience plan testing & incident response

Resilience plan testing often referred to as a runbook, is an often-overlooked area of a data protection strategy. Creating or updating an outdated plan can take time and effort. Partnering with solution providers or strategic data protection companies with experience in creating a plan can significantly reduce the time it takes to get current. While it may be trivial to think runbooks are passe, I’ve found that when an actual DR event or ransomware attack hits, they are the GO-TO asset you want in your arsenal of tools. A regular cadence of updates creates an organizational posture that is ready to face data security threats head-on.

10.  Risk Assessment

As mentioned with runbook, consider working with strategic vendors to perform a risk assessment semi-annually or annually. Scheduled reviews can help build the muscle memory for a solid data protection and data privacy mindset. The benefit of working with well establish data protection & data privacy vendors is they are up to date on the latest security threats and mitigation strategies.

By implementing this list of considerations and routinely refreshing your resilience plan, you can be confident that personal information is secure and compliant with the latest privacy regulations. If you aren’t sure where to start but need help from a company that can answer all these questions.

¡Commvault está aquí para ayudarte! Incorporamos continuamente nuevas funcionalidades, entre las que se incluyen nuestras últimas mejoras en materia de soberanía de datos regional para instantáneas de copia de seguridad, certificaciones del sector, capacidades de almacenamiento inmutable y mucho más.

Head over to our community to Saber más or take a test drive today https://www.commvault.com/request-demo

Happy 2023 Data Privacy Week!

Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!

2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.

El objetivo fundamental de los próximos cambios es impulsar y mejorar las medidas de ciberseguridad de diversas organizaciones, así como gestionar de forma más eficaz los riesgos cibernéticos en constante evolución.

A continuación se ofrece una visión general de una selección de novedades jurídicas en todo el mundo:

• EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
• EU – Regulation on digital operational resilience for the financial sector (DORA)
• US – State & Federal privacy laws
• India – Digital Personal Data Protection Bill (DPDPB)
• Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988

NIS2

According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.

La NIS2 se publicó justo antes de que finalizara el año, y los Estados miembros de la UE disponen ahora de 21 meses para transponer a sus legislaciones nacionales los requisitos y mecanismos descritos. La Directiva NIS de 2016 —a pesar de sus deficiencias— sirvió de piedra angular para aumentar las capacidades de ciberseguridad de los Estados miembros. Ahora, la NIS 2 ampliará el ámbito de aplicación y la lista de organizaciones afectadas. Se prevé que hasta 160 000 organizaciones queden sujetas a esta nueva legislación, entre ellas los proveedores de servicios digitales (plataformas y servicios de centros de datos), los proveedores de redes y servicios de comunicaciones electrónicas, así como los sectores manufacturero, alimentario y el sector público.

NIS2 aims to strengthen cybersecurity postures by, amongst other: improving cybersecurity governance, addressing the security of supply chains, streamlining reporting obligations (early warnings/shortened notification periods), and introducing more stringent supervisory measures and stricter enforcement requirements.

¿Qué puedes hacer ahora mismo?

• First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
• A continuación, comprueba si puedes crear sinergias y aprovechar las medidas técnicas y organizativas ya implantadas durante iniciativas de cumplimiento anteriores (por ejemplo, el RGPD, la Directiva NIS1, etc.).
• Empieza a buscar los socios adecuados que puedan respaldar adecuadamente tus iniciativas de cumplimiento normativo. Involucra a tus proveedores en el debate sobre el enfoque que mejor se adapte a tu organización.
• Por último, pero no por ello menos importante, empieza a planificar un aumento del gasto para subsanar cualquier deficiencia restante. El incumplimiento de la normativa podría acarrear multas administrativas de hasta 10 millones de euros o de hasta el 2 % de la facturación anual total a nivel mundial de la organización.

DORA

DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.

Los nuevos requisitos impuestos por la DORA se traducirán, en la práctica, en una revisión y actualización de las prácticas de gestión de riesgos. Los clientes del sector financiero deberán transferir el mayor número posible de riesgos normativos a los proveedores de TIC o aplicar diferentes estrategias de mitigación de riesgos. En cualquier caso, los proveedores de TIC deberán poder garantizar el cumplimiento de los requisitos de la DORA. Además, todo el sector deberá reevaluar las relaciones contractuales con los proveedores. La DORA incorporará requisitos para los contratos entre las entidades financieras y sus proveedores de TIC críticos, incluyendo la ubicación donde se procesan los datos, las descripciones de los acuerdos de nivel de servicio, los requisitos de información, los derechos de acceso y las circunstancias que darían lugar a la rescisión del contrato.

In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).

US data privacy laws – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA

As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.

2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.

India – DPDPB

Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.

Australia – Privacy Penalty Bill & overhaul of the Privacy Act

Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”

Mientras tanto, todavía en 2022, Australia aprobó la Ley de Sanciones en materia de Privacidad, que aumentó las sanciones relacionadas con la privacidad hasta niveles comparables a los establecidos por el RGPD (hasta 50 millones de AUD) y amplió las competencias reguladoras de la Oficina del Comisionado de Información de Australia (OAIC) y de la Autoridad Australiana de Comunicaciones y Medios de Comunicación (ACMA).

Summary

El implacable reloj del cumplimiento normativo acaba de volver a ponerse en marcha. Los equipos multifuncionales, formados por profesionales de TI, cumplimiento normativo, protección de datos, el ámbito jurídico y analistas de negocio, dedicarán una cantidad considerable de tiempo a analizar el impacto de la avalancha de novedades legislativas que surgieron a finales del año pasado y que se materializarán a lo largo de 2023.

Ten en cuenta que los avances legislativos que aquí se presentan podrían ser más exhaustivos. No obstante, puedes estar seguro de que se convertirán en temas de debate habituales no solo en 2023, sino también en los próximos años.

Como parte de una serie de tres artículos con motivo del Día de la Protección de Datos de 2023 (véanse los artículos adjuntos deJakub LewandowskiyThomas Bryant ), Bill Mew argues that there is a real enforcement problem – it’s like the ‘Wild West’ out there.

Las políticas, los marcos normativos y las normas solo resultan útiles si se cumplen, del mismo modo que las normativas y las leyes carecen de sentido si no se hacen cumplir. El problema en el ámbito de la protección de datos y la ciberseguridad es que, allí donde deberían aplicarse las normas, a menudo se ignoran, y allí donde se han promulgado leyes, es necesario reforzar su cumplimiento.

Los CISO (directores de seguridad de la información) tienen una tarea ingrata. El personal suele mostrarse reacio a cumplir las medidas de ciberhigiene que el CISO intenta imponer, pero cuando su falta de disciplina da lugar a una filtración, estos compañeros se apresuran a echarle la culpa al CISO. Además, aunque hay que cumplir normativas costosas y complejas, así como normas estrictas sobre la notificación de filtraciones, las autoridades, lejos de ayudar a gestionar cualquier incidente o a capturar a los verdaderos delincuentes, se limitan a utilizar los informes para determinar la imposición de multas.

Functional, Cultural Mismatch

Si se les preguntara, la mayoría de los empleados estarían de acuerdo en que las amenazas cibernéticas son un problema importante, pero en su trabajo diario se centran en indicadores de rendimiento centrados en los ingresos o en el beneficio, como el ROI (retorno de la inversión). Estos son los indicadores con los que se mide su rendimiento individual y el de su unidad, y en los que se basan las políticas de incentivos de toda la empresa.

The CISO is instead focused on return on risk (ROR). Based on the allocated budget and the organisation’s risk appetite, the CISO focuses on maximising security and minimising risk.

The mismatch between the CISO’s ROR orientation and just about everyone else’s ROI orientation can put the CISO at odds with the rest of the management team. They may not only become isolated (what I term CISOlation) but can also be a scapegoat when things go wrong – even when warnings are ignored.

Perverse regulatory incentives

In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is that una normativa sin aplicación no solo carece de sentido, sino que resulta contraproducente. Al fin y al cabo, solo las empresas responsables cumplirán estas normas y, para ellas, esto supone un coste o un «impuesto de cumplimiento». Por su parte, las empresas irresponsables suelen optar por no respetar las normas. Si creen que el riesgo de que se apliquen las sanciones es escaso o nulo, esto se convierte en una fuente de ventaja competitiva que les permite ahorrar costes y está libre de riesgos.

El incumplimiento de la normativa está muy extendido y proviene de las altas esferas, como demuestran los frecuentes titulares sobre incidentes relacionados con los datos que sufren las grandes empresas tecnológicas o las multas que se les imponen. Dichas multas no parecen surtir efecto disuasorio, sino que las grandes empresas tecnológicas y muchas otras que han tenido la mala suerte de sufrir un incidente relacionado con los datos las consideran un coste adicional de su actividad empresarial.

Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of a indicador rezagado de la mala suerte de las empresas responsables rather than of misbehaviour by irresponsible ones.

Record of Regulatory Inaction

Most BigTech firms, attracted by a favourable tax regime, have opted to base their European headquarters in Ireland. The local regulator, DPC Ireland, is therefore responsible for ensuring that they comply with GDPR and other such regulations. Whether down to inadequate funding, reluctance to rock the boat, or simply out-gunned and out-lobbied by the BigTech firms, DPC Ireland has been seen as ineffective in holding them to account.

In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in a votación de 451 a 1. Cuando nuevas presiones por parte de los reguladores del resto de Europa la obligaron a actuar tras un retraso de dos años, la multa que impuso a Facebook fue tan baja que tuvo que ser incrementada (diez veces) ante la insistencia de los demás reguladores.

The EU Ombudsman Emily O’Reilly eventually abriendo una investigación into the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, the Consejo Irlandés de Libertades Civiles (ICCL) criticó a la UE for its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.

Ineffective Global Policing

Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of cybersecurity ‘fire drills’ to test cybersecurity and incident response capabilities but is also championing the need for global rules to crack down on cybercrime.

Se estima que los daños causados por todas las formas de ciberdelincuencia, incluidos los costes de Recovery y reparación, ascendieron a 3 billones de dólares en 2015 y a 6 billones de dólares en 2021, y podrían alcanzar los 10,5 billones de dólares anuales para 2025.

Cyber insurance isn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’s not worth it. At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect of potentially making bad problems even worse.

While almost all nations have signed up for United Nations agreements on combatting crime, including la ciberdelincuencia, some nations turn a blind eye and instead provide safe havens for cybercriminals to operate from. While most la ciberdelincuencia originates from countries like Russia, Iran, or North Korea, such activities are not confined to these rogue nations and continue closer to home. In addition, countries like China have significant espionage operations, and the United States is responsible for a great deal of global mass surveillance – all of which contravenes GDPR and a host of other laws.

We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’s Cyber Incident Reporting for Critical Infrastructure Act and in the EU with 2018’s Directive on Security Network and Information Systems. Still, there are also a host of other regulations that mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.

Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. The Oficina de las Naciones Unidas contra la Droga y el Delito is promoting a Cybercrime Programme which has the following aims:

• Mayor eficiencia y eficacia en la investigación, el enjuiciamiento y la resolución judicial de los delitos informáticos, especialmente la explotación y el abuso sexual de menores en Internet, dentro de un marco sólido de derechos humanos.
• Una respuesta eficiente y eficaz a largo plazo por parte de todo el Gobierno frente a la ciberdelincuencia, que incluya la coordinación nacional, la recopilación de datos y marcos jurídicos eficaces, y que conduzca a una respuesta sostenible y a una mayor disuasión.
• Se ha reforzado la comunicación a nivel nacional e internacional entre el Gobierno, las fuerzas del orden y el sector privado, al tiempo que se ha incrementado la concienciación de la ciudadanía sobre los riesgos de la ciberdelincuencia.

These are laudable goals. However, we are a long way from victims of crime being able to pick up the phone to police at the local, national, or international level with any expectation of getting either practical assistance or justice. The reality is that when it comes to cybercrime, aside from private sector incident response specialists, you’re on your own.

• El personal rara vez aplica las medidas de higiene cibernética de forma adecuada
• Las autoridades reguladoras no actúan de forma proactiva a la hora de detectar y combatir los incumplimientos.
• Los delincuentes están ganando en confianza, intensidad y sofisticación.
• La policía no puede actuar contra los delincuentes que operan desde refugios seguros
• Y los CISO son el chivo expiatorio por defecto cuando las cosas salen mal

In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints from Thomas Bryant’s article and learn how to deal with it best. There is no substitute for getting your cybersecurity and incident response right.