Gobernanza de la seguridad de los datos: cómo hacerlo bien

En las organizaciones modernas, los datos circulan a gran velocidad. Cada día circula por bandejas de entrada, herramientas de colaboración, aplicaciones en la nube y archivos compartidos . Sin un marco de gobernanza claro, ese movimiento genera lagunas en materia de visibilidad, rendición de cuentas y protección de la « ». 

La gobernanza de la seguridad de los datos contribuye a subsanar esas deficiencias al definir cómo deben gestionarse los datos, quién es responsable de ellos y qué controles garantizan su seguridad, el cumplimiento normativo y su facilidad de uso.

¿Qué es la gobernanza de la seguridad de los datos?

La gobernanza de la seguridad de los datos es el marco de políticas, funciones, procesos y controles que rige la forma en que una organización protege los datos. Contribuye a garantizar que la información confidencial se gestione de forma responsable, que el acceso sea adecuado y que las decisiones en materia de seguridad respalden tanto el cumplimiento normativo como los objetivos empresariales.

Se diferencia de las herramientas independientes de seguridad de datos. Una pasarela de correo electrónico segura, una herramienta de prevención de pérdida de datos o un catálogo de « » de datos pueden aplicar controles específicos, pero la gobernanza es el nivel que define por qué existen esos controles, dónde se aplican y quién es responsable de ellos. 

Componentes clave de un modelo de gobernanza de la seguridad de los datos

Un sólido marco de gobernanza de datos conecta a las personas, los procesos y la tecnología. Ofrece a los responsables de datos, a los equipos de seguridad, a los responsables de cumplimiento normativo y a las partes interesadas del ámbito de la « » empresarial un modelo común para proteger los datos personales, garantizar la privacidad de los datos y mantener la calidad de los mismos en toda la organización .

Entre los componentes principales suelen figurar:

• Clasificación de datos para que los equipos puedan distinguir entre datos públicos, internos, confidenciales y altamente sensibles
• Control de acceso y gestión del acceso a los datos para limitar la exposición en función del rol, la necesidad y el riesgo
• Políticas de gestión relativas al almacenamiento, el intercambio, la conservación y la supresión de datos
• Procedimientos de respuesta ante incidentes en caso de sospecha de uso indebido, incidentes relacionados con la prevención de la pérdida de datos o una filtración de datos 
• Estructuras de rendición de cuentas que definen quién toma las decisiones y quién se encarga de velar por su cumplimiento

Por qué la gobernanza de la seguridad de los datos es fundamental para las empresas

Una mala gestión crea unas condiciones en las que los controles de seguridad se vuelven inconsistentes, la responsabilidad no está clara y resulta más difícil realizar un seguimiento de los datos confidenciales de . Esto aumenta la exposición a amenazas internas, amenazas cibernéticas, problemas de cumplimiento normativo y errores humanos evitables. Cuando falla la gobernanza, las consecuencias pueden dar lugar a:

• Pérdidas económicas relacionadas con la gestión de incidentes, el riesgo de responsabilidad civil o el tiempo de inactividad
• Daño a la reputación cuando los clientes pierden la confianza
• Interrupción de las operaciones cuando los equipos no pueden compartir o acceder a los datos con confianza
• Incumplimientos normativos relacionados con la conservación de datos, deficiencias en las auditorías o un tratamiento inadecuado de los datos personales

Por otra parte, una buena gobernanza favorece la agilidad empresarial. Unas políticas de gobernanza claras ayudan a los equipos a compartir datos de forma más segura, a autorizar el acceso con mayor rapidez y a colaborar sin generar riesgos ocultos. La buena gobernanza no tiene por objeto ralentizar el trabajo de . Su finalidad es garantizar que el trabajo se pueda repetir de forma segura.

Esto resulta muy útil en numerosos sectores:

• Organizaciones sanitarias: faciliten un tratamiento de los datos de los pacientes y los datos operativos que se ajuste a la normativa HIPAA 
• Instituciones financieras: proteja sus registros bancarios, de pagos y de inversiones  
• Empresas de comercio electrónico: protejan la información de los clientes, las transacciones y los datos de las cuentas
• Empresas tecnológicas: protejan la propiedad intelectual, el código, los planes de producto y los activos de software

Principios clave para una gobernanza eficaz de la seguridad de los datos

Un programa de gobernanza sostenible debe basarse en principios claros. Estos principios garantizan la coherencia de la estrategia a medida que cambian los sistemas de « », la normativa y las prioridades empresariales.

Clasificación de datos y evaluación de riesgos

No todos los datos entrañan el mismo nivel de riesgo. Las organizaciones deben clasificar los datos en función de su sensibilidad, su valor empresarial y los requisitos normativos e es. Esto incluye el etiquetado de los datos sensibles, la identificación de su ubicación, el análisis del linaje de los datos siempre que sea posible, y la realización de evaluaciones de riesgo periódicas para identificar puntos débiles, usuarios de alto riesgo y posibles vías de que den lugar a un acceso no autorizado.

Aplicación de políticas de seguridad de los datos

Una política de gobernanza de datos de debe definir cómo se crean, consultan, comparten, conservan, archivan y eliminan los datos. Asimismo, debería explicar las herramientas aprobadas de , las medidas de seguridad necesarias, los procedimientos de escalado y en qué casos se aplican excepciones. Unas políticas claras ayudan a plasmar los objetivos generales de « » en decisiones cotidianas.

Cumplimiento de los requisitos normativos y reglamentarios

La gobernanza debe favorecer el cumplimiento normativo desde el principio, y no como un control final. Esto incluye el cumplimiento de las obligaciones relacionadas con la privacidad, la notificación de violaciones de seguridad, la supervisión de los proveedores, la conservación y el tratamiento justificable de los datos personales. Ya se trate de la HIPAA, de la normativa financiera o del Reglamento General de Protección de Datos, la gobernanza ayuda a a convertir los requisitos normativos en controles repetibles.

Establecimiento de un marco de gobernanza claro

Un marco de gobernanza consolidado define las competencias en la toma de decisiones y la rendición de cuentas. Entre ellos suelen figurar los responsables de seguridad, los responsables de cumplimiento normativo de la ley « », las partes interesadas en materia de privacidad y los equipos operativos. Dependiendo de la organización, esto puede implicar la participación de un , un CISO, un CPO, un DPO, consejos de gobernanza o modelos formales de gestión de datos. Todo el mundo debería saber quién es el propietario de los datos, quién autoriza el acceso a los mismos y quién es responsable en caso de que fallen los controles.

El papel de las personas y el Human Risk

El comportamiento humano es una de las variables más importantes en la gestión de la seguridad de los datos. Ni siquiera las mejores herramientas pueden compensar unas expectativas poco claras, unos hábitos deficientes o una cultura que considera la seguridad como un problema ajeno.

Entre los riesgos más comunes se incluyen el phishing, el manejo descuidado de información confidencial, los correos electrónicos enviados por error, la divulgación accidental de información y la falta de criterio a la hora de acceder a datos . El riesgo interno también es relevante en este contexto, ya sea por comportamientos malintencionados, negligencia o porque los empleados tomen atajos « » que eludan los controles de gobernanza.

Por lo tanto, la formación y la sensibilización deben considerarse controles de gobernanza, y no elementos opcionales. La formación continua ayuda a los empleados a detectar los intentos de phishing, a comprender las normas de clasificación de datos y a tomar mejores decisiones a la hora de gestionar datos confidenciales. Con el tiempo, esto puede reducir los incidentes evitables y mejorar la forma en que los equipos de seguridad evalúan los resultados de la gestión de riesgos.

Gobernanza y cumplimiento normativo en materia de seguridad de los datos

La gobernanza de la seguridad de los datos desempeña un papel fundamental en el cumplimiento normativo, ya que establece una estructura en torno a la forma en que se gestionan, documentan y protegen los datos.

Sin una gestión adecuada, el cumplimiento normativo se convierte en una medida reactiva. Los equipos se apresuran a responder a las preguntas de la auditoría, demostrar la conservación de los datos, localizar registros de « » o explicar quién tenía acceso a qué. Gracias a la gobernanza, esas mismas actividades adquieren mayor coherencia y son más defendibles .

Es aquí donde cobran importancia la conservación, el archivo y la preparación para las auditorías. Las políticas centralizadas reducen la complejidad del cumplimiento normativo al estandarizar la forma en que se conservan, revisan y protegen los datos en todos los sistemas. Esto facilita el cumplimiento de la normativa , la respuesta a las auditorías y el mantenimiento de procesos repetibles, en lugar de soluciones provisionales caso por caso.

Descubra nuestras soluciones de gobernanza de datos y cumplimiento normativo

El papel de la tecnología en la aplicación de la gobernanza de la seguridad de los datos

Las tecnologías modernas y las plataformas de seguridad facilitan la gobernanza al mejorar la visibilidad sobre dónde se almacenan los datos, cómo se mueven y cuándo el comportamiento de los usuarios genera riesgos. Además, facilitan la automatización de los flujos de trabajo, la detección de anomalías y permiten responder con mayor rapidez cuando se produce una situación que no se ajusta a la política establecida.

La seguridad del correo electrónico y de la colaboración reviste especial importancia, ya que estos canales son los lugares en los que se generan, comparten y exponen grandes volúmenes de datos empresariales . Desde el punto de vista de la gobernanza, esto significa que las soluciones pueden contribuir de las siguientes maneras:

• Compatibilidad con el correo electrónico seguro y los flujos de trabajo de colaboración
• Mejorar la visibilidad de los traslados de datos que entrañan riesgos
• Garantizar el cumplimiento de los plazos de conservación y la coherencia de las políticas
• Detectar antes los comportamientos sospechosos
• Reducir los puntos ciegos generados por las herramientas aisladas

Es también aquí donde plataformas como Microsoft Purview, las herramientas de Google Cloud y otras tecnologías de gobernanza empresarial pueden encajar en estrategias más amplias de gestión de datos y metadatos. Pero la idea principal sigue siendo la misma : la tecnología debe servir de apoyo al marco de gobernanza, no sustituirlo.

Retos habituales en materia de gobernanza de la seguridad de los datos

La mayoría de las organizaciones no atraviesan dificultades por falta de interés. Tienen dificultades porque resulta complicado armonizar la gestión entre los distintos sistemas, equipos y prioridades de .

Entre los obstáculos más habituales se encuentran:

• Equipos de seguridad, TI, cumplimiento normativo y de negocio que operan de forma aislada
• Herramientas heredadas que carecen de integración o visibilidad
• Falta de claridad en cuanto a la titularidad del acceso a los datos y las decisiones sobre políticas
• Resistencia cultural al cambio
• Requisitos de cumplimiento en constante evolución
• Presupuesto limitado, falta de personal y prioridades informáticas que compiten entre sí

Estos problemas pueden hacer que la gobernanza parezca un concepto demasiado amplio o que su puesta en práctica resulte demasiado lenta. La respuesta no es esperar a que se den las condiciones perfectas . Un enfoque más adecuado es la implementación por fases. 

Empiece por los datos de mayor riesgo, los canales más expuestos y las deficiencias normativas más urgentes. Coordine a las partes interesadas desde el principio. Reduzca la fricción « » siempre que sea posible. Utilice plataformas integradas para simplificar las operaciones, en lugar de acumular controles inconexos que generan más gastos generales que protección.

Cómo crear o perfeccionar un programa de gobernanza de la seguridad de los datos

Un programa práctico de gobernanza de la seguridad de los datos suele mejorar por etapas.

1. Definir los objetivos y el alcance

Decida qué problema debe resolver el programa. Esto puede incluir la reducción de la pérdida de datos, la mejora del cumplimiento normativo, el refuerzo del control de acceso o la protección de la información confidencial en el correo electrónico y las herramientas de colaboración.

2. Identificar a las partes interesadas y asignar responsabilidades

Incorpore a los responsables de seguridad, TI, cumplimiento normativo, protección de datos, asuntos jurídicos y a los responsables de las áreas empresariales pertinentes. Defina claramente las responsabilidades, incluyendo quién se encarga de las políticas, su cumplimiento, la escalación y la revisión.

3. Elaborar políticas y normas de gobernanza

Elabore o perfeccione las políticas de gobernanza relativas a la clasificación de datos, el acceso a los mismos, su conservación, su tratamiento, la respuesta ante incidentes y las herramientas aprobadas por .

4. Implantar la tecnología y los controles necesarios

Aplique los controles adecuados para respaldar el modelo de políticas. Esto puede incluir medidas de seguridad del correo electrónico, archivado, supervisión, detección dedatos, enmascaramiento de datos o funciones de prevención de pérdida de datos, en función del riesgo y el grado de madurez.

5. Impartir formación a los empleados sobre el manejo seguro de los datos

Procure que la formación sea continua y, en la medida de lo posible, específica para cada puesto. La gobernanza funciona mejor cuando los empleados saben qué datos gestion , por qué son importantes y cómo protegerlos.

6. Realizar un seguimiento, medir y optimizar

Realice un seguimiento de los incidentes, las excepciones a las políticas, los problemas de acceso, los resultados de las auditorías y las tendencias de comportamiento. Aproveche esa información para mejorar el programa a lo largo del tiempo.

Buenas prácticas para la gobernanza de la seguridad de los datos

Los programas más sólidos suelen seguir una serie de buenas prácticas de eficacia probada:

• Adopte un enfoque basado en el riesgo: dé prioridad a los controles relacionados con los tipos de activos de datos más valiosos, los flujos de trabajo de mayor riesgo, y los puntos de fallo más probables.
• Integración con los sistemas existentes: La gobernanza debe conectarse con los flujos de trabajo reales de la empresa, y no quedar relegada a un documento independiente que nadie utiliza.
• Aproveche la automatización y la inteligencia artificial: la automatización puede facilitar la detección de anomalías, los flujos de trabajo de cumplimiento normativo y una clasificación más rápida de los casos cuando surge una actividad de riesgo.
• Fomente una cultura que dé prioridad a la seguridad: el apoyo de los directivos, la formación continua y la rendición de cuentas hacen que la gobernanza sea sostenible.

Estas prácticas contribuyen a que la gobernanza pase de la teoría de las políticas a la disciplina operativa diaria.

Cómo aplicar correctamente la gobernanza de la seguridad de los datos

La gobernanza de la seguridad de los datos no es solo una cuestión administrativa. Se trata de una disciplina fundamental de la gobernanza en materia de ciberseguridad que, , ayuda a las organizaciones a proteger los datos confidenciales, reducir el riesgo y mantener su resiliencia a medida que las amenazas y las exigencias de cumplimiento normativo siguen cambiando.

Cuando se lleva a cabo correctamente, permite armonizar a las personas, los procesos y la tecnología. Esto aporta mayor coherencia a la protección de datos, refuerza el cumplimiento normativo y ayuda a los equipos a colaborar con mayor confianza.

Ahora es un buen momento para evaluar su situación actual en materia de gobernanza. ¿Son claras las políticas? ¿Se ha definido el concepto de propiedad? ¿Sus controles de « » se adaptan al flujo real de sus datos?

Mimecast ayuda a las organizaciones a proteger el correo electrónico, la colaboración, los riesgos internos y el cumplimiento normativo, de modo que la gobernanza pueda basarse en un enfoque de protección más integrado.