Cumplimiento en Ciberseguridad

El cumplimiento en ciberseguridad significa que las medidas de seguridad de una organización se corresponden con un conjunto de requisitos externos y que ella puede demostrarlo cuando se le pide. Los requisitos pueden provenir de una ley, de una regulación sectorial, de un contrato con un cliente o de un estándar publicado. La pregunta es siempre la misma: ¿la organización hace lo que dice la norma y puede probarlo?

Está estrechamente ligado a la protección de datos, porque la mayoría de las normas existe para resguardar información personal, financiera o de salud. También es una tarea de gestión: las obligaciones deben registrarse, asignarse y revisarse, y de eso se ocupa la gestión del cumplimiento.

La palabra clave es evidencia. Un control que funciona pero no deja registro es difícil de defender en una auditoría, y una política que nadie sigue es un pasivo, no una protección.

Pocas organizaciones responden a un solo conjunto de reglas. Las fuentes se distinguen por quién las hace cumplir y por lo que ocurre si se incumplen, así que un buen primer paso es ordenarlas por origen. Muchos programas se organizan en torno a un marco de gestión, como un ISMS, y los clientes suelen pedir un informe independiente, como el SOC 2.

Sea cual sea el conjunto de reglas, el trabajo sigue un ciclo. No termina con un certificado ni con una auditoría aprobada, porque los requisitos, los sistemas y las amenazas cambian sin parar. El ciclo se repite mediante el monitoreo del cumplimiento.

1. 1

   Definir el alcance

   Haga una lista de las leyes, estándares y contratos que aplican, y de los sistemas y datos que abarcan.

2. 2

   Asignar requisitos a controles

   Convierta cada requisito en un control concreto con un responsable, como la revisión de accesos o la retención de registros.

3. 3

   Implementar y documentar

   Ponga los controles en marcha y escriba políticas y procedimientos que las personas puedan seguir.

4. 4

   Reunir evidencias

   Conserve registros, informes y documentos que muestren cada control funcionando a lo largo del tiempo.

5. 5

   Revisar y mejorar

   Pruebe los controles, corrija las brechas y repita el ciclo cuando cambien las reglas o los sistemas.

Las evidencias suelen provenir de las herramientas que observan datos y usuarios. En la consola de Anexet, las reglas de seguridad registran incidentes con un nivel de riesgo, los informes de incidentes pueden armarse por regla y enviarse según un calendario, y los informes de seguridad dan a los revisores un registro con el que trabajar, en lugar de capturas reunidas la semana previa a la auditoría.

1 / 3

• 
• 
• 

El cumplimiento falla con más frecuencia en los traspasos de responsabilidad que en la tecnología. Un mapa breve de responsables vincula cada requisito con alguien que puede actuar.

Aprobar una auditoría muestra que los controles exigidos existían y funcionaban cuando se probaron. No demuestra que la organización no pueda sufrir una brecha. Las normas fijan un mínimo, y los atacantes no leen ese mínimo, así que una empresa que cumple todavía puede sufrir una brecha de datos.

También vale lo contrario: una seguridad sólida pero sin documentar puede reprobar una auditoría. El objetivo práctico es tratar las normas como un piso y construir la seguridad encima, usando el riesgo de cumplimiento para decidir dónde las brechas costarían más.

La mayoría de los programas tropieza en los mismos puntos:

• Tratar el cumplimiento como un proyecto anual y no como un proceso continuo
• Reunir evidencias solo en las semanas previas a la auditoría
• Comprar una herramienta y suponer que con eso la organización cumple
• Escribir políticas que nadie leyó o que no se pueden seguir
• Ignorar a los terceros, aunque su acceso a sus datos sea responsabilidad suya

Empiece en pequeño y con cosas concretas. Anote qué normas le aplican, elija los datos que más dañarían si se expusieran y compruebe que los controles básicos sobre ellos existen y dejan registro. Amplíe desde ahí, en lugar de construir un marco que nadie usa.