El cumplimiento normativo en materia de TI se refiere al conjunto de normas y reglamentos legales que las empresas deben cumplir para minimizar el riesgo de sufrir un ciberataque y garantizar la seguridad de sus sistemas y procesos. Toda organización debe cumplir con las normas y reglamentos del sector que sean aplicables a su actividad.
¿Qué es el cumplimiento normativo en materia de TI?
Las directrices de cumplimiento establecen las normas relativas al diseño de la infraestructura informática, el intercambio y el almacenamiento de datos, y las comunicaciones digitales, con el fin de impedir que entidades no autorizadas accedan a información confidencial o la manipulen. Las autoridades reguladoras explican detalladamente cada norma para que las empresas sepan claramente qué deben hacer para cumplir con la normativa.
Los organismos reguladores estatales, federales e internacionales elaboran estas directrices para garantizar que las empresas sigan las mejores prácticas informáticas necesarias para mantener la integridad de los datos y la seguridad de su infraestructura informática. El cumplimiento de estas normas es obligatorio y su incumplimiento se considera una infracción de las directrices, lo que conlleva multas y sanciones severas.
En este blog, analizaremos el objetivo del cumplimiento normativo en el ámbito de las tecnologías de la información, abordaremos diversas normativas y estándares de cumplimiento, y comprenderemos las funciones y responsabilidades de un responsable de cumplimiento normativo en el ámbito de las tecnologías de la información.
¿Cuál es el objetivo del cumplimiento normativo en materia de TI?
El objetivo del cumplimiento normativo en materia de TI es garantizar la seguridad y la protección de los activos digitales de una organización. En los últimos años, los gobiernos han adoptado una postura firme con respecto al cumplimiento normativo en materia de TI, en respuesta al aumento de la ciberdelincuencia y a las preocupaciones sobre la seguridad y la privacidad de los datos. Como consecuencia, cada día se exige a las empresas que cumplan con un número cada vez mayor de normativas para mantener a raya las amenazas. Según el informe global sobre riesgos y cumplimiento normativo de Refinitiv de 2021, el 64 % de los encuestados afirmó que se centrará más en cumplir con la normativa que en intentar prevenir los problemas de forma proactiva.
Nota: La creciente demanda de servicios de cumplimiento normativo ha supuesto una nueva oportunidad de negocio para los MSP. Según la encuesta MSP de 2022 realizada por Kaseya, casi el 75 % de los encuestados ofrece actualmente o tiene previsto ofrecer servicios de cumplimiento normativo a sus clientes.
Cumplir con estas normativas aporta mucho más a una empresa que simplemente protegerla de multas elevadas y sanciones. Las empresas están obligadas a invertir en una infraestructura de seguridad informática sólida, lo que minimiza automáticamente el riesgo de ciberataques y violaciones de seguridad. Hoy en día, muchos clientes solo hacen negocios con empresas que cumplen estrictamente los requisitos de cumplimiento normativo de su sector. Al mantener el cumplimiento normativo, puede ganarse la confianza de sus clientes y conseguir más negocios.
¿Qué es una norma de cumplimiento?
Cumplir con la normativa no es tan sencillo como parece. Para respetar las directrices, es necesario someter a prueba los sistemas y procesos de forma periódica. Las normas de cumplimiento constituyen un conjunto de buenas prácticas que permiten a las empresas comprobar si su infraestructura informática cumple o no con los requisitos de cumplimiento. Estas normas describen las buenas prácticas y ofrecen sugerencias para abordar problemas habituales, con el fin de que su empresa cumpla mejor con la normativa.
El cumplimiento normativo es un proceso continuo, es decir, debes realizar una comprobación de cumplimiento cada vez que actualices tu infraestructura informática. Esto te permitirá cumplir tanto con la legislación como con las expectativas de tus clientes, y te protegerá frente a ciberataques que podrían tener consecuencias devastadoras.
Normas y reglamentos de cumplimiento en materia de TI
Las directrices de cumplimiento no se aplican a tu empresa en su conjunto. En cambio, se aplican a aspectos concretos de tu negocio. Además, no estarás sujeto a todas las normas de cumplimiento de un país o una región.
Existen diversos requisitos de cumplimiento, cada uno de ellos orientado a objetivos distintos. Las normativas de cumplimiento de la HIPAA y la PCI-DSS se aplican específicamente a las empresas del sector sanitario y financiero, y tienen por objeto proteger la información personal de sus clientes. Otras, como la SOC2, son aplicables a los proveedores de servicios en la nube que alojan datos críticos de otras organizaciones. Por otra parte, existen normativas específicas de cada región, como el RGPD, que se aplican a todas las empresas que operan en la Unión Europea (UE) o que tratan datos de clientes de la UE.
Analicemos algunas de las normas y regulaciones más comunes en materia de cumplimiento normativo en el ámbito de las tecnologías de la información.
RGPD (Reglamento General de Protección de Datos)
El Reglamento General de Protección de Datos (RGPD) es una norma de cumplimiento de la Unión Europea (UE) en virtud de la cual las empresas están obligadas a proteger los datos personales y la privacidad de los ciudadanos de la UE en todas las transacciones que se realicen dentro de los Estados miembros de la UE. Su objetivo es reforzar y unificar la protección de datos de todas las personas que residen en la UE y controlar la exportación de datos personales fuera de la UE. Existen dos niveles de sanciones por incumplimiento del RGPD, y el nivel superior prevé multas de hasta 20 millones de euros o el 4 % de los ingresos anuales del año anterior, lo que sea mayor.
HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico)
La Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA) es una norma de cumplimiento estadounidense diseñada para proteger los datos confidenciales de los pacientes. Todas las organizaciones que manejan información médica protegida (PHI) están obligadas a mantener y aplicar medidas de seguridad físicas, de red y de procesos para cumplir con la HIPAA. Las sanciones por incumplimiento de la HIPAA pueden ser considerables. Las sanciones civiles por infracciones de la HIPAA van desde los 100 dólares hasta los 25 000 dólares en caso de infracciones múltiples. La sanción mínima por infracciones deliberadas es de 50 000 dólares y la sanción penal máxima por una infracción de la HIPAA por parte de un individuo es de 250 000 dólares. Eso no es todo. Una infracción de la HIPAA también puede acarrear penas de cárcel de hasta 1, 5 o 10 años. La sanción máxima es de 1,5 millones de dólares.
PCI DSS (Norma de Seguridad de Datos de la Industria de Tarjetas de Pago)
La Norma de Seguridad de Datos de la Industria de Tarjetas de Pago, conocida comúnmente como PCI DSS, es un marco normativo diseñado para proteger los datos personales de pago de los clientes siempre que sean procesados, transmitidos o almacenados por las empresas con las que realizan transacciones. Todos los comerciantes que aceptan tarjetas de pago están obligados a cumplir con la norma PCI DSS. Las multas por infringir esta normativa pueden ascender hasta 500 000 dólares por incidente en caso de violaciones de seguridad.
SOX (Ley Sarbanes-Oxley)
La Ley Sarbanes-Oxley de 2002 se elaboró con el fin de proteger a los inversores frente a la presentación de información financiera fraudulenta por parte de las sociedades cotizadas en bolsa. A principios de la década de 2000 se produjeron numerosos escándalos relacionados con este tipo de cuestiones. En virtud de dicha ley, las empresas cotizadas y las firmas de auditoría de Estados Unidos están obligadas a llevar sus registros financieros de forma ética y correcta. Varias disposiciones de la ley se aplican también a las empresas privadas.
FISMA (Ley Federal de Gestión de la Seguridad de la Información)
La FISMA es una ley federal de los Estados Unidos aprobada en 2002. Exige a los organismos gubernamentales, incluidos sus contratistas, que implementen un marco de seguridad para proteger la información gubernamental sensible. Esta normativa exige que todos los organismos federales y sus entidades afiliadas cumplan con las normas y directrices de seguridad de la información, así como con las normas obligatorias del NIST.
CMMC (Certificación del Modelo de Madurez en Ciberseguridad)
El CMMC 2.0 es un marco integral que está desarrollando el Departamento de Defensa (DoD) para proteger la base industrial de defensa frente a ciberataques cada vez más frecuentes y complejos. En noviembre de 2021, el CMMC 2.0 sustituyó al CMMC 1.0, manteniendo como objetivo principal la protección de la información de seguridad nacional. El marco incluye numerosos aspectos que aún no se han concretado.
Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST CSF)
El Marco de Ciberseguridad del NIST es un marco de aplicación voluntaria que consta de normas, directrices y buenas prácticas publicadas por el Departamento de Comercio de los Estados Unidos. Se trata de una iniciativa de colaboración entre los sectores público y privado y el ámbito académico. En un principio, su objetivo era mejorar la ciberseguridad de los sectores de infraestructuras críticas en los Estados Unidos. Entre esos sectores clave se encontraban el financiero, el energético, el sanitario y el de defensa. También estaba destinado a ser utilizado por organismos federales, así como por gobiernos estatales y locales.
Informes SOC (Controles de sistemas y organización)
A pesar de tomar las precauciones necesarias, muchas empresas han sido víctimas de ciberataques debido a una ciberseguridad deficiente por parte de sus proveedores o de cualquier otra empresa de la cadena de suministro. Para evitar ser víctimas de piratería informática o de filtraciones, los clientes prefieren trabajar con empresas que cumplan con todas las normas de seguridad necesarias y puedan acreditarlo. Un informe SOC sirve como prueba de la fiabilidad de una empresa. Las auditorías y los informes SOC son elaborados por contables públicos certificados independientes (auditores de servicios) de conformidad con las normas de certificación del Instituto Americano de Contables Públicos Certificados (AICPA). Dado que los informes SOC son elaborados por auditores externos, generan credibilidad y confianza en la organización. Existen cuatro tipos de informes SOC: SOC 1, SOC 2, SOC 3 y SOC para ciberseguridad.
¿Qué es una auditoría de cumplimiento normativo en materia de TI?
Las normas de cumplimiento en materia de TI se aplican para garantizar que las empresas sigan prácticas comerciales justas y éticas que no pongan en peligro los derechos de los empleados, los clientes y la propia supervivencia de la empresa en general. Sin embargo, no basta con limitarse a exigir el cumplimiento. Las autoridades reguladoras deben comprobar periódicamente si las empresas cumplen las normas y reglamentos. Sin estos controles, las empresas podrían ignorar las directrices con el fin de maximizar sus beneficios.
Tomemos como ejemplo el sector de las tarjetas de crédito. Los clientes corren el riesgo de que se filtre su información financiera y personal si los comercios que aceptan tarjetas de crédito no cumplen con la normativa obligatoria en materia de ciberseguridad.
Las auditorías de cumplimiento se utilizan como medida para determinar si se están respetando los códigos, las directrices y los controles de cumplimiento. Los organismos reguladores exigen a las empresas que realicen auditorías de cumplimiento periódicamente y que comuniquen los resultados. Asimismo, es necesario que las empresas lleven a cabo auditorías de cumplimiento cuando introducen cambios importantes en su infraestructura o políticas de TI. Los organismos reguladores también pueden encargar una auditoría para determinar si una empresa cumple con la normativa.
Una autoridad reguladora puede enviar auditores de cumplimiento a la empresa o solicitar que esta contrate a auditores de cumplimiento externos para que lleven a cabo una auditoría de cumplimiento.
Nota: A diferencia de las auditorías internas, que una empresa lleva a cabo para garantizar el cumplimiento de sus normas y políticas internas, las auditorías de cumplimiento informático las realizan entidades externas para verificar su exactitud. Las empresas deben realizar una auditoría interna de cumplimiento informático antes de la auditoría final para asegurarse de que todo está en orden.
Los auditores comienzan por definir el alcance de la auditoría. Las auditorías pueden realizarse por teléfono, formulando una serie de preguntas a las personas implicadas. En la mayoría de los casos, los auditores trabajan desde las oficinas de la empresa objeto de la auditoría, inspeccionando las infraestructuras y el entorno de trabajo como parte del proceso.
Tras la auditoría, el auditor elabora un informe y lo remite a la dirección y al organismo regulador. El informe indica qué controles se han superado, cuáles no y en qué aspectos debe mejorar la empresa. En el informe también se describen las medidas adecuadas para cumplir con la normativa. Tras una auditoría, las empresas suelen disponer de 120 días para aplicar las medidas correctivas. Se podrá imponer una multa si se producen incumplimientos graves e intencionados, o si las medidas correctivas no se aplican dentro del plazo de 120 días.
¿Quién es responsable del cumplimiento normativo en materia de TI?
La mayoría de las empresas cuentan con un responsable de cumplimiento normativo que supervisa las actividades relacionadas con el cumplimiento. Las empresas más pequeñas pueden funcionar bien con un solo responsable de cumplimiento, mientras que las organizaciones más grandes pueden tener uno por cada departamento, con varios responsables de cumplimiento a su cargo. Dado que el gobierno está endureciendo aún más la aplicación de las normas de cumplimiento, muchas empresas también han creado el puesto de director de cumplimiento normativo para garantizar una aplicación rigurosa. Según el informe «Fintech, Regtech y el papel del cumplimiento normativo 2021» de Thomson Reuters, el 15 % de las empresas encuestadas ha invertido en competencias especializadas para la función de riesgo y cumplimiento normativo, mientras que el 24 % aún no lo ha hecho, pero sabe que es necesario.
Los organismos reguladores también están presionando a los consejos de administración para que asuman un papel activo en el cumplimiento normativo y les exigen responsabilidades cuando se producen incidentes. El objetivo es fomentar la participación de los dirigentes en las actividades de cumplimiento normativo.
El responsable de cumplimiento normativo no es la única persona encargada de supervisar el cumplimiento de las normas. En lo que respecta al cumplimiento normativo en materia de TI, también es responsabilidad de todo el equipo de TI garantizar que se respeten íntegramente todas las políticas y normas. Cualquier empleado de la empresa que detecte un incumplimiento, ya sea intencionado o no, debe notificarlo al comité correspondiente o comunicarlo a las personas implicadas.
¿En qué consiste el trabajo de un responsable de cumplimiento normativo en el ámbito de las tecnologías de la información?
La función de un responsable de cumplimiento normativo es similar a la de un auditor externo de cumplimiento. Su función principal consiste en realizar auditorías internas periódicas para garantizar que la empresa y los departamentos implicados cumplan con las normas y reglamentos establecidos. Además, se encarga de mantener los informes relacionados con el cumplimiento normativo para que estén disponibles cuando sea necesario.
Los responsables de cumplimiento normativo también colaboran con auditores externos y les facilitan la documentación y la información que necesitan para llevar a cabo su trabajo. Además de estas tareas operativas, los responsables de cumplimiento normativo en el ámbito de las tecnologías de la información también se encargan de desarrollar estrategias que garanticen dicho cumplimiento. En resumen, la función de un responsable de cumplimiento normativo en el ámbito de las tecnologías de la información consiste en identificar y minimizar los retos que dan lugar al incumplimiento normativo.
A continuación se enumeran las funciones y responsabilidades de un responsable de cumplimiento normativo:
- Garantizar el cumplimiento de las directrices de cumplimiento normativo
- Recopilación de la documentación de cumplimiento
- Establecimiento de un calendario de autoevaluación y presentación de informes
- Gestión de los requisitos de auditoría y cumplimiento normativo de los distintos departamentos
- Elaboración de estrategias para evitar el incumplimiento de las directrices
- Coordinar y elaborar estrategias con todos los empleados que influyen directamente en las normas de cumplimiento
- Resolver cuestiones relacionadas con el cumplimiento normativo
- Proporcionar a la dirección, a la gerencia y al consejo de administración informes oportunos y exhaustivos
- Rellenar informes reglamentarios y otros trámites administrativos
- Aplicar políticas y directrices nuevas o actualizadas, según sea necesario, e impartir formación
¿Qué es el software de cumplimiento normativo en materia de TI?
El cumplimiento normativo no es un proceso fácil de gestionar para las empresas. Las normas en constante cambio y el temor a las sanciones hacen que su gestión resulte más complicada de lo que parece. Se trata de un proyecto a largo plazo que requiere la coordinación entre varios equipos y empleados. Si no se cuenta con un proceso bien definido, surgirán fallos y confusión.
Un software de cumplimiento normativo en materia de TI simplifica el proceso y garantiza que todas las partes interesadas tengan acceso a todos los datos y la información pertinentes siempre que los necesiten. Muchas herramientas ofrecen a los usuarios funciones y plantillas para crear informes, así como la posibilidad de compartirlos con las autoridades competentes. Además, la herramienta ayuda a identificar las áreas problemáticas en una fase temprana, de modo que las partes interesadas puedan tomar decisiones fundamentadas y adoptar medidas correctivas.
Estas son algunas de las ventajas de invertir en un software de cumplimiento normativo informático:
Gestión eficaz del cumplimiento normativo: La documentación es una parte fundamental del trabajo de cumplimiento normativo. Las soluciones de cumplimiento normativo en el ámbito de las tecnologías de la información evitan la creación de documentos duplicados que pueden ralentizar el flujo de trabajo, lo que permite mejorar la eficiencia operativa y agilizar los procesos de cumplimiento normativo.
Gestión de costes: Gestionar el cumplimiento normativo sin una herramienta de gestión del cumplimiento en tu infraestructura tecnológica puede resultar laborioso e ineficaz. Necesitarás más personal para llevar a cabo esta tarea, y no es el método más eficaz. Con una solución de gestión del cumplimiento en tu infraestructura tecnológica, podrás gestionarlo todo de forma más eficaz y sin necesidad de contratar personal adicional.
Optimice el proceso: gracias a las herramientas de cumplimiento normativo de TI, puede automatizar una serie de pequeñas tareas cotidianas que requieren mucho tiempo. Además, la herramienta actúa como centro neurálgico para organizar el trabajo y almacenar documentos, lo que ayuda a eliminar los silos de información que impiden el cumplimiento normativo.
Garantizar el cumplimiento normativo: La medida más importante que puede tomar para garantizar el pleno cumplimiento de todas las normativas es invertir en una herramienta de cumplimiento normativo de TI. Basándose en las políticas y normas que le sean aplicables, podrá elaborar una hoja de ruta para la gestión del cumplimiento normativo. Además, la herramienta le enviará notificaciones y alertas cuando sea necesario corregir o mejorar algún aspecto concreto.
Cumplimiento normativo de TI y «Compliance-as-a-Service» con Kaseya
La solución Compliance Manager de Kaseya ofrece una amplia gama de funciones y capacidades útiles, como evaluaciones automatizadas, gestión basada en el riesgo e informes detallados sobre las actividades relacionadas con el cumplimiento normativo.
Combina un motor de flujo de trabajo basado en asistentes, la detección automática de datos de red y de los equipos, un portal de gestión web y la generación integrada de documentos de cumplimiento normativo para ayudarte a mantener y demostrar el cumplimiento. Si eres un MSP, puedes aprovechar esta herramienta para ofrecer «Cumplimiento normativo como servicio» a tus clientes y abrir una nueva fuente de ingresos.
Diseñado para satisfacer tus crecientes necesidades en materia de cumplimiento normativo, Compliance Manager te ayudará a cumplir incluso con las directrices y normativas más complejas. Para obtener más información, haz clic aquí y solicita una demostración gratuita de Compliance Manager.
