Novedades en materia de normativa y cumplimiento que todo profesional de las tecnologías de la información debe conocer

Mantenerse al día con el cumplimiento normativo en materia de TI es una tarea compleja, sobre todo teniendo en cuenta que normativas como la HIPAA, la PCI DSS y el RGPD cambian constantemente. Si no tienes claro cuáles son las novedades y cómo afectan a tu organización, no eres el único. En este blog, analizaremos las últimas actualizaciones y los cambios clave que debes conocer, para ayudarte a sortear estas complejidades y garantizar que tus prácticas de TI sigan cumpliendo con la normativa y sean seguras.

HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico)

La HIPAA es una normativa fundamental para los profesionales de las tecnologías de la información que trabajan en el sector sanitario, ya que establece normas nacionales para la protección de la información confidencial de los pacientes. La ley se divide en varios componentes clave, entre los que se incluyen la norma de privacidad, la norma de seguridad y la norma de notificación de violaciones de datos, cada una de las cuales establece requisitos específicos para la gestión y la protección de los datos de los pacientes.

• Norma de privacidad: Se centra en proteger la información de los pacientes, garantizando que se mantenga confidencial y que solo se comparta cuando sea necesario.
• Norma de seguridad: Establece los criterios para el tratamiento, la transmisión y el almacenamiento seguros de la información sanitaria protegida en formato electrónico (ePHI).
• Norma sobre notificación de violaciones de datos: Establece los procedimientos que deben seguirse en caso de que se produzca una violación de datos, lo que incluye notificar a las personas afectadas y comunicar la violación a las autoridades competentes.

Cambios recientes en la HIPAA

La normativa de la HIPAA ha evolucionado para dar respuesta a las crecientes necesidades de los entornos informáticos actuales del sector sanitario, especialmente con el auge de la telesalud y el teletrabajo. Entre las actualizaciones más recientes se incluyen:

• Modificaciones de la normativa sobre privacidad: Las nuevas disposiciones permiten una mayor flexibilidad a la hora de compartir la información de los pacientes durante emergencias de salud pública, lo que mejora la atención al paciente sin comprometer la privacidad.
• Directrices para unas comunicaciones seguras: Ante el creciente uso de la telesalud, se han introducido nuevas directrices para garantizar la seguridad de los datos de los pacientes durante las consultas virtuales.
• Mayor control del cumplimiento: Se ha producido un aumento significativo en el control del cumplimiento de la normativa HIPAA, con sanciones más estrictas en caso de incumplimiento, especialmente en casos de filtraciones de datos y gestión inadecuada de la información de los pacientes.

Repercusiones para los profesionales de las tecnologías de la información

Los recientes cambios en la normativa de la HIPAA exigen a los profesionales de las tecnologías de la información que adapten sus estrategias de gestión y seguridad de los datos. Entre los aspectos clave a tener en cuenta se incluyen:

• Gestión y almacenamiento de datos: Los equipos de TI deben revisar y actualizar sus protocolos de almacenamiento de datos para garantizar que se ajusten a los últimos requisitos de privacidad y seguridad. Esto incluye el uso de cifrado y de métodos seguros de transferencia de datos.
• Medidas de seguridad: La implantación de la autenticación multifactorial (MFA) y la realización de auditorías periódicas son pasos fundamentales para garantizar el cumplimiento normativo. Los profesionales de TI deben asegurarse de que todos los sistemas y dispositivos utilizados en el ámbito sanitario estén debidamente protegidos contra el acceso no autorizado.
• Cumplimiento normativo en el teletrabajo: Dado que cada vez son más los profesionales sanitarios que trabajan a distancia, los equipos de TI deben desarrollar estrategias para garantizar la seguridad del acceso remoto a los datos de los pacientes. Esto incluye proporcionar redes VPN seguras, supervisar las sesiones remotas y garantizar que todos los dispositivos remotos cumplan las normas de seguridad de la HIPAA.

Lecturas recomendadas: Cumplimiento automatizado de la HIPAA: la automatización de las TI lo simplifica

PCI DSS (Norma de Seguridad de Datos del Sector de Tarjetas de Pago)

La norma PCI DSS es un marco fundamental para las empresas que gestionan información de tarjetas de pago, ya que garantiza la protección de los datos confidenciales frente a filtraciones y fraudes. Establece una serie de controles y requisitos de seguridad diseñados para proteger los datos de los titulares de tarjetas a lo largo de todo su ciclo de vida.

Requisitos fundamentales: La norma PCI DSS establece 12 requisitos fundamentales diseñados para proteger los datos de los titulares de tarjetas, garantizar la seguridad de los sistemas y supervisar y someter a pruebas las redes de forma continua. Estos requisitos abarcan desde la implementación de medidas rigurosas de control de acceso hasta el mantenimiento de una red segura. Son los siguientes:

• Instalar y mantener una configuración de firewalls para proteger los datos de los titulares de tarjetas.
• No utilices los valores predeterminados proporcionados por el fabricante para las contraseñas del sistema y otros parámetros de seguridad.
• Proteger los datos de los titulares de tarjetas almacenados.
• Cifra la transmisión de los datos de los titulares de tarjetas a través de redes públicas y abiertas.
• Utiliza y actualiza periódicamente el software o los programas antivirus.
• Desarrollar y mantener sistemas y aplicaciones seguros.
• Restringe el acceso a los datos de los titulares de tarjetas en función de las necesidades de la empresa.
• Asigna un identificador único a cada persona con acceso al computadora.
• Restringir el acceso físico a los datos de los titulares de tarjetas.
• Realizar un seguimiento y supervisar todos los accesos a los recursos de la red y a los datos de los titulares de tarjetas.
• Comprueba periódicamente los sistemas y procesos de seguridad.
• Mantener una política que aborde la seguridad de la información para todo el personal.

Controles de seguridad: La norma también hace hincapié en la importancia de mantener controles de seguridad, como el cifrado, para proteger los datos tanto en reposo como en tránsito.

Cambios recientes en la norma PCI DSS

La última versión de la norma PCI DSS, como la PCI DSS v4.0, introduce varias actualizaciones destinadas a adaptarse a la evolución del panorama de la seguridad en los pagos. Entre los cambios más importantes se incluyen:

• Nuevos requisitos de cifrado: Las últimas actualizaciones han reforzado las normas de cifrado, lo que garantiza una protección aún más sólida de los datos de las tarjetas de pago frente a posibles violaciones de seguridad.
• Medidas de autenticación reforzadas: Las nuevas directrices hacen hincapié en la necesidad de contar con protocolos de autenticación más sólidos, incluida la autenticación multifactorial, para garantizar que solo los usuarios autorizados puedan acceder a la información confidencial relativa a los pagos.
• Mejoras en la gestión de vulnerabilidades: Las actualizaciones también introducen requisitos más rigurosos para la gestión de vulnerabilidades, lo que garantiza que las empresas actúen de forma proactiva a la hora de identificar y subsanar posibles puntos débiles en materia de seguridad.
• Enfoques de seguridad flexibles: La norma PCI DSS v4.0 ofrece mayor flexibilidad, lo que permite a las organizaciones adaptar sus medidas de seguridad para que se ajusten mejor a su entorno de riesgo específico, sin dejar de cumplir los requisitos de la norma.

Repercusiones para los profesionales de las tecnologías de la información

Estas actualizaciones de la norma PCI DSS obligan a los profesionales de TI a realizar ajustes significativos en la forma en que gestionan y protegen los datos de las tarjetas de pago. A continuación se explica qué implican estos cambios para las operaciones diarias:

• Ajustes en los protocolos de seguridad: los equipos de TI deberán revisar y actualizar sus protocolos de seguridad para adaptarlos a los nuevos requisitos de cifrado y autenticación, garantizando que todos los sistemas cumplan con la normativa.
• Adopción de nuevas tecnologías: El cumplimiento normativo puede requerir la implantación de nuevas herramientas y tecnologías, como métodos avanzados de cifrado y sistemas de autenticación más sólidos, para cumplir con unas normas de seguridad más estrictas.
• Supervisión continua y evaluación de riesgos: Se está prestando cada vez más atención a la supervisión continua y a la evaluación de riesgos. Los profesionales de las tecnologías de la información deberán asegurarse de que sus sistemas se sometan continuamente a pruebas y se supervisen para detectar vulnerabilidades, manteniendo una actitud proactiva frente a posibles amenazas a la seguridad.

RGPD (Reglamento General de Protección de Datos)

El RGPD es una piedra angular de la protección de datos a nivel mundial, ya que establece las normas sobre cómo deben tratarse los datos personales, especialmente en la Unión Europea (UE). Tiene implicaciones de gran alcance para las empresas de todo el mundo, ya que regula la recogida, el almacenamiento y el tratamiento de los datos personales, garantizando el respeto de los derechos de privacidad de las personas.

Principios fundamentales: El RGPD se basa en varios principios fundamentales, entre los que se incluyen la minimización de datos, la exactitud y la limitación del almacenamiento. Asimismo, establece directrices estrictas para el tratamiento de datos, exigiendo que las organizaciones obtengan un consentimiento claro y garanticen la transparencia sobre el uso que se hace de los datos. Los principios fundamentales son:

• Legalidad, equidad y transparencia
• Limitación de la finalidad
• Minimización de datos
• Precisión
• Limitación de almacenamiento
• Integridad y confidencialidad (seguridad)
• Responsabilidad

Derechos de los interesados: El RGPD consagra varios derechos de los interesados, como el derecho de acceso a sus datos, el derecho al olvido y el derecho a la portabilidad de los datos. Estos derechos permiten a los interesados ejercer un mayor control sobre su información personal. A continuación se enumeran los ocho derechos de los interesados que protege el RGPD:

• El derecho a ser informado
• El derecho de acceso
• El derecho de rectificación
• El derecho al olvido
• El derecho a limitar el tratamiento
• El derecho a la portabilidad de los datos
• El derecho de oposición
• El derecho a no ser objeto de una toma de decisiones automatizada

Cambios recientes en el RGPD

El RGPD sigue evolucionando a medida que surgen nuevos retos e interpretaciones. El Comité Europeo de Protección de Datos (EDPB) publica periódicamente actualizaciones y aclaraciones que influyen en la forma en que las empresas deben cumplir con el RGPD.

• Novedades del EDPB: Las recientes orientaciones del EDPB han aportado mayor claridad sobre cuestiones complejas, como la base jurídica para el tratamiento de datos y las obligaciones de los responsables y encargados del tratamiento.
• Directrices sobre la transferencia de datos: Uno de los avances más significativos se refiere a las implicaciones de la sentencia Schrems II, que invalidó el marco del «Privacy Shield» para las transferencias transatlánticas de datos. Se han introducido nuevas directrices para garantizar que las transferencias internacionales de datos cumplan los estrictos requisitos del RGPD.
• Mayor rigor en la aplicación de la normativa: Se ha producido un notable aumento de las sanciones y las medidas coercitivas, y los organismos reguladores han impuesto multas sustanciales por incumplimiento. Esta tendencia pone de relieve la importancia de cumplir con las disposiciones del RGPD.

Repercusiones para los profesionales de las tecnologías de la información

Para los profesionales de las tecnologías de la información, estos avances implican mantenerse alerta y actuar de forma proactiva a la hora de gestionar la protección de datos y el cumplimiento normativo.

• Transferencias internacionales de datos: Los equipos de TI deben garantizar que todas las transferencias de datos, especialmente aquellas que impliquen a terceros países, cumplan con las nuevas directrices. Esto puede implicar revisar los mecanismos de transferencia de datos existentes e implementar medidas de protección adicionales.
• Reforzar la protección de datos: Ante el aumento de las medidas de control y las sanciones, es fundamental reforzar las medidas de protección de datos. Esto incluye actualizar periódicamente los protocolos de seguridad, realizar evaluaciones de impacto relativas a la protección de datos y garantizar que las actividades de tratamiento de datos cumplan plenamente con el RGPD.
• Cumplir con las directrices del EDPB: Es fundamental mantenerse al día sobre las últimas directrices y recomendaciones del EDPB. Los profesionales de TI deben revisar periódicamente estas actualizaciones y adaptar sus prácticas en consecuencia para garantizar el cumplimiento continuo.

Cambios recientes introducidos por los organismos reguladores (la FCC y otros)

La Comisión Federal de Comunicaciones (FCC) desempeña un papel fundamental en la regulación de las comunicaciones y la tecnología, lo que repercute en una amplia gama de sectores, entre ellos las telecomunicaciones, la radiodifusión y los servicios de Internet. Los profesionales de las tecnologías de la información deben mantenerse al corriente de la normativa de la FCC, ya que esta puede afectar directamente a la forma en que se gestiona y protege la infraestructura tecnológica y de comunicaciones.

• Normativa sobre la neutralidad de la red: El debate sobre la neutralidad de la red ha dado lugar a varios cambios en la normativa de la FCC, que afectan a la forma en que los proveedores de servicios de Internet (ISP) gestionan y priorizan el tráfico de datos. Estos cambios tienen importantes repercusiones en la forma en que se transmiten los datos a través de las redes y podrían afectar al rendimiento y la accesibilidad de los servicios en línea.
• Requisitos de ciberseguridad: En respuesta al aumento de las ciberamenazas, la FCC ha introducido nuevos requisitos de ciberseguridad para los proveedores de telecomunicaciones. Estas normas están diseñadas para proteger las infraestructuras de comunicaciones críticas y garantizar que los proveedores adopten las medidas necesarias para proteger sus redes frente a posibles ataques.

Otras novedades normativas

Además de la FCC, ha habido novedades importantes por parte de otros organismos reguladores que los profesionales de las tecnologías de la información deben conocer, especialmente en lo que respecta a la privacidad y la ciberseguridad.

• Ley de Privacidad del Consumidor de California (CCPA): La CCPA ha sido objeto de varias modificaciones que han endurecido las normas relativas a la forma en que las empresas recopilan, almacenan y comparten los datos de los consumidores. Estos cambios obligan a las empresas a mejorar sus prácticas de protección de datos y a ofrecer una mayor transparencia a los consumidores en lo que respecta a sus derechos sobre sus datos.
• Leyes de protección de datos a nivel estatal: Varios estados han promulgado sus propias leyes de protección de datos, lo que ha dado lugar a un complejo mosaico de normativas por el que deben orientarse las empresas. Estas leyes estatales suelen incluir requisitos específicos, por lo que es fundamental que los equipos de TI se mantengan informados y garanticen el cumplimiento normativo en las distintas jurisdicciones.
• Actualizaciones del NIST: El Instituto Nacional de Estándares y Tecnología (NIST) sigue actualizando sus marcos de ciberseguridad, proporcionando nuevas directrices y buenas prácticas para proteger los sistemas de información. Estas actualizaciones son especialmente relevantes para los profesionales de TI encargados de mantener medidas de seguridad sólidas y de garantizar que sus organizaciones cumplan con las normas más recientes.

Repercusiones para los profesionales de las tecnologías de la información

Estos cambios normativos exigen que los profesionales de las tecnologías de la información sean ágiles y proactivos a la hora de adaptar sus prácticas para cumplir con las nuevas normas y requisitos.

• Normativa en materia de telecomunicaciones: los equipos de TI deben mantenerse al día de los cambios en la normativa sobre telecomunicaciones, especialmente de los introducidos por la FCC. Esto puede implicar ajustar las prácticas de gestión de la red y garantizar que las medidas de ciberseguridad se ajusten a los requisitos más recientes.
• Medidas de privacidad y ciberseguridad: Ante el endurecimiento de las leyes de privacidad, como la CCPA, y la introducción de nuevas normativas a nivel estatal, los profesionales de las tecnologías de la información deben reforzar sus estrategias de protección de datos. Esto incluye la implantación de controles de acceso más estrictos y el cifrado de datos, así como garantizar que los datos de los consumidores se traten de acuerdo con los últimos requisitos legales.
• Seguimiento de la evolución a nivel estatal: A medida que más estados aprueban sus propias leyes en materia de privacidad y ciberseguridad, es fundamental que los equipos de TI sigan de cerca esta evolución y adapten sus estrategias de cumplimiento en consecuencia. Mantenerse al día de estos cambios ayudará a evitar posibles problemas legales y garantizará que la organización siga cumpliendo con la normativa en todas las regiones en las que opera.

Recursos imprescindibles para profesionales de las tecnologías de la información

Mantenerse al día de los cambios normativos puede resultar complicado, pero existen numerosos recursos disponibles para ayudar a los profesionales de TI a mantenerse informados, como:

• Sitios web oficiales: Los organismos reguladores, como la FCC, el EDPB y el NIST, actualizan periódicamente sus sitios web con las últimas directrices y novedades.
• Asociaciones del sector: Formar parte de asociaciones del sector, como la Asociación Internacional de Profesionales de la Privacidad (IAPP) o la Asociación de Auditoría y Control de Sistemas de Información (ISACA), puede aportar conocimientos valiosos y oportunidades para establecer contactos.
• Redes profesionales: Participar en redes y foros profesionales, tanto en línea como presenciales, puede ayudarte a intercambiar conocimientos con otros profesionales y a mantenerte al día de las tendencias del sector.

Mantén el cumplimiento normativo y la seguridad con Kaseya 365

A medida que evoluciona la normativa, también deben hacerlo las estrategias y herramientas que utilizan los profesionales de las tecnologías de la información para proteger los datos, gestionar las redes y garantizar la privacidad.

Aquí es donde entra en juego Kaseya 365. Diseñado teniendo en cuenta estas necesidades en evolución, Kaseya 365 integra la gestión de endpoints, la seguridad, el backup y la automatización en una única plataforma cohesionada. Con todo lo que necesitas para gestionar tus endpoints disponible en una sola pantalla, puedes tomar rápidamente las acciones correctas en el momento adecuado.

Este enfoque optimizado no solo mejora tu eficiencia, sino que también garantiza que tus sistemas sigan cumpliendo con la normativa más reciente, lo que te aporta tranquilidad en un entorno en constante cambio. Descubre por ti mismo el potencial de Kaseya 365 : solicita una demostración hoy mismo para ver cómo esta plataforma «todo en uno» puede ayudarte a adelantarte a los cambios normativos y a mantener tus sistemas seguros y conformes con la normativa.