El cumplimiento de la seguridad cibernética se refiere a seguir el conjunto de reglas y regulaciones sobre cómo las organizaciones deben manejar y proteger los datos confidenciales. El cumplimiento es importante para cualquier empresa que recopile, procese o almacene información de identificación personal (PII), información médica protegida (PHI), financiero datos u otra información sensible.

Algunas de las principales regulaciones que las organizaciones deben cumplir incluyen:

• La Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA) que protege la PHI. Las organizaciones de atención médica y sus socios comerciales deben cumplir con HIPAA.
  
• El Reglamento General de Protección de Datos (GDPR) que protege la PII de personas en la Unión Europea. Cualquier empresa que comercialice o recopile datos de personas en la UE debe cumplir con el RGPD.
  
• Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) que se aplica a cualquier organización que acepte pagos con tarjeta de crédito. Deben cumplir para garantizar que los datos de pago de los clientes estén protegidos.
  
• La Ley Sarbanes-Oxley (SOX), que se aplica a las empresas que cotizan en bolsa en los EE. UU. El cumplimiento de SOX garantiza informes financieros y controles internos precisos.
  

Cumpliendo con estos y otros estándares de seguridad cibernética Es importante evitar posibles problemas legales y sanciones. El incumplimiento puede dar lugar a fuertes multas y daños a la reputación de una organización.

Para lograr el cumplimiento, las organizaciones deben implementar controles técnicos como cifrado de datos, gestión de acceso y seguridad de la red. También deben contar con políticas y procedimientos adecuados, realizar evaluaciones de riesgos y capacitar a los empleados sobre las mejores prácticas de seguridad. Los marcos de cumplimiento, como el Marco de ciberseguridad del NIST, pueden ayudar a guiar a las organizaciones en la creación de un programa sólido de cumplimiento de la seguridad cibernética.

Principales marcos y estándares de cumplimiento

Existen varios requisitos reglamentarios importantes para el cumplimiento de la seguridad cibernética que las organizaciones deben comprender:

Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS)

El PCI DSS se aplica a cualquier organización que procese, almacene o transmita pagos con tarjeta de crédito. Consta de 12 requisitos relacionados con la creación y el mantenimiento de un entorno seguro de datos de tarjetas de pago. Las organizaciones deben validar el cumplimiento de PCI DSS anualmente mediante una evaluación.

Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA)

HIPAA establece requisitos para proteger la información confidencial de salud del paciente. Se aplica a planes de salud, cámaras de compensación de atención médica y proveedores de atención médica. HIPAA requiere salvaguardias administrativas, físicas y técnicas para garantizar la confidencialidad, integridad y disponibilidad de la información médica protegida electrónica (ePHI).

Reglamento General de Protección de Datos (GDPR)

GDPR es una regulación de la Unión Europea que protege los datos personales de los ciudadanos de la UE. Se aplica a organizaciones que recopilan o procesan datos personales de personas en la UE, independientemente de si la organización tiene su sede en la UE. El RGPD exige transparencia, consentimiento, minimización de datos, precisión, limitación de almacenamiento, integridad, confidencialidad y responsabilidad.

Ley Sarbanes-Oxley (SOX)

SOX establece requisitos para la precisión y confiabilidad de los informes financieros para las empresas que cotizan en bolsa en los EE. UU. La Sección 404 requiere que la administración evalúe e informe anualmente sobre la efectividad de los controles internos sobre la información financiera. El cumplimiento de SOX tiene como objetivo prevenir el fraude contable y proteger a los accionistas.

Otros marcos

Los estándares de seguridad cibernética adicionales incluyen:

1. NY-DFS Parte 500: Regulación del Departamento de Servicios Financieros del Estado de Nueva York (NYDFS) que establece requisitos de ciberseguridad para instituciones financieras y empresas de servicios en Nueva York. Implementado en marzo de 2017, tiene como objetivo proteger la información de los clientes y los sistemas de TI de las amenazas cibernéticas al exigir a las entidades cubiertas que evalúen sus riesgos de ciberseguridad e implementen un plan para mitigarlos.
   
2. PCI-DSS 4.0: La versión 4.0 del Estándar de seguridad de datos de la industria de tarjetas de pago es la última actualización de los estándares de seguridad para organizaciones que manejan tarjetas de crédito de marca. Se centra en proteger los datos de los titulares de tarjetas y garantizar entornos de pago seguros, enfatizando el monitoreo continuo y la adaptación a nuevas amenazas.
   
3. NIS2: Una propuesta de reglamento de la UE para reemplazar la Directiva NIS existente, cuyo objetivo es aumentar los requisitos de seguridad para los servicios digitales, expandir los sectores críticos y hacer cumplir medidas de supervisión más estrictas y el intercambio de información entre los estados miembros de la UE.
   
4. Ley de resiliencia operativa digital: Parte de la estrategia de la UE para fortalecer la ciberseguridad en el sector financiero, garantizando que todos los participantes tengan implementadas salvaguardas para mitigar los ciberataques y otros riesgos.
   
5. MAS Ciberseguridad: El marco de ciberseguridad de la Autoridad Monetaria de Singapur describe directrices para las instituciones financieras en Singapur, enfatizando medidas de seguridad sólidas, evaluaciones de riesgos y gobernanza de la ciberseguridad.
   
6. Ocho esenciales: Estrategias de ciberseguridad recomendadas por el Centro Australiano de Seguridad Cibernética, que proporcionan estrategias básicas de ciberdefensa para las organizaciones. Incluye estrategias como control de aplicaciones, aplicaciones de parches y autenticación de múltiples factores.
   
7. Marco de seguridad de las telecomunicaciones del Reino Unido: Establece requisitos de seguridad mejorados para los proveedores de telecomunicaciones del Reino Unido para fortalecer la seguridad y la resiliencia de las redes y servicios públicos de telecomunicaciones contra interrupciones y amenazas cibernéticas.
   
8. Código de prácticas de ciberseguridad para la infraestructura de información crítica 2.0: Diseñado para proteger la infraestructura de información crítica en diversos sectores, describiendo las mejores prácticas y estándares para proteger los activos digitales contra las amenazas cibernéticas.
   
9. Cyber ​​Essentials y Cyber ​​Essentials Plus del Reino Unido: Esquemas respaldados por el gobierno del Reino Unido para ayudar a las organizaciones a protegerse contra ataques cibernéticos comunes. Cyber ​​Essentials se centra en controles básicos de higiene cibernética, mientras que Cyber ​​Essentials Plus implica una mayor garantía a través de pruebas independientes de las medidas de seguridad cibernética.
   

Mantenerse actualizado con los estándares de cumplimiento relevantes para la industria y la geografía de una organización es crucial que los profesionales de la seguridad cibernética lo comprendan. Las infracciones de cumplimiento pueden dar lugar a sanciones legales, pérdidas financieras y daños a la reputación de una organización. Crear de forma proactiva un programa de cumplimiento y validar el cumplimiento mediante auditorías y evaluaciones es clave para mitigar estos riesgos.

Responsabilidades en el cumplimiento de la seguridad cibernética

El cumplimiento ayuda a reducir el riesgo, hacer cumplir los estándares de seguridad y garantizar la confidencialidad, integridad y disponibilidad de los datos y los sistemas de TI. Las responsabilidades clave en el cumplimiento de la seguridad cibernética incluyen:

• Realizar evaluaciones de riesgos para identificar vulnerabilidades, amenazas y sus posibles impactos. Las evaluaciones de riesgos examinan los datos confidenciales, los sistemas críticos y los controles de seguridad de una organización para determinar la probabilidad y la gravedad de las amenazas cibernéticas. Los resultados se utilizan para priorizar los riesgos e implementar salvaguardas adecuadas.
  
• Desarrollar y hacer cumplir políticas, estándares, procedimientos y controles de seguridad. Estos marcos de seguridad cibernética establecen reglas sobre protección de datos, gestión de acceso, monitoreo de seguridad, respuesta a incidentes y otras áreas. Deben alinearse con las obligaciones legales, regulatorias y contractuales. Es necesario revisar y actualizar continuamente las políticas y procedimientos para tener en cuenta los cambios en la tecnología, las regulaciones, las operaciones comerciales y el panorama de amenazas.
  
• Monitorear redes, sistemas y actividad de usuarios para detectar eventos de seguridad e infracciones de cumplimiento. La supervisión continua ayuda a detectar rápidamente riesgos, filtraciones de datos, accesos no autorizados, infecciones de malware y otros problemas. Requiere el uso de herramientas de análisis de registros, soluciones de gestión de eventos e información de seguridad (SIEM), sistemas de prevención de pérdida de datos (DLP) y otras tecnologías para recopilar, analizar y alertar sobre datos de seguridad.
  
• Responder a incidentes de seguridad como violaciones de datos, ransomware Los planes de respuesta a incidentes detallan los pasos para detectar, contener, erradicar y recuperarse de los ataques cibernéticos. Especifican funciones y responsabilidades, protocolos de comunicación y procedimientos para el análisis forense, la evaluación de daños y la reparación.
  
• Proporcionar periódicamente concienciación y formación sobre seguridad cibernética a los empleados. Educar a los usuarios finales sobre políticas de seguridad, prácticas informáticas seguras y las últimas amenazas cibernéticas es esencial para el cumplimiento. Los programas de concientización sobre seguridad tienen como objetivo cambiar los comportamientos riesgosos y hacer que las personas estén alerta y responsables en la protección de los datos y sistemas de la organización.
  
• Realización de auditorías para evaluar el cumplimiento de los estándares de ciberseguridad e identificar áreas de mejora. Se realizan auditorías tanto internas como externas para examinar los controles de seguridad, revisar políticas y procedimientos, verificar vulnerabilidades y garantizar el cumplimiento legal y normativo. Las auditorías dan como resultado informes con recomendaciones para subsanar cualquier brecha y fortalecer la postura general de seguridad.
  

Pasos para lograr el cumplimiento

Lograr el cumplimiento de la ciberseguridad requiere planificación y diligencia. Las organizaciones deben adoptar un enfoque sistemático para establecer y mantener un programa de cumplimiento. Los siguientes pasos proporcionan una descripción general de cómo lograr el cumplimiento:

Desarrollar una política de cumplimiento

El primer paso es establecer una política oficial que describa el compromiso de la organización con el cumplimiento de la ciberseguridad. Esta política debe definir el alcance de las actividades de cumplimiento, asignar responsabilidades y obtener la aprobación ejecutiva. Una vez establecida la aceptación del liderazgo, las organizaciones pueden pasar a evaluar sus obligaciones de cumplimiento.

Identificar la normativa aplicable

Las organizaciones deben determinar qué regulaciones industriales se aplican a sus operaciones. Las regulaciones comunes incluyen HIPAA para atención médica, GDPR para privacidad de datos y PCI DSS para seguridad de pagos. Las organizaciones deben revisar periódicamente las regulaciones nuevas y actualizadas para garantizar el cumplimiento continuo.

Realizar una evaluación de riesgos

Una evaluación de riesgos identifica los riesgos y vulnerabilidades cibernéticos que podrían afectar el cumplimiento. Proporciona la base para un programa de cumplimiento al revelar dónde se deben implementar los controles. Las evaluaciones de riesgos deben realizarse periódicamente para tener en cuenta los cambios en la infraestructura tecnológica y los requisitos de cumplimiento.

Implementar controles y procedimientos.

Una vez identificados los riesgos, las organizaciones pueden implementar controles adecuados y actualizar procedimientos para salvaguardar los sistemas y los datos, cumpliendo con los mandatos de cumplimiento clave. Los controles estándar incluyen gestión de acceso, cifrado, monitoreo y capacitación en concientización sobre seguridad. Los procedimientos deben documentarse minuciosamente y mantenerse registros para demostrar su cumplimiento.

Monitorear y auditar el cumplimiento

Se requieren monitoreo y auditoría regulares para mantener un cumplimiento continuo. Las herramientas de seguimiento pueden realizar un seguimiento de los controles, detectar infracciones y generar informes. Se deben realizar auditorías tanto internas como externas, y se deben analizar los resultados para identificar y subsanar las deficiencias. El cumplimiento es un proceso continuo que requiere una mejora continua.

Capacitar a los empleados

Las personas desempeñan un papel clave en el cumplimiento, por lo que la concientización continua sobre seguridad y la capacitación sobre cumplimiento para todos los empleados son fundamentales. Se debe exigir capacitación y realizar un seguimiento de su finalización para garantizar que todo el personal comprenda sus responsabilidades. Se deben cubrir los fundamentos de cumplimiento y cualquier cambio reciente en las regulaciones o controles.

Conclusión

Garantizar el cumplimiento de los estándares y regulaciones de seguridad cibernética es una responsabilidad crucial para las organizaciones hoy en día. A medida que las amenazas cibernéticas se vuelven cada vez más sofisticadas, los gobiernos y los grupos industriales han establecido pautas para ayudar a proteger los datos confidenciales y la infraestructura crítica.

El cumplimiento puede requerir evaluaciones, auditorías, capacitación y adaptación continuas a nuevas leyes y estándares. Si bien el cumplimiento no necesariamente equivale a seguridad, seguir las pautas y los marcos regulatorios ayuda a establecer una postura de seguridad sólida, genera confianza con los clientes y socios y evita posibles consecuencias legales del incumplimiento.