Respuestas al cumplimiento ¿Cada vez más complejas?

 
Las regulaciones globales y locales están creciendo en volumen y en complejidad, y como resultado, la demanda de responsabilidad legal se ha intensificado, a la vez que la administración de los costos asociados a la gestión de riesgo y cumplimiento continúa siendo un reto.

¿Debe la estrategia de cumplimiento de una empresa ser parte de la estrategia de seguridad? ¿Debe ser independiente o estar más cerca del área legal? ¿Cómo elige mejorar el cumplimiento en su empresa? En una organización la gestión de cumplimiento puede tornarse compleja y difícil de realizar, no solo por razones técnicas sino también por razones organizativas y funcionales. Coordinar todos los esfuerzos encaminados a asegurar un entorno de cumplimiento corporativo requiere de un adecuado control que integre los esfuerzos de toda la organización, empleando mecanismos reguladores de las funciones y actividades desarrolladas por cada uno de sus empleados.

Por ello deben establecerse pautas para la integración de capacidades de gobierno, aseguramiento y gestión del desempeño, riesgo y cumplimiento que integren estos esfuerzos de una manera conjunta, y que luego se representarán a través de las políticas y normas organizacionales, que formaran un marco normativo como medio de comunicación en el cual se establecen las reglas y controles reflejados en los diferentes procedimientos de la organización, para asegurar el cumplimiento de leyes y regulaciones del negocio apoyando a la confidencialidad, integridad y disponibilidad de la información previniendo y manejando los riesgos de seguridad en diversas circunstancias. Tengamos en cuenta que las pautas establecidas deben representarse en un programa que defina el objetivo, dirección, principios y reglas básicas para la gestión del cumplimiento y la seguridad.

En el mundo actual, no hay forma de asegurarnos contra el robo o el fraude si no podemos controlar o gobernar los procesos de negocio desde la tecnología que les brinda servicios y a su vez, si no capacitamos y concientizamos a las personas que los gestionan. Toda persona que intervenga en los diferentes procesos de negocio y a su vez utilice los servicios informáticos que ofrece la organización, debe conocer el marco normativo que regula las actividades de la organización, teniendo en cuenta que su desconocimiento no lo exonera de responsabilidad, ante cualquier eventualidad que involucre a la organización y a la seguridad de la información.

El objetivo de un programa de cumplimiento es el crear una mejor imagen de mercado y reducir los daños tangibles o intangibles ocasionados por los potenciales riesgos; esto determina que las necesidades de cumplimiento se centren en dar respuesta a la gestión riesgos, el control de los procesos y el control de accesos a la información y a los sistemas, siendo cada una de estos puntos módulos fundamentales para el entorno de GRC (Governance, Risk & Compliance) de cualquier organización, y el medio para dar respuesta puede ser representado, por ejemplo, a través de la gestión de seguridad de la información alineada con los objetivos comerciales de la organización para asegurar su negocio.

Tomando como guía este sistema de gestión, se tiene la posibilidad de cubrir una respuesta tanto a requerimientos legales o de industria (SOX, PCI-DSS, LFPDP, BCRA, SBIF, SBS, etc.) como el demostrar la adopción de prácticas comunes desde la visión de seguridad de la información (ISO9001, ISO27001, ITIL, COBIT, ISO20000, etc.) y las prácticas internas o la interacción con diferentes funciones y terceros. Los retos de cumplimiento han llevado a un incremento del espectro de responsabilidades, que abarcan aspectos relacionados con la administración de riesgos, la administración de cumplimiento y seguridad de la información, continuidad del negocio y la protección de datos. Este incremento de responsabilidades ha llevado a lo largo del tiempo a integrar dentro de las organizaciones áreas específicas para su gestión, siendo el CSO o CISO (Chief Security Officer o Chief Information Security Officer) el responsable de supervisar el cumplimiento de los objetivos del sistema de gestión de seguridad y, al mismo tiempo, de establecer nuevas metas.

Debemos tener en cuenta que, para una buena comprensión de las pautas establecidas por la organización, la normativa debe ser organizada de manera sencilla para que pueda ser interpretada por cualquier persona que ostente un cargo de empleado o terceros con un contrato de trabajo por servicios en la organización, con conocimientos informáticos o sin ellos. Las políticas deben ser creadas según el contexto de aplicación, organizadas por niveles de seguridad y siguiendo un entorno de desarrollo, sobre la problemática de la compañía o previniendo futuras rupturas en la seguridad y el cumplimiento, aplicada sobre sus diferentes recursos o activos de información.

Dentro de la práctica de la seguridad de la información, los objetivos para controles individuales de seguridad o grupos de controles deben ser propuestos por el Comité de Seguridad y aprobados por la Dirección en la declaración de aplicabilidad; los cuales son revisados al menos una vez al año. El Comité de Seguridad de la Información debe estar destinado a garantizar el apoyo manifiesto de la Dirección a las iniciativas de seguridad, siendo sus principales funciones:

Revisar y proponer a la Dirección para su consideración y posterior aprobación, las políticas de seguridad de la información y las funciones generales en materia de seguridad de la información que fueran convenientes y apropiadas para la organización.  
Monitorear cambios significativos en los riesgos que afectan a los recursos de la información de la organización frente a posibles amenazas, sean internas o externas.  
Tomar conocimiento y supervisar la investigación y monitoreo de los incidentes, relativos a la seguridad, que se produzcan en el ámbito de la organización.  
Aprobar las principales iniciativas para incrementar la seguridad de la información, de acuerdo a las competencias y responsabilidades asignadas a cada sector, así como acordar y aprobar metodologías y procesos específicos relativos a la seguridad de la información  
Evaluar y coordinar la implementación de controles específicos de seguridad de la información para los sistemas o servicios de esta organización, sean preexistente o nuevos.  
Promover la difusión y apoyo a la seguridad de la información dentro de la organización, como así coordinar el proceso de administración de la continuidad del negocio. 

Teniendo en cuenta las necesidades de cumplimiento, el programa definido para la gestión de la seguridad de la información, debe tomar como lineamientos principales cuatro dominios relacionados con el Gobierno Corporativo:

Seguridad Organizacional 
Estableciendo el marco formal de seguridad que debe sustentar la organización, incluyendo servicios o contrataciones externas a la infraestructura de seguridad, Integrando el recurso humano con la tecnología, denotando responsabilidades y actividades complementarias como respuesta ante situaciones anómalas a la seguridad.

Seguridad Lógica 
Estableciendo e integrando los mecanismos y procedimientos, que permitan monitorear el acceso a los activos de información, que incluyen los procedimientos de administración de usuarios, definición de responsabilidades, perfiles de seguridad, control de acceso a las aplicaciones y documentación sobre sistemas, que van desde el control de cambios en la configuración de los equipos, manejo de incidentes, selección y aceptación de sistemas, hasta el control de software malicioso.

Seguridad Física 
Identificando los límites mínimos que se deben cumplir en cuanto a perímetros de seguridad, de forma que se puedan establecer controles en el manejo de equipos, transferencia de información y control de los accesos a las distintas áreas con base en la importancia de los activos.

Seguridad Legal 
Integrando los requerimientos de seguridad que deben cumplir todos los empleados, socios y terceros que interactúan en procesos de negocio y la información de la compañía, bajo la reglamentación de la normativa interna de políticas y manuales de procedimientos de la organización en cuanto al recurso humano, sanciones aplicables ante faltas cometidas, así como cuestiones relacionadas con la legislación del país y contrataciones externas.

Para la práctica de estos cuatro dominios, y según lo mencionamos en párrafos anteriores, se debe establecer una metodología para determinar el proceso para la administración de riesgos, asegurando cubrir las siguientes etapas que llevan a completar su tratamiento: 
Identificación de los procesos de Negocio y servicios de TI y seguridad que lo soportan  
Identificación de riesgos de Negocio y servicios de TI y SI que lo soportan  
Análisis de riesgos de Negocio y servicios de TI y SI que lo soportan  
Evaluación de riesgos de Negocio y servicios de TI y SI que lo soportan  
Tratamiento de riesgos de Negocio y servicios de TI y SI que lo soportan  
Documentación, control y revisión 

Los diferentes riesgos al cumplimiento deben ser evaluados sobre cada conjunto de actividades o procesos definidos, teniendo en cuenta su interrelación de forma ordenada y consecutiva para identificar los factores de riesgo que puedan involucrar a una o más unidades de negocio. Estos factores de riesgo pueden involucrar aspectos de cumplimiento al producirse un evento determinado que influya negativamente en el normal funcionamiento y operación de los procesos de TI de la organización, afectando de esta forma tanto a la privacidad o disponibilidad de datos como a la integridad que puede conllevar a hechos delictivos, ya sea por robo o fraudes. La organización debe considerar dentro de la definición de Riesgos de TI aquellos eventos relacionados con los sistemas de información y con la infraestructura de TI propia y de terceros que soporta el funcionamiento de dichos sistemas, y con cualquier otro recurso relacionado empleado por la función de TI de la organización para brindar sus servicios. De la misma forma, deben tenerse en cuenta los riesgos resultantes de la falta de adecuación o fallas en los procesos internos, de la actuación del personal o bien de aquellos que sean producto de eventos externos.

La organización debe considerar estos riesgos como componentes importantes a tener en cuenta en su programa de cumplimiento. Por lo tanto, independientemente de las normas y procedimientos específicos para la administración de riesgos, se debe aplicar un esquema en el cual las salidas del proceso de administración de riesgos se integren con el conjunto de la documentación de los procesos de negocio, con el fin de poder disponer de documentación acerca del perfil de riesgos operativos que enfrenta la organización en forma integrada y completa. El enfoque utilizado para identificar riesgos y factores debe incluir, entre otros, lo siguiente: 
Juicios basados en la experiencia y conocimiento de la organización y de los procesos y funciones de TI con los cuales está involucrado  
Observaciones formuladas en informes de Auditoría Interna, Auditoría Externa, y otras auditorías a las que esté sometida la organización.  
Resultados de estudios de vulnerabilidad llevados a cabo por la organización, ya sea en forma interna como mediante la contratación de terceros especializados.  
Conocimiento de incidentes registrados en el área, conocimiento de incidentes ocurridos en otras organizaciones del sector, aporte de las áreas usuarias  
Nuevos proyectos encarados por la organización, mediante los cuales se afecte a procesos de negocio o a la infraestructura de TI, los sistemas de información, o cualquier recurso relacionado.  
Cambios organizacionales, tales como reestructuración de áreas tecnológicas o funcionales, o la tercerización de actividades vinculadas con la administración y/o procesamiento de los sistemas de información o cualquier tipo de tratamiento de información de la organización.  
Clasificación de activos: En la clasificación de activos de información se define la criticidad de los activos en base a su disponibilidad, confidencialidad e integridad. Esta información es de gran utilidad a la hora de identificar riesgos de cumplimiento en relación a los activos críticos. 

Adicionalmente a esto, las áreas de legales de las organizaciones, deben estar en conocimiento no solo de las actualizaciones legislativas y regulatorias, sino también de las necesidades de gobierno sobre las tecnologías actuales y nuevas que pueden influir negativamente en el cumplimiento de las organizaciones. Las áreas tecnológicas, de seguridad y riesgos deben conformarse como un núcleo consultivo que, en conjunto con las áreas legales y de control interno, permitan establecer un blindaje equilibrado a las organizaciones. Revise cualquier industria y encontrará que su entorno regulador se encuentra en un proceso constante de cambio, provocando alertas de cumplimiento a las cuales debe darse respuesta constante y en línea.

Establecer controles e identificar riesgos nos permite determinar un seguimiento de las actividades más importantes dentro del programa de cumplimiento que son relevantes para cada función en la organización, y obtener datos procesables con los que se pueden medir y remediar las brechas rápidamente y de manera eficiente. Tener estos datos significativos a su alcance no sólo ayuda a comprender el nivel actual de madurez de cumplimiento, sino que también ayuda a tomar decisiones acerca de la priorización para su tratamiento. Es necesario que establezca una metodología de medición en función de datos que representen el nivel de cumplimiento interno, representados en un proceso que refleje en forma periódica el alineamiento a las políticas internas de la organización y sus desvíos.

También puede hacerse mediante encuestas internas a usuarios finales, con preguntas referentes a puntos vitales de las normas, para evaluar el nivel de conocimiento como instancia previa a evaluar el cumplimiento en los procesos. Respecto de los indicadores, los mismos deben ser dinámicos en función de nuevas regulaciones o cambios en los procesos (lo que los hacen variables en el tiempo); además que también se pueden establecer distintos niveles de indicadores en función del nivel de madurez de la organización, lo que también hace que puedan variar en el tiempo teniendo en cuenta el crecimiento futuro en el nivel de cumplimiento de la misma.


Conclusión: Adopte una guía que responda a sus necesidades de cumplimiento, y desde el conocimiento de sus procesos no solo identifique aspectos legales o regulatorios, sino que también contemple los diferentes procesos secundarios o de servicios que pueden afectar al cumplimiento en los procesos principales, como por ejemplo la tecnología y la seguridad de la información.